Capítulo 4 — Síntese guiada: planejar, verificar, relatar
Mapa da aula
Aula 04 publicada. Mapa, exemplo, EX039.
flowchart TD
N0["4.1 O engajamento de sala de aula"]
N1["4.2 Classificar para o resumo"]
N2["4.3 Escrever a página"]
N3["4.4 Cenários de pressão"]
N4["4.5 Depois do curso"]
N5["4.6 Registrar o exercício"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX039"]
Desenho lógico
flowchart LR
N0["4.1 O engajamento de sala de aula"]
N1["4.2 Classificar para o resumo"]
N2["4.3 Escrever a página"]
N3["4.4 Cenários de pressão"]
N4["4.5 Depois do curso"]
N5["4.6 Registrar o exercício"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX039"]
[4.1 O engajamento de sala de aula]
|
v
[4.2 Classificar para o resumo]
|
v
[4.3 Escrever a página]
|
v
[4.4 Cenários de pressão]
|
v
[4.5 Depois do curso]
|
v
[4.6 Registrar o exercício]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX039]
Objetivos de aprendizagem
Você vai (1) combinar a verificação de escopo e a classificação de achados num único exercício curto; (2) produzir um relatório de uma página para o RCC; (3) aplicar regras de parada sob pressão; e (4) declarar seu próximo passo de aprendizagem.
4.1 O engajamento de sala de aula
Maya recebe um pacote de engajamento sintético: uma autorização de uma página para os endereços de documentação em 192.0.2.0/25, a exclusão de 192.0.2.10, uma lista de quatro rascunhos de achados vindos de uma revisão de políticas e de configuração (sem exploração real) e um pedido de resumo de uma página para o diretor de TI. Antes de começar, Maya executa a verificação de escopo em todo endereço mencionado no pacote e confirma que seu trabalho se limita à revisão que a autorização permite. Os quatro achados tratam de senhas reutilizadas no portal, de um banner antigo do servidor web, de uma conta de administrador compartilhada no sistema de notas e do Wi-Fi de visitantes alcançando a página de administração de uma impressora. Sua saída é uma lista classificada e um resumo de uma página para o diretor de TI, com as evidências anexadas.
4.2 Classificar para o resumo
Nem todo achado cabe na primeira página. Classificar por probabilidade × impacto põe em primeiro lugar os problemas que mais precisam de decisões.
"""Lab 4: rank synthetic findings by likelihood x impact (1-3 each) for the report summary."""
findings = [("F1", "Staff portal allows reused passwords", 3, 2),
("F2", "Old web server banner shows version", 2, 1),
("F3", "Shared admin account on grading system", 2, 3),
("F4", "Guest Wi-Fi reaches printer admin page", 2, 2)]
for fid, title, lik, imp in sorted(findings, key=lambda f: (-f[2] * f[3], f[0])):
score = lik * imp
band = "high" if score >= 6 else "medium" if score >= 4 else "low"
print(f"{fid} score={score} {band:6} {title}")
Execute com python3 lab_findings.py. Saída verificada:
F1 score=6 high Staff portal allows reused passwords
F3 score=6 high Shared admin account on grading system
F4 score=4 medium Guest Wi-Fi reaches printer admin page
F2 score=2 low Old web server banner shows version
O script multiplica a probabilidade pelo impacto, ordena pela pontuação e desempata pelo ID do achado. O F1 e o F3 pontuam 6 e são altos; o F4 pontua 4 e é médio; o F2 pontua 2 e é baixo. A primeira página dá mais espaço ao F1 e ao F3, e o F2 pode ficar no anexo, já que um banner de versão sozinho raramente permite muito dano.
4.3 Escrever a página
O resumo declara a autorização, a janela, como o teste foi limitado (apenas revisão de configuração e de políticas), os principais achados com suas pontuações e as decisões necessárias. Os detalhes ficam num anexo. A página de Maya declara que o trabalho cobriu 192.0.2.0/25, exceto 192.0.2.10, que foi uma revisão de configuração e de políticas sem exploração real e que o F1 e o F3 tiveram as pontuações mais altas. Ela pede ao diretor que aprove contas nominais no sistema de notas e um controle contra reutilização de senhas no portal em até trinta dias. Os textos completos, as evidências e os passos de reprodução vão para o anexo.
