Capítulo 7 — Dados e telemetria | Técnico Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX025.

flowchart TD
  N0["7.1 Logs úteis"]
  N1["7.2 Caminho de acesso"]
  N2["7.3 Nada de despejos da produção"]
  N3["7.4 Confirmação de achados"]
  N4["7.5 Sincronização de relógios"]
  N5["7.6 Retorno para a detecção"]
  N6["7.7 Amostra, e não exportação completa"]
  N7["7.8 Dados pessoais nos logs"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX025"]

Desenho lógico

flowchart LR
  N0["7.1 Logs úteis"]
  N1["7.2 Caminho de acesso"]
  N2["7.3 Nada de despejos da produção"]
  N3["7.4 Confirmação de achados"]
  N4["7.5 Sincronização de relógios"]
  N5["7.6 Retorno para a detecção"]
  N6["7.7 Amostra, e não exportação completa"]
  N7["7.8 Dados pessoais nos logs"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX025"]

[7.1 Logs úteis]
    |
    v
[7.2 Caminho de acesso]
    |
    v
[7.3 Nada de despejos da produção]
    |
    v
[7.4 Confirmação de achados]
    |
    v
[7.5 Sincronização de relógios]
    |
    v
[7.6 Retorno para a detecção]
    |
    v
[7.7 Amostra, e não exportação completa]
    |
    v
[7.8 Dados pessoais nos logs]
    |
    v
[Exemplo resolvido] --> [Exercício EX025]

Objetivos de aprendizagem

Você vai (1) identificar logs úteis nos testes e na detecção; (2) pedir acesso do jeito certo; (3) evitar despejar dados de produção; (4) usar a telemetria para confirmar achados.

7.1 Logs úteis

Os logs úteis nos testes e na detecção incluem logs de acesso web, falhas de autenticação da API, autenticações na VPN, bloqueios do WAF e logins no AD. Para o ENG-512, os logs úteis são as permissões e negações do WAF, as falhas de autenticação da API, os inícios de sessão na VPN e os comandos no jump host. Despejos completos da produção são recusados; Sam pede amostras do WAF e da autenticação da API apenas para o horário da janela do ENG-512. Logs úteis são esses recortes, e não despejos de vários dias. Pedir o recorte com antecedência, com os horários da janela escritos no pedido, permite ao SOC prepará-lo antes do sábado, em vez de procurá-lo durante o teste.

7.2 Caminho de acesso

Sam pede acesso somente leitura aos logs durante a janela por meio das ROE, e não usando a senha do SIEM de outra pessoa. O caminho de acesso aos logs é somente leitura, pelo chamado do SOC, e não um papel administrativo pessoal na produção, e o acesso somente leitura basta. Elevar a tst-sam-web a administradora de logs da produção é recusado, mesmo quando o SOC demora a responder ao chamado; a conta de teste de Sam nunca vira um atalho para administrar logs. A disciplina do caminho de acesso limita o raio de impacto se a conta de teste um dia for mal usada.

7.3 Nada de despejos da produção

Exportar tabelas inteiras de usuários para análise está fora dos limites; use amostras sintéticas ou minimizadas. Nada de despejos da produção significa nenhuma exportação completa da tabela de histórico de viagens para provar um achado, e despejos da tabela de viagens da produção nunca servem de material didático. Uma amostra mascarada que mostre a classe do problema basta para o trabalho do ENG-512, focado na homologação, e é o máximo que Sam anexa. Se um responsável insistir numa exportação maior, o pedido volta ao responsável pelas ROE e ao contato de privacidade, em vez de ser resolvido no canal do engajamento.

7.4 Confirmação de achados

Um achado de controle de acesso fica mais forte quando os logs mostram que a requisição não autorizada teve sucesso. Confirmar achados com logs significa casar os horários depois de sincronizar os relógios. No exercício sintético, o laço de 401 das 10:12 é confirmado quando os logs da API mostram o mesmo minuto e o relógio do jump host concorda com os hosts da API em até dois minutos. Sem essa concordância, o horário da mensagem de parada não tem qualidade de evidência. O exemplo resolvido abaixo usa a mesma ideia com um ID de requisição, que liga a linha de log a uma requisição de teste específica.

7.5 Sincronização de relógios

Anote os fusos horários e o estado do NTP ao correlacionar logs com as notas de atividade. A sincronização de relógios entre o jump host de Sam e os hosts da API é verificada na abertura, com uma checagem de NTP contra o VIP da API. Uma diferença maior que dois minutos é corrigida antes de se confiar nos horários das evidências, nos hashes e nas comparações de logs. Sam escreve a diferença medida no registro de atividades, para que um revisor veja que a verificação foi feita e qual era o tamanho da diferença. Um fuso horário escrito ao lado de cada horário evita uma segunda classe de erros quando se comparam logs de sistemas diferentes.

