◇ OpenCyber Academy
Tecnólogo · Capítulo 8 · Português

Capítulo 8 — Fundamentos de arquitetura de segurança

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 8 — Fundamentos de arquitetura de segurança

Mapa da aula

Aula 08 publicada. Mapa, exemplo, EX022.

flowchart TD
  N0["8.1 Segmentação"]
  N1["8.2 Log centralizado"]
  N2["8.3 Sincronização de horário"]
  N3["8.4 Prontidão pericial"]
  N4["8.5 Melhorias de baixo custo"]
  N5["8.6 Documentação"]
  N6["8.7 Priorização"]
  N7["Acesso remoto"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX022"]

Desenho lógico

flowchart LR
  N0["8.1 Segmentação"]
  N1["8.2 Log centralizado"]
  N2["8.3 Sincronização de horário"]
  N3["8.4 Prontidão pericial"]
  N4["8.5 Melhorias de baixo custo"]
  N5["8.6 Documentação"]
  N6["8.7 Priorização"]
  N7["Acesso remoto"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX022"]

[8.1 Segmentação]
    |
    v
[8.2 Log centralizado]
    |
    v
[8.3 Sincronização de horário]
    |
    v
[8.4 Prontidão pericial]
    |
    v
[8.5 Melhorias de baixo custo]
    |
    v
[8.6 Documentação]
    |
    v
[8.7 Priorização]
    |
    v
[Acesso remoto]
    |
    v
[Exemplo resolvido] --> [Exercício EX022]

Objetivos de aprendizagem

Você vai (1) descrever a segmentação, o log centralizado e a sincronização de horário; (2) identificar escolhas de arquitetura que ajudam ou atrapalham as investigações; (3) propor melhorias de baixo custo; (4) relacionar a arquitetura à prontidão.

8.1 Segmentação

Separar as redes limita o alastramento. Em Alder Falls, todos os desktops de escritório compartilham uma única VLAN, então um desktop comprometido consegue alcançar a porta de área de trabalho remota de todos os outros. O achado no CLERK-03 mostra o efeito: a área de trabalho remota a partir de outro PC de escritório foi possível porque nada separava os desktops entre si. Segmentar não precisa significar hardware novo; regras de firewall de host que só permitem área de trabalho remota a partir das máquinas de gestão de TI alcançam boa parte do benefício. Elas também tornam o tráfego incomum mais fácil de ver, porque os caminhos legítimos passam a ser poucos e conhecidos.

8.2 Log centralizado

Enviar os logs a um coletor central os protege contra a exclusão em hosts comprometidos e os mantém além da rotação local. Alder Falls encaminha os logs dos servidores, mas não os dos desktops. Como os logs dos desktops ficam nos próprios desktops, os logons no CLERK-03 só ficaram visíveis depois do exame do PC, e um intruso com direitos de administrador poderia tê-los apagado. Um coletor central que recebesse os eventos de segurança dos desktops teria guardado uma cópia independente e permitido a Renata pesquisar em muitas máquinas de uma vez, em vez de visitar cada uma.

8.3 Sincronização de horário

Todos os dispositivos devem sincronizar com a mesma fonte de horário. A correlação dos eventos do CLERK-03 com os logs do firewall dependeu disso. Quando os relógios se desviam, a ordem dos eventos entre as fontes fica incerta. Um registro do firewall às 08:01 e um logon às 08:02:40 no CLERK-03 só podem ser comparados se os dois relógios concordarem. Renata confirma que todos os dispositivos sincronizam com o mesmo servidor interno de horário e que esse servidor segue uma fonte externa confiável, e registra a verificação nas notas do caso. Um desvio de apenas um minuto pode inverter a ordem aparente de um logon e da ação que ele possibilitou.

