◇ OpenCyber Academy
Técnico · Capítulo 9 · Português

Capítulo 9 — Ferramentas e métodos

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 9 — Ferramentas e métodos

Mapa da aula

Aula 09 publicada. Mapa, exemplo, EX033.

flowchart TD
  N0["9.1 Cartões de método"]
  N1["9.3 Seleção do WSTG"]
  N2["9.4 Interpretação"]
  N3["9.5 Fixação de versões"]
  N4["9.6 Métodos proibidos"]
  N5["9.7 Biblioteca de cartões"]
  N6["9.8 Orçamento de ruído"]
  N7["9.9 Disciplina de campo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX033"]

Desenho lógico

flowchart LR
  N0["9.1 Cartões de método"]
  N1["9.3 Seleção do WSTG"]
  N2["9.4 Interpretação"]
  N3["9.5 Fixação de versões"]
  N4["9.6 Métodos proibidos"]
  N5["9.7 Biblioteca de cartões"]
  N6["9.8 Orçamento de ruído"]
  N7["9.9 Disciplina de campo"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX033"]

[9.1 Cartões de método]
    |
    v
[9.3 Seleção do WSTG]
    |
    v
[9.4 Interpretação]
    |
    v
[9.5 Fixação de versões]
    |
    v
[9.6 Métodos proibidos]
    |
    v
[9.7 Biblioteca de cartões]
    |
    v
[9.8 Orçamento de ruído]
    |
    v
[9.9 Disciplina de campo]
    |
    v
[Exemplo resolvido] --> [Exercício EX033]

Objetivos de aprendizagem

Você vai (1) escolher métodos a partir dos temas do WSTG; (2) configurar ferramentas com limites de taxa; (3) interpretar resultados com o modelo de sistema; (4) manter um cartão de método por verificação.

9.1 Cartões de método

Cada cartão traz: propósito, referência às ROE, ferramenta/configurações, condições de parada e evidência esperada. Além desses campos, todo cartão precisa nomear a verificação, o limite de taxa, o modo de dano e a evidência esperada. Essas quatro entradas são o mínimo para o ENG-512: um cartão a que falte qualquer uma delas é rejeitado na revisão por pares e fica fora da pilha de sábado de Sam. A regra mantém verificações improvisadas fora do engajamento, porque um técnico não pode executar um método cuja taxa e cujo dano nunca foram escritos e combinados.

9.2 Limites de taxa

As ferramentas de varredura recebem limites de taxa explícitos, abaixo do que a homologação aguenta. Mais rápido não é melhor. Nas verificações de login da homologação, isso significa um teto rígido de tentativas por minuto, definido para que o padrão do laço de 401 não se repita e o orçamento de ruído fique intacto. Quando o teto é atingido, a tarefa falha de forma fechada e termina; ela não desacelera em silêncio para continuar tentando. Os cartões de autenticação do planejador de viagens seguem a mesma regra, de modo que um colega que leia qualquer cartão de autenticação vê a taxa combinada e sabe exatamente o que acontece quando ela é atingida.

9.3 Seleção do WSTG

Sam escolhe autenticação, sessão, controle de acesso e tratamento de entradas para a API do planejador de viagens, e não todos os itens do WSTG numa mesma janela. A seleção do WSTG para a homologação da NMT se concentra nas verificações de sessão, autenticação e entradas que correspondem ao risco voltado aos passageiros, com sessão e autenticação no planejador de viagens em primeiro lugar. Cartões que precisam de backends de tarifa não são selecionados para o ENG-512 comum e ficam fora da lista de seleção. Uma seleção estreita bem feita também dá ao relatório uma declaração de cobertura honesta: os temas deixados de fora são nomeados como não testados nesta janela, em vez de sugeridos como limpos.

9.4 Interpretação

Associe cada alerta de ferramenta a um elemento do modelo antes de promovê-lo a achado. Um acerto de ferramenta só vira achado depois que uma pessoa traçou um caminho até o impacto. Um banner desatualizado relatado com baixa confiança fica na fase de descoberta até que Sam mostre exposição e impacto com evidências que um colega possa reproduzir na homologação. Isso mantém o ruído de banners fora do relatório e significa que todo achado que chega ao responsável já explica qual parte do modelo de sistema é afetada e por que isso importa.

