Capítulo 5 — Escopo e evidências de segurança

Capítulo 5 — Escopo e evidências de segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX017.

flowchart TD
  N0["5.1 Escrever um escopo"]
  N1["5.2 Evidências reproduzíveis"]
  N2["5.3 Segredos encontrados durante o trabalho"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX017"]

Desenho lógico

flowchart LR
  N0["5.1 Escrever um escopo"]
  N1["5.2 Evidências reproduzíveis"]
  N2["5.3 Segredos encontrados durante o trabalho"]
  N3["Síntese"]
  N0 --> N1 --> N2 --> N3 --> Q["EX017"]

[5.1 Escrever um escopo]
    |
    v
[5.2 Evidências reproduzíveis]
    |
    v
[5.3 Segredos encontrados durante o trabalho]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX017]

Objetivos de aprendizagem

Você vai (1) escrever uma declaração de escopo para verificações criptográficas; (2) coletar evidências que outro técnico consiga reproduzir; (3) tratar os segredos encontrados durante o trabalho.

5.1 Escrever um escopo

Antes que Tomás varra qualquer coisa, Priya o faz escrever um escopo. Ele nomeia os sistemas que ele pode testar, como o portal de rastreamento e o host de transferência de arquivos; as verificações que pode executar, como testes de handshake e leituras de certificados; a janela de tempo; e a pessoa que aprovou. Varrer o servidor de um parceiro ou um provedor de pagamentos sem a permissão deles está fora do escopo, mesmo que seja tecnicamente fácil. Um escopo protege a empresa, os parceiros e o próprio Tomás, porque uma varredura não aprovada pode disparar alarmes, quebrar dispositivos frágeis ou violar um contrato.

5.2 Evidências reproduzíveis

Quando Tomás encontra uma configuração fraca, uma captura de tela sozinha é uma evidência pobre. Priya o ensina a registrar o comando exato, a data e a hora com o fuso horário, o host de onde o executou, a saída bruta e um resumo SHA-256 de qualquer arquivo salvo. Outro técnico deve conseguir executar o comando de novo e ver o mesmo resultado, ou explicar por que ele mudou. Boas evidências também registram o que não foi verificado, para que os leitores não suponham uma cobertura maior do que a existente. Esse hábito torna muito mais rápidos os relatórios, as auditorias e as solicitações de mudança posteriores, porque ninguém precisa perguntar como uma afirmação foi obtida.

5.3 Segredos encontrados durante o trabalho

Durante as revisões, Tomás vai ver senhas, tokens de API ou chaves privadas em lugares onde não deveriam estar. A regra é parar, registrar apenas a localização e o tipo do segredo, nunca copiar o valor para anotações ou chamados e avisar o dono para que o segredo possa ser rotacionado. As evidências devem mostrar que um segredo existe, por exemplo registrando o caminho do arquivo e os primeiros caracteres de um hash do valor, e não o próprio valor. Tratar os segredos dessa forma evita que a investigação espalhe exatamente a exposição que deveria corrigir.

Exemplo resolvido

Tomás escreve um escopo de uma página para as verificações de TLS do portal e do host de arquivos, registra um achado com comando, carimbo de tempo e resumo da saída e registra um token vazado apenas pelo caminho.

Caso sintético. Os detalhes do escopo, os hosts e o achado do token são inventados.

Erros e limites

Um escopo não torna seguro um teste arriscado; as verificações em produção ainda exigem cuidado. As evidências podem ficar desatualizadas em horas, à medida que os sistemas mudam.

Exercícios

• EX017 — Alvo fora do escopo. Varrer a API do provedor de pagamentos está no escopo por padrão? Rubrica: 3 = não; exige a permissão explícita do provedor e os termos do contrato;; 2 = diz não;; 1 = diz sim;; 0 = nenhuma.

• EX018 — Campos das evidências. Liste quatro campos que um achado reproduzível deve incluir. Rubrica: 3 = quatro entre comando, carimbo de tempo com fuso, host de origem, saída bruta, resumo do arquivo, o que não foi verificado;; 2 = três;; 1 = um;; 0 = nenhuma.

• EX019 — Token num script. Você encontra um token de API num script de shell. O que registra? Rubrica: 3 = apenas a localização e o tipo, não o valor; avisar o dono para a rotação;; 2 = localização;; 1 = copia o valor;; 0 = nenhuma.

• EX020 — Declaração de cobertura. Por que registrar o que não foi verificado? Rubrica: 3 = para que os leitores não suponham uma cobertura maior do que a existente;; 2 = menciona leitores;; 1 = nenhuma razão;; 0 = nenhuma.

Síntese

O escopo limita o que pode ser testado, as evidências tornam os achados reproduzíveis e os segredos são relatados sem ser copiados.

Continue estudando — aula 05 (capítulo 05 de 18)

← Capítulo 04 · Índice das aulas · Capítulo 06 →

Continue para a próxima aula já escrita.