4.4 Cenários de pressão
Durante o exercício, um colega pede a Maya que acrescente o blog dele à lista de alvos, e um rascunho de achado menciona o servidor de uma clínica médica que não está no escopo da faculdade. Ela recusa o blog e retira a nota sobre o servidor da clínica, por estar fora do escopo. O blog é um sistema pessoal, fora do acordo da faculdade, e o servidor da clínica pertence a outro dono, então até listá-lo como alvo seria impróprio. Maya registra as duas decisões em suas notas. Se a página de teste do portal ficar lenta durante uma verificação permitida, ela suspende o trabalho, liga para o contato de emergência e anota o horário.
4.5 Depois do curso
O próximo curso deste currículo trata de segurança de IA. Cursos mais longos de red team aprofundam escopo, métodos, ferramentas, relatórios e testes guiados por ameaças. Mantenha um registro dos exercícios concluídos. Este curso não concede autorização para testar sistemas reais. Antes de qualquer engajamento real, você vai precisar de mais treinamento, de prática supervisionada e, acima de tudo, de um acordo assinado pelo dono do sistema. O próximo passo de Maya é ajudar a equipe a revisar o relatório da empresa externa sobre o portal dos funcionários, usando as habilidades de escopo, evidências e severidade deste curso.
4.6 Registrar o exercício
Maya arquiva a página única, a lista classificada, a saída da verificação de escopo e uma nota sobre os dois pedidos recusados. Esse pacote é o que seu gestor revisa, e ele se torna a evidência de que o engajamento de sala de aula ficou dentro das regras. Um revisor deve conseguir ligar cada achado da página à sua evidência, e cada endereço à saída da verificação de escopo. Se faltar algo, Maya acrescenta antes de arquivar. Guarde o pacote apenas pelo tempo que o acordo permite, num lugar onde só o gestor dela e a equipe possam lê-lo.
Exemplo resolvido (sintético)
A lista classificada de Maya põe em primeiro lugar o F1 (senhas reutilizadas no portal) e o F3 (administrador compartilhado no sistema de notas), com pontuação 6; depois o F4 (Wi-Fi de visitantes até a administração da impressora), com 4; depois o F2 (banner), com 2. Sua página única pede ao diretor que aprove contas nominais no sistema de notas e um controle contra reutilização de senhas no portal em até trinta dias. Ela anota que nenhuma exploração real foi realizada.
Caso sintético — RCC. Os achados e as pontuações foram inventados.
Erros e limites
Uma classificação de sala de aula não é um relatório profissional completo. Engajamentos reais precisam da trilha completa de autorização e do detalhe técnico.
Exercícios
- EX039 — Autorização numa linha. Escreva a frase de autorização que Maya põe no topo da página. Rubrica: 3 = quem autorizou, qual escopo, quais métodos, qual janela; 2 = três; 1 = um; 0 = nada.
- EX040 — Por que o F2 é o último. Por que o achado do banner fica abaixo da reutilização de senhas? Rubrica: 3 = probabilidade×impacto menor; menos dano que problemas de credenciais; 2 = parcial; 1 = banners sempre primeiro; 0 = nada.
- EX041 — Nova ordem no laboratório. Se o impacto do F4 subir para 3, que nova ordem o laboratório imprime? Rubrica: 3 = o F4 sobe de 4 para 6 (2 × 3), então F1, F3 e F4 pontuam 6 e são ordenados pelo ID, depois o F2; 2 = parcial; 1 = a mesma; 0 = nada.
- EX042 — O pedido do blog de novo. Sob pressão de tempo, o colega repete o pedido do blog. Qual é a resposta de Maya? Rubrica: 3 = continua recusando; sem autorização escrita; 2 = recusa; 1 = varredura rápida; 0 = concorda.
- EX043 — Nota do servidor da clínica. Por que retirar o servidor da clínica médica do rascunho? Rubrica: 3 = fora do escopo / da autorização da faculdade; possíveis deveres legais distintos; 2 = parcial; 1 = mantê-lo; 0 = nada.
- EX044 — Pedido de decisão. Que decisão Maya pede ao diretor de TI? Rubrica: 3 = aprovar contas nominais no sistema de notas e um controle contra reutilização de senhas no portal em até 30 dias; 2 = parcial; 1 = "corrigir a segurança"; 0 = nada.
- EX045 — Limitação dos métodos. Por que o resumo precisa dizer "sem exploração real"? Rubrica: 3 = honestidade sobre os métodos; o leitor não deve pensar que os sistemas foram atacados; corresponde à autorização; 2 = parcial; 1 = esconder; 0 = nada.
- EX046 — Anexo de evidências. O que vai no anexo, e não na página única? Rubrica: 3 = reprodução detalhada, capturas de tela/logs, texto completo dos achados; 2 = parcial; 1 = nada vai para o anexo; 0 = nada.
