Capítulo 3 — Sistemas operacionais e identidades | Técnico Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX009.

flowchart TD
  N0["3.1 Camadas de identidade"]
  N1["3.2 Contas de teste"]
  N2["3.3 Contas de serviço"]
  N3["3.4 Manuseio de credenciais"]
  N4["3.5 Estações administrativas"]
  N5["3.6 Ligação com o ATT&CK"]
  N6["3.7 Dia da revogação"]
  N7["3.8 MFA nas contas de teste"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX009"]

Desenho lógico

flowchart LR
  N0["3.1 Camadas de identidade"]
  N1["3.2 Contas de teste"]
  N2["3.3 Contas de serviço"]
  N3["3.4 Manuseio de credenciais"]
  N4["3.5 Estações administrativas"]
  N5["3.6 Ligação com o ATT&CK"]
  N6["3.7 Dia da revogação"]
  N7["3.8 MFA nas contas de teste"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX009"]

[3.1 Camadas de identidade]
    |
    v
[3.2 Contas de teste]
    |
    v
[3.3 Contas de serviço]
    |
    v
[3.4 Manuseio de credenciais]
    |
    v
[3.5 Estações administrativas]
    |
    v
[3.6 Ligação com o ATT&CK]
    |
    v
[3.7 Dia da revogação]
    |
    v
[3.8 MFA nas contas de teste]
    |
    v
[Exemplo resolvido] --> [Exercício EX009]

Objetivos de aprendizagem

Você vai (1) separar identidades locais, de domínio e de aplicação; (2) explicar o menor privilégio para contas de teste; (3) tratar contas compartilhadas como achados; (4) proteger credenciais de teste.

3.1 Camadas de identidade

Estações de trabalho têm contas locais; os funcionários usam contas de domínio do AD; o planejador de viagens tem usuários de aplicação. Um achado pode envolver qualquer camada. Na NMT, as camadas incluem contas voltadas aos passageiros, contas de funcionários no AD, certificados de VPN e contas de serviço do planejador de viagens. A identidade de teste de Sam, a tst-sam-web, fica apenas na camada de funcionários/homologação e é barrada, por construção, dos grupos do AD da rede de tarifas. Sam confere os grupos dela na abertura, antes da retirada no cofre, para que as camadas de identidade continuem separadas sob pressão. Uma mudança de grupo encontrada na abertura é corrigida pela equipe de identidade antes de a janela abrir, e nunca contornada.

3.2 Contas de teste

Testes autorizados usam contas de teste nominais com o menor privilégio necessário, emitidas para a janela e revogadas depois dela. Contas "deus" compartilhadas de pentest são, elas mesmas, um achado. A conta de teste tst-sam-web tem acesso de leitura apenas à homologação, fica guardada no cofre para o ENG-512 e expira automaticamente no domingo à noite. Sam não compartilha essa senha no chat; a retirada no cofre é o único caminho, e os registros de retirada ficam no pacote do ENG-512. A expiração de domingo é comprovada por uma tentativa de login na segunda-feira que precisa falhar; um sucesso seria um achado.

3.3 Contas de serviço

Contas de API e de automação costumam ter direitos amplos e monitoramento fraco. São alvos de revisão de alto valor quando estão no escopo. As contas de serviço da API ficam fora do conjunto comum de testes de Sam, a menos que as ROE as nomeiem. Usar uma senha de serviço compartilhada porque ela foi colada num chamado antigo viola as regras de manuseio de credenciais e confunde as notas de ATT&CK T1078 para o SOC. Senhas de contas de serviço encontradas em wikis são trocadas pela equipe de identidade, e não emprestadas para testes. Sam registra a exposição e usa apenas identidades de teste guardadas no cofre.

3.4 Manuseio de credenciais

Senhas de teste ficam no cofre, e não no chat, em capturas de tela ou em scripts enviados ao git. Sam remove tokens das evidências antes de calcular o hash; um token num PNG reprova na regra de evidência por duas pessoas, mesmo que o achado seja real. Por isso, os PNGs de evidência são recortados no jump host antes de o lab_hash rodar. Calcular o hash de uma imagem que contém um segredo e apagá-la depois ainda deixa o segredo no histórico de backup, que dura mais que o engajamento. Se um segredo chega a um arquivo de evidência, Sam relata o fato, a equipe de identidade troca a credencial e o recorte limpo substitui o original no índice de evidências.

3.5 Estações administrativas

Os jump hosts devem ser o único caminho para tarefas administrativas; testes que encontram RDP administrativo direto a partir de VLANs de e-mail importam. As estações administrativas que Sam usa nos testes são jump hosts fornecidos pela NMT. Notebooks pessoais não guardam evidências, e Sam não copia nada do jump host para um celular ou disco doméstico durante o ENG-512; a política de jump da NMT bloqueia clientes pessoais de sincronização em nuvem. Sua lista de limpeza confirma que nenhum arquivo de ENG ficou na pasta Downloads do jump host depois da janela, e a verificação é marcada no pacote do ENG-512 antes de ele ser fechado.

