Capítulo 2 — Escopo, permissão e prática segura

Capítulo 2 — Escopo, permissão e prática segura

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX014.

flowchart TD
  N0["2.1 Definir o escopo"]
  N1["2.2 Permissão por escrito"]
  N2["2.3 Manuseio seguro dos dados dos associados"]
  N3["2.4 Condições de parada"]
  N4["2.5 Um achado dentro do escopo"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX014"]

Desenho lógico

flowchart LR
  N0["2.1 Definir o escopo"]
  N1["2.2 Permissão por escrito"]
  N2["2.3 Manuseio seguro dos dados dos associados"]
  N3["2.4 Condições de parada"]
  N4["2.5 Um achado dentro do escopo"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX014"]

[2.1 Definir o escopo]
    |
    v
[2.2 Permissão por escrito]
    |
    v
[2.3 Manuseio seguro dos dados dos associados]
    |
    v
[2.4 Condições de parada]
    |
    v
[2.5 Um achado dentro do escopo]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX014]

Objetivos de aprendizagem

Você vai (1) definir o escopo de uma pequena revisão de segurança; (2) obter permissão por escrito; (3) trabalhar com segurança com os dados dos associados.

2.1 Definir o escopo

A gerente de Leah lhe pede que revise a segurança em torno do novo sistema de solicitação de empréstimos da Saltmarsh. Felix lhe ensina a escrever primeiro um escopo: que sistemas estão incluídos, quais estão excluídos, o que ela vai fazer e o que não vai fazer. Estão incluídos o sistema de empréstimos, os PCs da equipe que o usam e o recurso de envio de documentos pelos associados. Estão excluídos o sistema bancário central, operado por um bureau de serviços, e o processador de cartões. Ela vai ler configurações e entrevistar a equipe; não vai tentar ataques nem acessar os arquivos dos associados.

2.2 Permissão por escrito

Leah obtém a aprovação por escrito do diretor executivo e do responsável pelo sistema de empréstimos. A aprovação a nomeia e indica os sistemas no escopo, as datas e as atividades permitidas. Felix explica que até funcionários que revisam os sistemas do próprio empregador precisam de permissão, porque as revisões podem tocar dados sensíveis, interromper serviços ou violar contratos com fornecedores. A aprovação também protege Leah se alguém questionar suas ações. Ela pede ao fornecedor do sistema de empréstimos que confirme que ler as telas de configuração não viola o contrato de suporte. Ela arquiva a aprovação com suas anotações.

2.3 Manuseio seguro dos dados dos associados

As solicitações de empréstimo incluem contracheques, extratos bancários e documentos de identidade. A revisão de Leah não precisa de nenhum deles. Onde as telas mostram dados de associados, ela usa uma solicitação de teste criada pelo fornecedor com dados fictícios. Ao fazer capturas de tela das configurações, confere que nenhuma informação de associado apareça. Suas anotações ficam numa pasta restrita e serão apagadas depois que a revisão for aceita. Felix enfatiza que uma revisão de segurança nunca deve se tornar uma nova fonte de exposição de dados. Ela confirma essa abordagem primeiro com o responsável pelo sistema.

2.4 Condições de parada

Felix pede a Leah que defina quando ela vai parar e relatar imediatamente. Ela lista três condições: encontrar sinais de que outra pessoa já invadiu, encontrar documentos de associados expostos à internet e causar qualquer interrupção no serviço de empréstimos. Em cada caso, ela vai parar, avisar o responsável pelo sistema e o diretor executivo e não investigar mais sozinha. Condições de parada claras protegem os associados e impedem que quem revisa entre num trabalho de resposta a incidentes que exige outras habilidades e outra autoridade.

2.5 Um achado dentro do escopo

Durante a revisão, Leah descobre que os documentos enviados ficam guardados numa pasta em nuvem cuja configuração de compartilhamento permite que qualquer pessoa com o link veja os arquivos. Isso atende a uma de suas condições de parada. Ela para, informa o responsável e o diretor executivo, e o fornecedor muda a configuração em menos de uma hora. O fornecedor confere os logs de acesso e não encontra acesso de terceiros desconhecidos. Leah registra o evento, a resposta e as evidências. Seu escopo, sua permissão e suas condições de parada tornaram a resposta rápida, calma e devidamente documentada.

