Capítulo 5 — Escopo de segurança e evidências

Capítulo 5 — Escopo de segurança e evidências

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX017.

flowchart TD
  N0["5.1 Escopo é um controle de segurança"]
  N1["5.2 Passivo primeiro"]
  N2["5.3 O que torna utilizáveis as evidências técnicas"]
  N3["5.4 Quatro rótulos"]
  N4["5.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX017"]

Desenho lógico

flowchart LR
  N0["5.1 Escopo é um controle de segurança"]
  N1["5.2 Passivo primeiro"]
  N2["5.3 O que torna utilizáveis as evidências técnicas"]
  N3["5.4 Quatro rótulos"]
  N4["5.6 Atividade prática"]
  N5["Síntese do capítulo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX017"]

[5.1 Escopo é um controle de segurança]
    |
    v
[5.2 Passivo primeiro]
    |
    v
[5.3 O que torna utilizáveis as evidências técnicas]
    |
    v
[5.4 Quatro rótulos]
    |
    v
[5.6 Atividade prática]
    |
    v
[Síntese do capítulo]
    |
    v
[Exemplo resolvido] --> [Exercício EX017]

Objetivos de aprendizagem e conexão

Ao final deste capítulo, você deverá ser capaz de:

• escrever um escopo técnico para uma tarefa num ambiente crítico: sistemas, ações permitidas, janela de tempo, contatos e condições de parada;
• explicar por que, em tecnologia operacional, uma observação passiva é preferida e uma ativa precisa de aprovação explícita;
• coletar evidências técnicas de modo que outra pessoa possa verificá-las: o quê, de onde, quando (UTC), por quem, como, e o seu hash;
• separar observado, inferido, feito e em aberto em toda nota de trabalho.

Os Capítulos 1–4 lhe deram ferramentas. Antes de apontar qualquer uma delas para um sistema real, este capítulo define o que você tem permissão para tocar e como vai provar o que viu.

5.1 Escopo é um controle de segurança

Numa rede de escritório, uma varredura afobada desperdiça tempo. Numa rede de controle, ela pode parar um processo: alguns controladores e pilhas de rede mais antigas se comportam mal quando sondados, e uma "leitura" pode disparar diagnósticos do fornecedor ou encher uma tabela de sessões. O guia de TO do NIST recomenda cautela com a varredura ativa em ambientes operacionais e prefere métodos passivos sempre que possível (SP 800-82 Rev. 3); o guia de testes do NIST descreve regras de engajamento para qualquer avaliação (SP 800-115).

Um escopo técnico responde, por escrito, antes de o trabalho começar:

• Propósito — que pergunta o trabalho responde.
• Sistemas no escopo — hosts e endereços nomeados; todo o resto fica fora.
• Ações permitidas — por exemplo, "ler a configuração em execução", "captura passiva na porta SPAN", "um teste de conexão TCP à porta 502, sem requisição Modbus".
• Janela — data e horários, com a concordância do operador.
• Pessoas — quem autorizou (o dono do sistema), quem está no local, quem na sala de controle é informado.
• Condições de parada — qualquer comportamento inesperado de dispositivo, alarme ou pedido das operações.
• Tratamento das evidências — onde os resultados ficam armazenados e quem pode lê-los.

5.2 Passivo primeiro

Muitas perguntas podem ser respondidas sem enviar um pacote: exportações de configuração, logs de firewall, tabelas MAC de switches, uma captura passiva de uma porta espelho (SPAN), os próprios registros do historiador. Prefira esses. Quando um teste ativo for realmente necessário — por exemplo, para verificar uma regra de bloqueio no Capítulo 11 —, faça o menor teste que responda à pergunta, a partir de uma origem nomeada, num horário combinado.

Prefira uma captura SPAN ou uma exportação de configuração antes de qualquer teste de conexão. Quando um teste ativo for necessário, use um endereço de origem identificado, a menor ação que responda à pergunta e uma janela combinada, com as operações informadas no início e no fim.

5.3 O que torna utilizáveis as evidências técnicas

Uma captura de tela de um terminal prova pouco. Evidências utilizáveis registram:

1. O quê — a saída ou o arquivo bruto, não um resumo.
2. Origem — host e ferramenta, com versão.
3. Tempo — em UTC, com o deslocamento do relógio do host, se conhecido (Capítulo 7).
4. Coletor — quem executou.
5. Método — o comando ou a consulta exatos.
6. Integridade — um hash SHA-256 registrado no momento da coleta, para que cópias posteriores possam ser conferidas (FIPS 180-4); o Capítulo 18 sela um pacote inteiro.

O guia do NIST sobre a integração de técnicas forenses à resposta a incidentes discute a ordem de coleta e de preservação (SP 800-86). No nível do técnico, a regra é simples: preserve antes de mudar. Se você está prestes a consertar algo que pode ser evidência de uso indevido, colete-o primeiro.

5.4 Quatro rótulos

Toda nota que você escreve neste curso usa quatro rótulos. Observado: o que uma ferramenta ou pessoa registrou, com origem e horário. Inferido: o que você conclui, e por quê. Feito: o que você mudou, sob qual registro de mudança. Em aberto: o que continua desconhecido, e quem é o responsável. Misturá-los — "a RTU foi comprometida", quando você observou apenas uma sessão de configuração — é como se espalham as conclusões erradas.

