Capítulo 5 — Escopo de segurança e evidências

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Escopo"]
  N1["5.2 Evidências"]
  N2["5.3 Dados sensíveis"]
  N3["5.4 Relato"]
  N4["5.5 Caso resolvido"]
  N5["5.6 Atividade prática"]
  N6["5.8 Quando algo dá errado"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Escopo"]
  N1["5.2 Evidências"]
  N2["5.3 Dados sensíveis"]
  N3["5.4 Relato"]
  N4["5.5 Caso resolvido"]
  N5["5.6 Atividade prática"]
  N6["5.8 Quando algo dá errado"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX013"]

[5.1 Escopo]
    |
    v
[5.2 Evidências]
    |
    v
[5.3 Dados sensíveis]
    |
    v
[5.4 Relato]
    |
    v
[5.5 Caso resolvido]
    |
    v
[5.6 Atividade prática]
    |
    v
[5.8 Quando algo dá errado]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) trabalhar apenas dentro do escopo escrito; (2) coletar evidências que outras pessoas possam verificar; (3) proteger os dados sensíveis que encontrar; e (4) relatar constatações com clareza.

5.1 Escopo

Antes de executar qualquer verificação — mesmo uma conexão de cliente TLS a um servidor de produção —, confirme que ela está dentro do seu escopo escrito: quais sistemas, quais métodos, quais horários e a quem ligar se algo der errado. Testes ativos que tentam forçar downgrades ou injetar falhas são feitos apenas num laboratório isolado.

No HHG, o ticket OPS-412 é um exemplo: ele nomeia o jump host do laboratório, o portal de homologação e o método. Se não tiver certeza de que uma verificação está coberta, pergunte antes de executá-la, não depois.

5.2 Evidências

Uma boa evidência é específica e reproduzível: o comando, o alvo, o horário, a saída e a versão da ferramenta. Capturas de tela sozinhas são fracas; a saída em texto salva com uma anotação é melhor. Guarde as evidências onde a sua equipe combinou, não no seu notebook.

Na constatação do OPS-412, a saída foi salva numa pasta de evidências com o nome do ticket, com horário e ferramenta. Use sempre a mesma nomenclatura, para que as evidências possam ser encontradas depois, e mantenha a versão da ferramenta junto de cada saída, porque um cliente antigo pode relatar o resultado errado.

5.3 Dados sensíveis

Capturas de handshake, logs e arquivos de configuração podem conter nomes de host, endereços de clientes e às vezes credenciais. Colete apenas o que precisa (por exemplo, o grupo negociado), evite payloads completos de pacotes e siga as regras de retenção.

No HHG, os registros de hóspedes incluem dados de passaporte, então capturas de pacotes de sistemas voltados aos hóspedes poderiam contê-los. Prefira a saída das ferramentas de cliente e os campos de log às capturas. Se capturar algo por engano, avise o seu supervisor e apague o arquivo seguindo as regras de retenção. Apague o que não precisar mais quando a tarefa terminar.

5.4 Relato

Uma constatação declara o que você observou, onde, quando, como, por que isso importa e o que você recomenda, além de quem é responsável pela correção. Mantenha os fatos separados das opiniões.

Uma boa constatação permite ao responsável agir sem lhe fazer perguntas. Escreva primeiro a observação, depois a evidência, depois a sua interpretação, claramente marcada como provável, e não como certa. Nomeie o responsável e uma etapa de reverificação, para que a constatação possa ser encerrada com evidência. Se a sua interpretação se mostrar errada após a reverificação, atualize a constatação e diga isso.

5.5 Caso resolvido

Constatação (sintética): "Em 3 de outubro, às 10:15, a partir do jump host do laboratório (no escopo conforme o ticket OPS-412), openssl s_client para guest-portal.staging.hhg.example negociou X25519, embora a configuração do servidor liste X25519MLKEM768. Saída salva em evidence/OPS-412/. Causa provável: ordem dos grupos. Impacto: proteção híbrida não está em uso na homologação. Recomendação: reordenar os grupos; reverificar. Responsável: Web Operations."

Repare como a constatação separa fato de inferência: o grupo negociado e a configuração são observados, enquanto "ordem dos grupos" é marcada como causa provável. A constatação nomeia o escopo, o local da evidência, o impacto e o responsável, de modo que o Web Operations possa agir e verificar o resultado.

5.6 Atividade prática

Escreva uma constatação nesse formato para um resultado de laboratório do Capítulo 2.

Use uma das suas execuções do Capítulo 2, por exemplo a conexão que recorreu ao X25519 quando o híbrido não foi oferecido. Inclua o horário, a referência de escopo, o comando e a versão da ferramenta, onde a saída está salva, a causa provável marcada como tal, o impacto, uma recomendação e um responsável. Mantenha fatos e opiniões em frases separadas. Peça a um colega que verifique se um responsável conseguiria agir com base nela sem lhe perguntar nada.

5.7 Erros comuns e limites

• Testar fora do escopo "só para conferir".
• Evidência sem horário ou versão da ferramenta.
• Coletar capturas completas de pacotes.

Cada erro abala a confiança. Uma verificação fora do escopo, por menor que seja, pode derrubar um serviço e encerrar a autorização da sua equipe. Uma evidência sem horário ou versão da ferramenta não pode ser reproduzida nem comparada, então o trabalho precisa ser refeito. Capturas completas de pacotes coletam dados de hóspedes, como os de passaporte, de que ninguém precisava. Confira cada constatação e cada pasta de evidências quanto aos três antes de entregá-las. Corrija o que encontrar.

5.8 Quando algo dá errado

Se uma verificação que você executar causar um efeito inesperado — um alerta, um serviço lento, uma conta bloqueada —, pare, anote o horário e o que executou e ligue para o contato nomeado no seu escopo. Não tente corrigir em silêncio. É o relato precoce e honesto que mantém a autorização para trabalhos futuros, e a linha do tempo que você registra ajuda o responsável pelo serviço a separar o seu teste de qualquer incidente real que esteja acontecendo ao mesmo tempo.

Depois, acrescente à pasta de evidências uma nota curta descrevendo o que aconteceu e o que você faria diferente; o próximo operador que usar o mesmo escopo vai se beneficiar disso.

Exercícios

• EX013 — Verificação de escopo. Liste as quatro coisas que você confirma antes de executar uma verificação. Rubrica: 3 = sistemas, métodos, horários, contato.
• EX014 — Campos da evidência. Liste cinco campos de um bom registro de evidência. Rubrica: 3 = comando, alvo, horário, saída, versão da ferramenta.
• EX015 — Constatação. Reescreva "a VPN é ruim para o quântico" como uma constatação adequada. Rubrica: 3 = observação, local, horário, método, impacto, recomendação, responsável.

Síntese

Os operadores trabalham dentro do escopo escrito, coletam evidências verificáveis minimizando os dados sensíveis e escrevem constatações que separam fatos de opiniões.