- EX047 — Parada durante a síntese. A página de teste do portal fica lenta durante uma verificação permitida. O que Maya faz? Rubrica: 3 = parar / suspender; acionar o contato de emergência; anotar o horário; 2 = parcial; 1 = continuar; 0 = nada.
- EX048 — Menção ao CVSS. Quando Maya poderia mencionar o CVSS num relatório de iniciante? Rubrica: 3 = se a organização o usa e as pontuações são combinadas; caso contrário, manter a escala simples; 2 = parcial; 1 = sempre inventar pontuações; 0 = nada.
- EX049 — Próximo curso. O que cobre o próximo curso do currículo? Rubrica: 3 = segurança de IA (curso 020); 2 = vago; 1 = errado; 0 = nada.
- EX050 — Limite pessoal. Diga uma coisa que Maya ainda não pode fazer depois deste curso. Rubrica: 3 = testar sistemas sem autorização escrita / usar exploits contra alvos reais; 2 = parcial; 1 = qualquer coisa; 0 = nada.
Síntese
Um engajamento autorizado curto verifica o escopo, classifica achados reais e pede decisões claras — sem cruzar as regras.
Continue estudando — capítulo 04 de 04
← Capítulo 03 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →
Resoluções
Respostas-modelo para EX001–EX050. O Riverside Civic College, Maya Chen e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.
EX001. Segurança ofensiva autorizada é procurar fraquezas em sistemas com a permissão escrita do dono, para que a organização possa corrigi-las.
EX002. O teste autorizado tem permissão escrita e um propósito definido de melhorar a segurança; o acesso não autorizado não tem essa permissão e é ilegal, seja qual for a intenção.
EX003. Um red team tenta agir como um atacante real dentro de regras combinadas, muitas vezes encadeando fraquezas e testando a detecção e a resposta, e não apenas listando falhas conhecidas de software.
EX004. É o Technical Guide to Information Security Testing and Assessment do NIST — um guia público que descreve tipos de teste e como planejá-los.
EX005. Definição do escopo, coleta de inteligência e relatório (análise de vulnerabilidades, exploração e pós-exploração também são etapas).
EX006. Ambos são frameworks de avaliação guiados por inteligência de ameaças, usados principalmente em instituições financeiras; os testes são autorizados e moldados por inteligência realista sobre adversários.
EX007. Código de exploit pode ser usado contra sistemas reais sem permissão, o que é ilegal e danoso; o curso ensina teste autorizado e relato, que não precisam de payloads de ataque.
EX008. O próprio Riverside Civic College, por meio de pessoas autorizadas a falar pelo sistema — em geral o responsável de negócio pelo portal e o líder de segurança —, num acordo assinado.
EX009. Apenas se ela seguir as regras publicadas daquele programa e ficar dentro do escopo dele; fora dessas regras ela não tem permissão.
EX010. Entender o acordo assinado e ajudar a equipe a revisar depois o relatório da empresa — e não executar ela mesma os testes ofensivos por enquanto.
EX011. De dados sintéticos processados por scripts Python offline; nenhum sistema real é varrido ou atacado.
EX012. É uma base de conhecimento pública de técnicas adversárias com nomes comuns, usada para descrever o que um atacante fez ou poderia fazer e para planejar detecções.
EX013. Parar e não testar; perguntar à pessoa nomeada na autorização até que a resposta fique clara.
EX014. Sistemas no escopo, sistemas fora do escopo, métodos permitidos, horários de início e de fim, contatos de emergência, como os achados serão relatados e como os dados serão tratados.
EX015. O dono excluiu explicitamente o servidor da folha de pagamento; estar dentro da faixa de rede não se sobrepõe a uma exclusão escrita.
EX016. 198.51.100.7 OUT OF SCOPE - do not test — ela o retira do plano e nunca envia tráfego para ele.
EX017. 192.0.2.20 in scope, porque ele está em 192.0.2.0/25 e não está na lista de exclusões.
EX018. Recusar: a autorização e as ferramentas da faculdade cobrem apenas os sistemas combinados da faculdade; testar um blog pessoal com elas seria não autorizado.
EX019. Parar se o dono ou o contato de emergência pedir; parar se surgir uma indisponibilidade que possa ter sido causada pelo teste; parar se dados pessoais sensíveis aparecerem onde não deveriam.
EX020. O contato de emergência nomeado nas regras de engajamento, e ela para o teste até receber outra orientação.
EX021. Não. Mudar a janela exige uma alteração escrita na autorização antes de qualquer teste fora do horário.
EX022. Eles são guardados apenas pelo prazo e para os fins escritos no acordo e depois apagados ou devolvidos, como o documento exigir.
EX023. São endereços reservados para documentação (RFC 5737), então os exemplos não podem ser confundidos com um ataque real à rede de alguém.
EX024. Suspender o teste daquele alvo, pedir uma mudança de escopo por escrito ao contato que autorizou e continuar só se a aprovação for registrada.
EX025. A definição do escopo é uma etapa inicial, de primeira classe; o teste técnico só vem depois que o escopo e as regras foram combinados.
EX026. Se não está claramente no escopo escrito, não teste.
EX027. O que foi observado, onde, quando, por que importa, como reproduzi-lo dentro das regras e uma correção sugerida.
EX028. Ele não nomeia sistema algum, não apresenta evidências e não sugere ação, então os responsáveis não conseguem verificar nem corrigir nada.
EX029. Capturas de tela de configuração, linhas de log de aplicações e saída de ferramentas autorizadas (trechos de políticas e amostras de arquivos com hash também são comuns).
EX030. T1078 Valid Accounts — credenciais legítimas usadas de um modo que esconde a responsabilidade individual e facilita o abuso.
EX031. Pontuação 6 (2×3). O impacto é alto porque notas alteradas e a perda de responsabilização afetam os registros dos estudantes e a confiança.
EX032. Os leitores deixam de confiar no relatório, não conseguem priorizar o trabalho e podem ignorar os poucos problemas que realmente exigem ação imediata.
EX033. Diretor: "Uma conta de administrador compartilhada significa que não conseguimos saber quem alterou as notas, o que põe em risco a integridade acadêmica." Responsável: "Substitua o login de administrador compartilhado por contas nominais e garanta que o log de auditoria registre a identidade do usuário em cada alteração de nota."
EX034. Descrever como observar o problema usando apenas métodos e alvos que a autorização permite, sem causar danos nem sair do escopo.
EX035. Mascarar os nomes ou substituir a captura de tela por uma amostra sintética, para que a evidência mostre o problema sem expor dados pessoais dos estudantes.
EX036. É uma metodologia pública de verificações para testar aplicações web de forma estruturada e repetível.
EX037. Um resumo executivo curto, depois os achados com severidade e correções e, por fim, os apêndices com as evidências detalhadas.
EX038. "Vários sistemas aceitam a mesma senha privilegiada, então um único comprometimento concede acesso amplo; não há responsabilização individual pelas alterações."
EX039. "Autorizado pelo RCC (responsável pelo portal e líder de segurança de TI) para uma revisão de configuração e de políticas de 192.0.2.0/25, excluindo 192.0.2.10, de 12 a 16 de outubro de 2026, sem exploração real."
EX040. Sua pontuação é 2, contra 6 dos problemas de credenciais; um banner de versão sozinho raramente permite o mesmo dano que senhas privilegiadas reutilizadas ou compartilhadas.
EX041. Com o impacto do F4 mudado de 2 para 3 (o laboratório, como impresso, dá F4 score=4), a saída passa a ser F1 score=6, F3 score=6, F4 score=6, F2 score=2 — com pontuações iguais, o laboratório ordena pelo ID do achado, então F1, F3, F4 e depois F2.
EX042. Continuar recusando; pressão não cria permissão, e as ferramentas da faculdade não podem tocar sistemas pessoais.
EX043. Ele está fora da autorização do RCC; testá-lo, ou mesmo listá-lo como alvo, sem a permissão do dono é impróprio.
EX044. Aprovar a substituição do administrador compartilhado do sistema de notas por contas nominais e a implantação de um controle contra reutilização de senhas no portal dos funcionários em até trinta dias.
EX045. Para que os leitores saibam que o trabalho ficou dentro dos métodos combinados e não suponham que foi feita uma simulação de ataque completa.
EX046. Os textos completos dos achados, capturas de tela de evidências ou trechos de logs e os passos de reprodução para os responsáveis pelos sistemas.
EX047. Suspender a verificação, acionar o contato de emergência nomeado nas regras e anotar o horário e o que ela estava fazendo.
EX048. Apenas se o RCC usa o CVSS e as pontuações seguem esse método; caso contrário, a escala combinada de probabilidade × impacto é mais clara para uma página única.
EX049. Curso 020: segurança de IA.
EX050. Ela não pode testar nenhum sistema real sem autorização escrita, nem usar código de exploit contra sistemas que não são dela.