Uma nota que diz apenas "RTU comprometida" falha no teste: mistura inferência com observação. Escreva os quatro rótulos em toda nota de trabalho deste curso, incluindo a verificação de alcançabilidade da KW-04, para que o leitor possa ver o que foi medido e o que continua em aberto.

5.5 Exemplo resolvido: o escopo da verificação da KW-04 (sintético)

Depois que o Laboratório 2 mostrou escritas vindas de uma mesa corporativa, L. Ferreira (líder de segurança do KVROC) pede que você confirme se a zona corporativa consegue alcançar a porta 502 das estações. Um escopo sólido:

A nota de trabalho depois do teste diz: Observado — a conexão de 10.30.99.9 para 10.10.4.2:502 não se completou às 08:04:11Z; o fw-01 a registrou como bloqueada pela negação padrão. Inferido — o fw-01 não deixa as mesas corporativas alcançarem o Modbus das estações; portanto, as escritas de 10.30.3.7 capturadas no Capítulo 2 devem ter usado outro caminho (Capítulos 10 e 13). Feito — nada foi mudado. Em aberto — qual caminho levou essas escritas (responsável: L. Ferreira).

5.6 Atividade prática

Escreva um escopo para uma captura passiva de 24 horas na porta SPAN do switch do centro de controle. Inclua limites de armazenamento e quem pode ler a captura, já que ela conterá valores do processo e possivelmente credenciais enviadas em texto claro.

Declare um tamanho máximo de arquivo e um período de retenção, porque um dia de valores do processo e de credenciais em texto claro é, ao mesmo tempo, grande e sensível. Nomeie quem pode ler a captura e onde ela fica armazenada, e diga que a captura para se a porta espelho do switch afetar o encaminhamento. Marque a atividade como passiva e liste condições de parada que incluam qualquer pedido do operador.

5.7 Erros comuns e limites

• Coletar evidências sem horários em UTC nem hashes.

• Tratar o escopo como burocracia: é ele que impede que um teste vire um incidente.

• Começar a partir de um "pode ir" verbal e escrever o escopo depois.

• Varrer uma sub-rede numa rede de controle para descobrir dispositivos.
• Consertar uma constatação antes de coletar as evidências que a mostraram. Um escopo escrito depois do trabalho não pode proteger o processo durante ele.
• Continuar depois do horário de término previsto no escopo porque a última verificação "só leva um minuto", em vez de parar e pedir uma prorrogação.

Exercícios — capítulo 5

EX017 — Conserte um escopo. Objetivo: encontrar os elementos que faltam. Insumos: "Rodar uma varredura em 10.10.0.0/16 na terça para achar portas abertas. Aprovado pela TI." Passos: listar cada defeito e reescrever. Evidência esperada: lista de defeitos e escopo reescrito. Rubrica: 3 = identifica o autorizador errado (é preciso o dono do sistema), a faixa ilimitada, a varredura ativa em TO, a falta de janela, de condições de parada e de tratamento das evidências; a reescrita prefere fontes passivas de inventário; 2 = a maioria dos defeitos; 1 = cosmético; 0 = nada.

EX018 — Rotule a nota. Objetivo: separar observação e inferência. Insumos: "O fornecedor hackeou a KW-09 ontem à noite — a configuração da RTU mudou e os dados pararam, então eu a reiniciei." Passos: reescrever com os quatro rótulos. Evidência esperada: nota rotulada. Rubrica: 3 = observado (horário da sessão de configuração, lacuna nos dados), inferido (possível mudança não aprovada; autoria desconhecida), feito (reinício — e a perda de evidências que ele causou), em aberto (quem, por quê; responsável); 2 = rótulos sem perceber a perda de evidências; 1 = parcial; 0 = nada.

EX019 — Registro de evidência. Objetivo: produzir evidência verificável. Insumos: você exporta o conjunto de regras do fw-01 para fw-01-rules-20261013.txt. Passos: escrever os campos do registro de evidência e o comando que produz o seu hash no Linux. Evidência esperada: registro e sha256sum fw-01-rules-20261013.txt. Rubrica: 3 = os seis elementos, horário UTC com a fonte do relógio, hash guardado separado do arquivo; 2 = falta um; 1 = apenas o hash; 0 = nada.

EX020 — Alternativas passivas. Objetivo: evitar testes ativos desnecessários. Insumos: três perguntas: quais hosts conversam com a KW-07; que firmware a KW-07 executa; se a KW-07 aceita telnet. Passos: propor um método passivo ou somente de leitura para cada uma e dizer quando um teste ativo ainda se justificaria. Evidência esperada: três linhas. Rubrica: 3 = logs de fluxo ou captura SPAN; registros de ativos ou a ferramenta do fornecedor durante uma sessão de engenharia aprovada; exportação de configuração ou a documentação do fornecedor, com uma verificação ativa apenas numa janela com escopo e com as operações presentes; 2 = um fraco; 1 = todos ativos; 0 = nada.

Síntese do capítulo

Em ambientes críticos, o escopo protege o processo tanto quanto quem testa. Escreva-o antes de começar, prefira métodos passivos e torne cada evidência verificável por outra pessoa: bruta, com origem, com horário em UTC, atribuída e com hash. Preserve antes de mudar e mantenha separados o observado, o inferido, o feito e o em aberto.

Continue estudando — capítulo 05 de 18

← Capítulo 04 · Índice de capítulos do curso · Capítulo 06 →

Siga para a próxima lição escrita.