Capítulo 12 — Segurança ofensiva autorizada e red team: fluxos de dados

Mapa da aula

Aula 12 publicada. Mapa, exemplo, EX034.

flowchart TD
  N0["12.1 Fluxos, não caixas"]
  N1["12.2 Dados pessoais e operacionais"]
  N2["12.3 Caminhos transfronteiriços e de fornecedores"]
  N3["12.4 Relógios de retenção"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX034"]

Desenho lógico

flowchart LR
  N0["12.1 Fluxos, não caixas"]
  N1["12.2 Dados pessoais e operacionais"]
  N2["12.3 Caminhos transfronteiriços e de fornecedores"]
  N3["12.4 Relógios de retenção"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX034"]

[12.1 Fluxos, não caixas]
    |
    v
[12.2 Dados pessoais e operacionais]
    |
    v
[12.3 Caminhos transfronteiriços e de fornecedores]
    |
    v
[12.4 Relógios de retenção]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX034]

Objetivos de aprendizagem

Você vai (1) desenhar um diagrama de fluxo de dados para um serviço da TRT; (2) marcar onde podem aparecer evidências da avaliação e dados pessoais; (3) aplicar regras de minimização e de ocultação de dados; (4) escolher armazenamento e retenção compatíveis com o acordo.

12.1 Fluxos, não caixas

Um diagrama de fluxo de dados mostra o que se move: um pedido de passageiro à API de horários, um login de funcionário no portal, uma linha de log para o SIEM, um backup para o armazenamento. Caixas, sozinhas, não revelam onde as cópias de dados sensíveis vão parar. Avaliações que tocam esses caminhos podem criar novas cópias; o acordo precisa dizer o que acontece com elas. Para o ENG-712, Priya desenha os fluxos passageiro→API e funcionário→portal→SIEM antes de o engajamento começar. Qualquer achado que dependa de evidência de log passa então a citar o fluxo de onde ela veio, e cada fluxo é verificado quanto a dados pessoais antes de o desenho das evidências ser aprovado. Um diagrama de caixas sem setas esconderia justamente os deveres de retenção que se aplicam quando uma linha de log é copiada para o cofre de evidências.

12.2 Dados pessoais e operacionais

Mesmo uma operadora de transporte guarda dados pessoais — identificadores de funcionários e, às vezes, dados de contas de passageiros em sistemas vizinhos. Dados operacionais como escalas de motoristas e cronogramas de manutenção também podem ser sensíveis. Capture o mínimo que prova um achado; mascare o resto antes de arquivar. No ENG-712, as capturas de tela de login mantêm o domínio do e-mail dos funcionários como prova, mas têm a parte local mascarada antes de entrar no cofre. Os extratos de escala são tratados como sensíveis, mesmo não sendo dados pessoais clássicos, porque revelam quem trabalha onde e quando. Os dois tipos de evidência correm no mesmo relógio de retenção de 90 dias que os banners de serviço.

12.3 Caminhos transfronteiriços e de fornecedores

Se os logs forem enviados a um SIEM de fornecedor em outro país, a evidência pode sair da jurisdição que o acordo pressupunha. Registre o caminho antes do engajamento; não o descubra no rascunho do relatório. Priya nomeia no acordo qualquer caminho transfronteiriço de SIEM antes do envio do primeiro log, tratando-o como um host que precisa de escopo. Se o fornecedor anunciar no meio da janela que mudou de região, o envio de logs é pausado e se faz uma reunião de decisão. Ela não inventa consentimento para uma transferência que o acordo assinado nunca previu.

12.4 Relógios de retenção

Inicie um relógio de retenção quando a evidência for coletada. Quando terminar o prazo do acordo, apague ou devolva os dados e registre que o fez. Depósitos indefinidos "por via das dúvidas" são um passivo. O ENG-712 corre num relógio de 90 dias que termina com apagamento ou devolução e um registro escrito de destruição que nomeia quem apagou a evidência e quando. O registro tem seu hash incluído no pacote de passagem, ao lado da mudança de controle de acesso no cofre. Guardar cópias para treinamento exigiria um novo acordo; sem ele, a lista de verificação da passagem falha.

Exemplo resolvido

Priya mapeia o login do portal dos funcionários: navegador → proxy reverso → aplicação do portal → diretório; e um fluxo paralelo aplicação do portal → log da aplicação → SIEM. Uma captura de tela de um login com falha mostra o e-mail de um funcionário. Ela mascara a parte local antes de arquivar, mantém o domínio para provar que era uma conta de funcionário e guarda o arquivo no ENG-712 com uma nota de retenção de 90 dias tirada do acordo.

Caso sintético. O fluxo de login e a captura de tela mascarada são inventados.

Erros e limites

Uma ocultação que deixa o segredo recuperável (um recorte que ainda mostra a senha nos metadados EXIF, por exemplo) não é ocultação. Este capítulo não trata em detalhe de regimes jurídicos; siga sua assessoria jurídica e o acordo.

Exercícios

• EX034 — Cópia extra. Nomeie um lugar, além do servidor de aplicação, onde um pedido à API de horários pode ser copiado, e por que isso importa para um avaliador.
  Mostrar critérios de avaliação

  Rubrica: 3 = por exemplo, logs do proxy reverso / SIEM / CDN / WAF — cada um é um possível local de evidência e de retenção; 2 = nomeia o lugar; 1 = em lugar nenhum; 0 = nada.
• EX035 — Escolha da máscara. Uma captura de tela mostra o e-mail de funcionário alex.rivera@trt.example. O que Priya mantém e o que mascara?
  Mostrar critérios de avaliação

  Rubrica: 3 = mascarar a parte local; manter o domínio ou um marcador de papel para provar o contexto de funcionário; 2 = mascarar tudo; 1 = manter o endereço completo; 0 = nada.
• EX036 — Fim da retenção. O acordo do ENG-712 fala em 90 dias. Que duas ações encerram o relógio?
  Mostrar critérios de avaliação

  Rubrica: 3 = apagar ou devolver a evidência + registrar a destruição/devolução; 2 = uma ação; 1 = guardar para sempre; 0 = nada.

Síntese

Siga as cópias, minimize e mascare, e encerre o relógio de retenção por escrito.

Continue estudando — capítulo 12 de 30

← Capítulo 11 (rascunho) · Índice de capítulos do curso · Capítulo 13 (rascunho) →