9.5 Fixação de versões

Registre as versões das ferramentas no cartão de método. As versões das ferramentas de varredura e dos scripts são fixadas no caderno, ao lado do ENG-512, antes de a janela abrir. Sem a fixação, um reteste pode virar uma discussão sobre a configuração: o responsável diz FIXED, o testador vê STILL OPEN, e ninguém consegue dizer se a ferramenta mudou no meio do caminho. Com as versões anotadas, a segunda execução usa as mesmas ferramentas da primeira, então qualquer diferença no resultado aponta para a correção, e não para o ferramental.

9.6 Métodos proibidos

Password spraying e negação de serviço continuam proibidos na NMT. A lista de proibições também cobre sondagens na rede de tarifas e qualquer coisa que não esteja num cartão de método aprovado. A biblioteca de cartões de Sam imprime essa lista na capa, e a capa é lida em voz alta na abertura, para que todos os colegas ouçam os mesmos limites antes de a primeira verificação rodar. Um método que não está na biblioteca não é uma zona cinzenta a ser discutida durante a janela; ele está fora do escopo até que um novo cartão seja revisado e combinado.

9.7 Biblioteca de cartões

Os cartões de método ficam numa biblioteca da equipe, com responsáveis. Copiar um cartão sem ler as condições de parada é um erro comum de iniciante que Sam vigia. A biblioteca fica no repositório de runbooks, com um responsável e uma data de revisão em cada cartão. Um cartão sem revisão há doze meses é aposentado no arquivo antes de poder entrar no ENG-512, e Sam não executa cartões vencidos nos hosts do ENG-512. Um cartão aposentado só volta depois que seu responsável confere de novo a versão da ferramenta, a taxa e as condições de parada contra as ROE vigentes.

9.8 Orçamento de ruído

Se um método geraria mais alertas do que o SOC combinou atender, Sam reduz a taxa ou remarca; os parceiros de detecção não são saco de pancadas. O orçamento de ruído combinado com o SOC limita quantas falhas de autenticação o ENG-512 pode gerar, e é escrito como um número na folha de abertura. Ultrapassá-lo é uma condição de parada, tratada como disciplina e não como fraqueza, e não uma medalha de minúcia. Quando o orçamento é apertado, Sam distribui os cartões de autenticação por duas janelas, em vez de comprimi-los numa só.

9.9 Disciplina de campo

Cartões de método são inúteis se discordam das ROE. O passo de revisão de Sam é destacar a cláusula das ROE em que cada cartão se apoia; se não consegue destacar uma cláusula, o cartão é reescrito ou descartado. Esse hábito também educa os iniciantes: eles veem que "sempre rodamos a ferramenta X" não é um motivo, ao passo que "a cláusula 4.2 das ROE permite GET/POST autenticado na API de homologação a ≤1 rps" é um motivo. A disciplina de campo para métodos é cartões, taxas, versões fixadas, a lista de proibições e o orçamento de ruído, e Sam não acrescenta uma verificação engenhosa no meio da janela sem um cartão escrito e um aviso ao SOC.

Exemplo resolvido (NMT sintética)

O cartão de Sam para IDOR nas viagens salvas: WSTG-AUTHZ, curl com dois usuários de teste, taxa de 1 req/s, parar se a taxa de HTTP 5xx passar de 1%, evidência = IDs de requisição + respostas mascaradas.

Caso sintético — Northline Municipal Transit (NMT). A operadora de transporte, Sam Park e todos os números foram inventados para fins didáticos.

Erros e limites

Sistemas de transporte reais e equipamentos de tarifa nunca são testados sem uma autorização separada e especializada. Este livro usa apenas dados sintéticos e não concede autorização para testar sistemas reais.

Exercícios

Síntese

Cartões de método amarram propósito, ROE, limites de taxa e evidências — e mantêm os métodos proibidos de fora.

Continue estudando — capítulo 09 de 18

← Capítulo 08 (rascunho) · Índice de capítulos do curso · Capítulo 10 (rascunho) →