Exemplo resolvido

Leah define o escopo de uma revisão do sistema de empréstimos, obtém permissão por escrito, usa dados de teste fictícios, define três condições de parada e trata corretamente um achado de compartilhamento por link.

Caso sintético. O sistema de empréstimos e os eventos são sintéticos.

Erros e limites

Os escopos podem excluir justamente onde estão os problemas. Os logs do fornecedor podem não mostrar todos os acessos.

Exercícios

• EX014 — Sistemas excluídos. Que sistemas o escopo excluiu? Rubrica: 3 = o sistema bancário central operado por um bureau de serviços e o processador de cartões;; 2 = os dois;; 1 = vago;; 0 = nenhuma.

• EX015 — Não permitido. Que atividades ficavam fora da permissão de Leah? Rubrica: 3 = tentar ataques ou acessar arquivos de associados;; 2 = ataques;; 1 = entrevistas;; 0 = nenhuma.

• EX016 — Aprovadores. Quem aprovou por escrito a revisão de Leah? Rubrica: 3 = o diretor executivo e o responsável pelo sistema de empréstimos;; 2 = os dois;; 1 = vago;; 0 = nenhuma.

• EX017 — Conferência com o fornecedor. O que Leah confirmou com o fornecedor? Rubrica: 3 = que ler as telas de configuração não viola o contrato de suporte;; 2 = contrato;; 1 = vago;; 0 = nenhuma.

• EX018 — Solicitação de teste. Como Leah evitou ver dados reais de associados? Rubrica: 3 = usou uma solicitação de teste do fornecedor com dados fictícios;; 2 = dados de teste;; 1 = vago;; 0 = nenhuma.

• EX019 — Cuidado com as capturas. O que Leah conferia antes de salvar as capturas de tela? Rubrica: 3 = que nenhuma informação de associado aparecesse;; 2 = sem dados;; 1 = vago;; 0 = nenhuma.

• EX020 — Três gatilhos de parada. Que três condições fazem Leah parar? Rubrica: 3 = sinais de invasão, documentos de associados expostos online, interrupção do serviço;; 2 = duas;; 1 = vago;; 0 = nenhuma.

• EX021 — Por que parar. Por que quem revisa deve parar em vez de investigar sozinho? Rubrica: 3 = a resposta a incidentes exige outras habilidades e outra autoridade;; 2 = autoridade;; 1 = vago;; 0 = nenhuma.

• EX022 — Achado nos envios. Que exposição a revisão encontrou? Rubrica: 3 = documentos numa pasta em nuvem visível a qualquer pessoa com o link;; 2 = compartilhamento por link;; 1 = vago;; 0 = nenhuma.

• EX023 — Resultado dos logs do fornecedor. O que os logs de acesso do fornecedor mostraram? Rubrica: 3 = nenhum acesso de terceiros desconhecidos;; 2 = nada encontrado;; 1 = invasão;; 0 = nenhuma.

• EX024 — Retenção das anotações. Quando as anotações da revisão de Leah são apagadas? Rubrica: 3 = depois que a revisão for aceita;; 2 = após aceitação;; 1 = nunca;; 0 = nenhuma.

• EX025 — Rapidez da resposta. Com que rapidez o fornecedor corrigiu a configuração de compartilhamento? Rubrica: 3 = em menos de uma hora;; 2 = hora;; 1 = vago;; 0 = nenhuma.

• EX026 — Exposição pela revisão. O que uma revisão de segurança nunca deve se tornar? Rubrica: 3 = uma nova fonte de exposição de dados;; 2 = exposição;; 1 = vago;; 0 = nenhuma.

Síntese

Escopo, permissão, manuseio seguro dos dados e condições de parada tornam as revisões úteis e seguras.

Continue estudando — aula 02 (capítulo 02 de 04)

← Capítulo 01 · Índice das aulas · Capítulo 03 →

Continue para a próxima aula já escrita.