3.6 Ligação com o ATT&CK

O abuso de contas legítimas corresponde ao T1078 Valid Accounts, o que é útil ao escrever recomendações de detecção. Sam acrescenta esse rótulo quando um achado trata de credenciais de funcionários roubadas ou reutilizadas, para que o SOC possa buscar por um nome comum; o rótulo não prova a existência de um atacante externo. Quando achados de autenticação são entregues, o assunto do chamado do SOC inclui o T1078 e a janela de tempo. Identificadores de passageiros nunca são colados nesse assunto, porque os assuntos dos chamados do SOC são copiados para painéis e resumos por e-mail que muitos leitores veem. Os detalhes ficam no pacote de evidências restrito, onde o acesso é registrado.

3.7 Dia da revogação

No domingo à noite, Sam verifica se a tst-sam-web foi desativada. Contas de teste esquecidas estão entre os achados mais comuns que ele escreve sobre outras equipes, e ele não vai virar um deles. Se o ENG-512 se estender até a segunda-feira, Sam pede uma nova conta com prazo definido, em vez de pedir a alguém que prorrogue a antiga em silêncio. Se tarefas de segunda-feira ainda se autenticam como tst-sam-web, ele abre um chamado com severidade antes de qualquer outro trabalho do dia. O dia da revogação é um controle, não uma sugestão, e seu resultado é registrado no pacote do ENG-512 como qualquer outra verificação.

3.8 MFA nas contas de teste

Onde a NMT exige MFA, as contas de teste também recebem MFA. Dispensar o MFA "porque é homologação" ensina maus hábitos e enfraquece a homologação como campo de prova. O MFA nas contas de teste é exigido da mesma forma que na VPN dos funcionários. Uma conta de teste sem MFA é, ela própria, um achado; Sam não defende uma exceção de MFA para facilitar os scripts. Um desafio de MFA ao vivo na abertura é obrigatório, e uma conta de teste com MFA cadastrado, mas com falha na entrega por SMS ou aplicativo, interrompe o ENG-512 até que a equipe de identidade a conserte.

3.9 Disciplina de campo

Quando Sam recebe uma nova conta de teste, ele percorre uma lista de quatro passos: confirmar que a conta está em seu nome, confirmar que os grupos correspondem às ROE, guardar o segredo no cofre sob o ID do engajamento e marcar no calendário um lembrete para o dia da revogação. Pular qualquer passo já custou caro à NMT: uma conta compartilhada ficou em Domain Admins depois que um terceirizado saiu. A disciplina de campo para identidades se resume, portanto, a contas de teste no cofre, expiração no domingo, MFA ativo e nenhum grupo da rede de tarifas na tst-sam-web. Antes da janela, os colegas conferem esses quatro pontos num teste rápido, e respostas erradas adiam a janela. Sam trata a higiene de contas como parte do ofício de testar, e não como papelada de outra pessoa.

Exemplo resolvido (NMT sintética)

Sam recebe a conta tst-sam-web com acesso de leitura apenas à homologação, guardada no cofre para o ENG-512 e com expiração automática no domingo à noite.

Caso sintético — Northline Municipal Transit (NMT). A operadora de transporte, Sam Park e todos os números foram inventados para fins didáticos.

Erros e limites

Sistemas de transporte reais e equipamentos de tarifa nunca são testados sem uma autorização separada e especializada. Este livro usa apenas dados sintéticos e não concede autorização para testar sistemas reais.

Exercícios

EX009 — Camadas. Nomeie as três camadas de identidade do capítulo.
Mostrar critérios de avaliação
Rubrica: 3 = local, domínio/AD, aplicação; 2 = duas; 1 = uma; 0 = nada.
EX010 — Conta de teste com menor privilégio. Que direitos a tst-sam-web deve ter?
Mostrar critérios de avaliação
Rubrica: 3 = apenas os direitos de homologação necessários às verificações das ROE; 2 = parcial; 1 = administrador do domínio; 0 = nada.
EX011 — Conta "deus" compartilhada. Por que uma conta administrativa de pentest compartilhada é um achado?
Mostrar critérios de avaliação
Rubrica: 3 = sem responsabilização; excesso de privilégio; acesso remanescente; 2 = parcial; 1 = conveniente, tudo bem; 0 = nada.
EX012 — Cofre. Onde ficam as senhas de teste?
Mostrar critérios de avaliação
Rubrica: 3 = cofre aprovado; não no chat/git; 2 = cofre; 1 = post-it; 0 = nada.

Síntese

Contas nominais, de menor privilégio, guardadas no cofre e com prazo definido tornam os testes responsabilizáveis.

Continue estudando — capítulo 03 de 18

← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →