Capítulo 10 — Varredura de vulnerabilidades

Capítulo 10 — Varredura de vulnerabilidades

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 Varredura autorizada"]
  N1["10.2 Leitura dos resultados"]
  N2["10.3 Correção"]
  N3["10.4 Verificação"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 Varredura autorizada"]
  N1["10.2 Leitura dos resultados"]
  N2["10.3 Correção"]
  N3["10.4 Verificação"]
  N0 --> N1 --> N2 --> N3 --> Q["EX028"]

[10.1 Varredura autorizada]
    |
    v
[10.2 Leitura dos resultados]
    |
    v
[10.3 Correção]
    |
    v
[10.4 Verificação]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) executar varreduras de vulnerabilidades autorizadas; (2) interpretar os resultados das varreduras; (3) verificar as correções.

10.1 Varredura autorizada

Os varredores de vulnerabilidades verificam os sistemas em busca de fraquezas conhecidas. Jamal aprende que a varredura precisa ser autorizada por escrito, agendada para evitar os horários de movimento e limitada aos sistemas combinados. O gerente de TI do Riverbend aprova uma varredura mensal da sede e de um centro, fora do horário de funcionamento. A Sra. Grant lembra aos estudantes que fazer varredura no sistema de outra pessoa sem permissão é ilegal em muitos países. Jamal guarda uma cópia da aprovação assinada com os resultados da varredura. Ele executa a primeira varredura com o gerente de TI acompanhando, para que qualquer efeito inesperado nos sistemas do centro possa ser tratado imediatamente.

10.2 Leitura dos resultados

A varredura produz uma longa lista de achados com classificações de severidade. Jamal aprende que os varredores produzem falsos positivos, relatando uma fraqueza que não está presente, e que as classificações de severidade não levam em conta o contexto local. Um achado classificado como alto numa impressora interna pode importar menos do que um achado médio num sistema exposto à internet. Ele ordena os achados por severidade e exposição e verifica manualmente os primeiros itens. Ele confirma dois falsos positivos conferindo diretamente as versões do software e os registra para que possam ser ignorados nas varreduras futuras.

10.3 Correção

Jamal trabalha com o gerente de TI para corrigir os principais achados: uma ferramenta de acesso remoto desatualizada no servidor de arquivos, uma configuração de criptografia fraca num site interno e o firmware antigo do gravador de câmeras. Cada correção é registrada com a data e o responsável. Ele aprende que registros claros ajudam quando auditores ou seguradoras perguntam se as fraquezas conhecidas foram tratadas. O gerente de TI atualiza a ferramenta de acesso remoto e aplica a nova configuração de criptografia, enquanto Jamal baixa e instala o firmware do gravador de câmeras durante um período com o centro fechado. Cada mudança é testada antes que o centro reabra.

10.4 Verificação

Depois de corrigir, Jamal executa de novo a varredura nos sistemas afetados para confirmar que os achados sumiram. Um permanece, porque a ferramenta de acesso remoto tinha duas instalações. Ele remove a segunda e repete a varredura com sucesso. A Sra. Grant observa que a verificação é essencial, porque presumir que uma correção funcionou sem conferir é uma fonte comum de fraquezas que persistem. Jamal acrescenta um passo de nova varredura à lista de verificação mensal, para que toda correção seja confirmada antes de o achado ser encerrado. Ele também registra a segunda instalação no caderno como lição: os inventários de software instalado devem ser conferidos antes de presumir que uma única correção está completa.

Exemplo resolvido

Jamal executa varreduras mensais autorizadas, ordena os achados por severidade e exposição, corrige três achados principais e verifica com uma nova varredura, detectando uma segunda instalação.

Caso sintético. As varreduras são sintéticas.

Erros e limites

Presumir que uma correção funcionou sem uma nova varredura deixa as fraquezas no lugar.

Exercícios

• EX028 — Aprovação da varredura. Quem aprova a varredura? Rubrica: 3 = o gerente de TI, por escrito;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX029 — Falso positivo. O que é um falso positivo? Rubrica: 3 = uma fraqueza relatada que não está presente;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX030 — Achado remanescente. Por que um achado permaneceu depois da correção? Rubrica: 3 = uma segunda instalação da ferramenta;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 10 (capítulo 10 de 30)

← Capítulo 09 · Índice das aulas · Capítulo 11 →

Continue para a próxima aula já escrita.