8.4 Prontidão pericial

A ISO/IEC 27043 inclui a prontidão: preparar o registro de logs, a retenção, as ferramentas e os procedimentos antes dos incidentes. Para uma prefeitura, a prontidão reduz o tempo e o custo das investigações. Para Alder Falls, isso significa decidir de antemão quais logs são guardados e por quanto tempo, quais ferramentas são aprovadas, quem pode coletar evidências e onde elas ficam armazenadas. Sem essa preparação, a equipe de Renata passou horas procurando logs e permissões durante o caso do CLERK-03. Cada item de prontidão deve poder ser ligado a uma pergunta que uma investigação precisará responder. A prontidão também inclui prática: um exercício curto a cada ano mostra se o plano funciona.

8.5 Melhorias de baixo custo

Bloquear a área de trabalho remota entre desktops com regras de firewall de host; encaminhar os logs de segurança dos desktops; definir senhas únicas de admin local; manter linhas de base semanais. Cada uma dessas medidas usa ferramentas que a prefeitura já tem. As regras de firewall de host e o gerenciamento de senhas locais são recursos do sistema operacional; o encaminhamento de logs precisa de espaço no coletor; as linhas de base semanais precisam de um script agendado. A estimativa de Jonah para cada uma lista o esforço, o custo e qual pergunta do incidente ela teria respondido mais depressa no caso do CLERK-03. Nenhuma exige um produto novo, e cada uma pode ser revertida se causar problemas.

8.6 Documentação

Os diagramas de rede e as listas de fontes de log são mantidos atualizados; diagramas desatualizados enganam os investigadores. Em Alder Falls, o diagrama de rede ainda mostrava uma VLAN separada para o setor de alvarás, que tinha sido incorporada à rede comum dois anos antes. Jonah o corrige e acrescenta uma data e um responsável ao diagrama e à lista de fontes de log. Um investigador que confia num diagrama antigo pode concluir que um tráfego era impossível quando, na verdade, ele era permitido. Os diagramas devem ser revisados sempre que uma mudança de rede é aprovada, e não só uma vez por ano.

8.7 Priorização

As mudanças que ao mesmo tempo previnem ataques e preservam evidências vêm primeiro. Bloquear a área de trabalho remota entre desktops faz as duas coisas: teria impedido o logon no CLERK-03 a partir de outro desktop e, ao reduzir o tráfego legítimo, faria qualquer tentativa se destacar. Encaminhar os logs dos desktops ajuda principalmente a investigação; senhas únicas de admin local previnem principalmente o alastramento. Jonah as classifica nessa ordem em sua nota, dando a cada uma um motivo curto que Renata possa defender diante dos gestores. As mudanças que só acrescentam custo, sem melhorar a prevenção ou a evidência, esperam até que as outras estejam feitas. Jonah também marca quais itens exigem interrupção do serviço, porque esses precisam ser agendados com os responsáveis pelos serviços, e não aplicados de uma vez.

Acesso remoto

A VPN permite que os funcionários trabalhem de casa. As escolhas de arquitetura — exigir autenticação multifator, restringir quais sistemas internos os usuários da VPN podem alcançar e registrar cada sessão — reduzem o risco e dão aos investigadores registros claros da atividade remota. Jonah confirma que os logs da VPN chegam ao coletor central e são guardados por doze meses, mais tempo que os logs dos desktops.

Custo da prontidão

Encaminhar os logs dos desktops exige armazenamento no coletor; Jonah estima o volume a partir de uma semana de amostras e apresenta o custo ao lado das horas de investigação perdidas neste incidente.

Exemplo resolvido

Jonah redige uma nota de arquitetura de uma página: "Observado: RDP entre desktops permitido; logs dos desktops não encaminhados; senhas de admin local idênticas. Efeito neste incidente: movimento lateral de 10.20.4.12 para o CLERK-03 possível e visível apenas no CLERK-03. Recomendação: bloquear o RDP entre desktops, encaminhar os logs dos desktops, trocar as senhas de admin local."

Caso sintético. A nota é inventada.

Erros e limites

Mudanças de arquitetura levam tempo e custam dinheiro; priorize-as, implante-as em fases e meça o efeito.

Exercícios

Síntese

Escolhas simples de arquitetura decidem até onde os ataques se espalham e quanta evidência sobrevive.

Continue estudando — capítulo 08 de 30

← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →