Capítulo 11 — Governança, riscos e compliance de segurança: verificação
Mapa da aula
Aula 11 publicada. Mapa, exemplo, EX041.
flowchart TD
N0["11.1 Regras aprovadas"]
N1["11.2 Encontrar regras não aprovadas"]
N2["Laboratório — Verificar as regras de firewall contra"]
N3["11.3 Investigar e registrar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX041"]
Desenho lógico
flowchart LR
N0["11.1 Regras aprovadas"]
N1["11.2 Encontrar regras não aprovadas"]
N2["Laboratório — Verificar as regras de firewall contra"]
N3["11.3 Investigar e registrar"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX041"]
[11.1 Regras aprovadas]
|
v
[11.2 Encontrar regras não aprovadas]
|
v
[Laboratório — Verificar as regras de firewall contra]
|
v
[11.3 Investigar e registrar]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX041]
Objetivos de aprendizagem
Você vai (1) verificar as regras de firewall contra uma lista aprovada; (2) investigar as regras não aprovadas; (3) registrar os resultados da verificação.
11.1 Regras aprovadas
A Fenwick mantém uma lista de regras de firewall aprovadas para a rede das filiais: quem pode se conectar a quê, em que porta. Amina aprende que a verificação compara a configuração real com a lista aprovada. Diferenças significam que a lista está desatualizada ou que o firewall tem regras não aprovadas. O PCI DSS v4.0 espera a revisão regular dos controles de segurança de rede, e a verificação é o modo de essa revisão virar evidência. Cada diferença é então resolvida de um jeito ou de outro: a lista é atualizada com aprovação, ou a regra é removida.
11.2 Encontrar regras não aprovadas
O laboratório compara cinco regras de firewall com três aprovadas. Três batem. Duas não são aprovadas: uma permite área de trabalho remota de qualquer origem para o segmento das maquininhas de pagamento, na porta 3389, e outra permite que os computadores do escritório alcancem o gateway de pagamento. Amina trata a primeira como urgente, porque expõe os sistemas de pagamento à internet. Ela relata as duas ao líder de TI, com a evidência. A porta 3389 aberta para a internet no segmento das maquininhas é exatamente o tipo de exposição que a segmentação exigida pelo PCI DSS deve impedir.
Laboratório — Verificar as regras de firewall contra uma lista aprovada
"""Verify firewall rules against an approved list (synthetic branch firewall)."""
approved = {("any", "web-shop", 443), ("branch-pos", "payment-gw", 443), ("it-admin", "branch-pos", 22)}
rules = [("any", "web-shop", 443), ("branch-pos", "payment-gw", 443), ("it-admin", "branch-pos", 22),
("any", "branch-pos", 3389), ("office", "payment-gw", 443)]
for r in rules: print(r, "approved" if r in approved else "UNAPPROVED")
print(f"rules {len(rules)}; unapproved {sum(r not in approved for r in rules)}")
Execute com python3 lab_rules.py. Saída verificada:
('any', 'web-shop', 443) approved
('branch-pos', 'payment-gw', 443) approved
('it-admin', 'branch-pos', 22) approved
('any', 'branch-pos', 3389) UNAPPROVED
('office', 'payment-gw', 443) UNAPPROVED
rules 5; unapproved 2
11.3 Investigar e registrar
O líder de TI descobre que uma empresa de suporte acrescentou a regra de área de trabalho remota para um reparo pontual e nunca a removeu. A regra do escritório foi criada quando um gerente precisou conferir pagamentos, o que deveria ser feito pelo portal web do gateway. As duas regras são removidas. Amina registra a verificação, os achados, as causas e as correções. Ela aprende que a verificação encontra o que o controle de mudanças deixou passar, então os dois controles são necessários. A regra da empresa de suporte também mostra por que o contrato deveria exigir a remoção das regras temporárias depois do trabalho.
Exemplo resolvido
Amina verifica cinco regras de firewall, encontra duas não aprovadas, entre elas uma exposição urgente de área de trabalho remota, e registra as causas e as correções.
Caso sintético. As regras são sintéticas; o PCI DSS v4.0 é real.
Erros e limites
As listas aprovadas podem estar erradas. A verificação é periódica.
Exercícios
- EX041 — Contagem de não aprovadas. Quantas regras não eram aprovadas? Rubrica: 3 = duas;; 2 = 2;; 1 = três;; 0 = nenhuma.
- EX042 — Regra urgente. Que regra não aprovada era urgente? Rubrica: 3 = área de trabalho remota de qualquer origem para o segmento de pagamento;; 2 = RDP;; 1 = vago;; 0 = nenhuma.
- EX043 — Causa do RDP. Por que a regra de área de trabalho remota existia? Rubrica: 3 = uma empresa de suporte a acrescentou para um reparo pontual;; 2 = suporte;; 1 = vago;; 0 = nenhuma.
- EX044 — Dois controles. Por que são necessários tanto o controle de mudanças quanto a verificação? Rubrica: 3 = a verificação encontra o que o controle de mudanças deixou passar;; 2 = complementares;; 1 = vago;; 0 = nenhuma.
Síntese
A verificação em relação a listas aprovadas encontra desvios arriscados que o controle de mudanças, sozinho, deixa passar.
Continue estudando — aula 11 (capítulo 11 de 18)
← Capítulo 10 · Índice das aulas · Capítulo 12 →
Continue para a próxima aula já escrita.