7.6 Retorno para a detecção

Compartilhe os nomes das técnicas com o SOC para que ele possa construir detecções depois do teste. O retorno de detecção do ENG-512 lista quais cartões de método rodaram e a que horas pararam. O silêncio depois do início do ENG-512 é uma falha de coordenação, e não um objetivo de furtividade; o SOC nunca deve descobrir que o ENG-512 terminou apenas pelo silêncio. A nota de retorno também diz quais verificações o SOC viu e quais deixou passar, para que as lacunas virem trabalho de detecção, e não surpresas na próxima janela. Ela é enviada no mesmo dia em que a janela se fecha.

7.7 Amostra, e não exportação completa

Quando uma consulta de logs devolve milhares de linhas, Sam exporta uma amostra limitada no tempo em torno de sua atividade de teste, e não o dia inteiro, a menos que as ROE peçam mais. Para um achado, ele pede cinco minutos de logs de autenticação da API em torno dele, e não o despejo de um dia. Amostras menores protegem os passageiros e ainda confirmam o problema, e também economizam tempo de revisão, já que um colega consegue ler cinco minutos de linhas de uma só vez. A consulta que produziu a amostra é salva ao lado dela, para que o mesmo recorte possa ser extraído de novo no reteste.

7.8 Dados pessoais nos logs

Os logs podem conter nomes, telefones, e-mails, números de cartão e posições de GPS precisas de passageiros. Se um log que Sam precisa guardar contém telefones de passageiros, ele o armazena no caminho restrito do cofre e anota a presença de dados pessoais no índice de evidências. O mascaramento de logs remove e-mails, PANs de cartão e GPS preciso antes que capturas de tela ou extratos entrem no cofre. Uma linha de log com o e-mail de um passageiro reprova na minimização mesmo que o achado seja sobre autenticação, e dados pessoais deixados numa captura de tela didática também reprovam.

7.9 Disciplina de campo

Sam reserva o acesso ao SIEM no mesmo chamado das ROE, com data de término. Quando o engajamento termina, ele confirma que seu acesso foi removido; um acesso de leitura esquecido é, ele próprio, um achado que ele escreveria sobre qualquer outra pessoa. Durante a janela, ele salva consultas, e não despejos brutos, para que outro técnico possa refazer a investigação sem guardar dados excessivos de passageiros. A disciplina de campo para a telemetria é amostrar, mascarar, sincronizar os relógios e avisar o SOC. A mensagem de parada do ENG-512 que Sam enviou depois do laço de 401 nomeou o horário e o sistema, para que a detecção pudesse correlacionar.

Exemplo resolvido (NMT sintética)

Sam correlaciona uma resposta 200 da API de homologação sobre o recurso de outro usuário com o horário do seu registro de atividades; o log da aplicação mostra o mesmo ID de requisição.

Caso sintético — Northline Municipal Transit (NMT). A operadora de transporte, Sam Park e todos os números foram inventados para fins didáticos.

Erros e limites

Sistemas de transporte reais e equipamentos de tarifa nunca são testados sem uma autorização separada e especializada. Este livro usa apenas dados sintéticos e não concede autorização para testar sistemas reais.

Exercícios

EX025 — Tipos de log. Liste quatro tipos de log úteis na NMT.
Mostrar critérios de avaliação
Rubrica: 3 = quatro do capítulo; 2 = três; 1 = um; 0 = nada.
EX026 — Senha emprestada. Sam pode usar o login do SIEM do analista do SOC?
Mostrar critérios de avaliação
Rubrica: 3 = não; pedir acesso nominal somente leitura; 2 = não; 1 = sim; 0 = nada.
EX027 — Despejo. Por que não exportar o BD de viagens inteiro?
Mostrar critérios de avaliação
Rubrica: 3 = privacidade/escopo/minimização; 2 = parcial; 1 = tudo bem; 0 = nada.
EX028 — Evidência mais forte. Que detalhe de log fortalece um achado de controle de acesso?
Mostrar critérios de avaliação
Rubrica: 3 = ID/horário/usuário da requisição não autorizada bem-sucedida; 2 = parcial; 1 = vago; 0 = nada.

Síntese

A telemetria é pedida do jeito certo, minimizada e usada para fortalecer achados — e não para acumular dados.

Continue estudando — capítulo 07 de 18

← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →