Capítulo 13 — Segurança ofensiva autorizada e red team: cenários de risco | Tecnólogo Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 13 publicada. Mapa, exemplo, EX037.

flowchart TD
  N0["13.1 Classificação transparente"]
  N1["13.2 Cenários ligam os pontos"]
  N2["13.3 Severidade versus urgência"]
  N3["Laboratório E — pontuador de achados"]
  N4["13.4 A linguagem do NIST"]
  N5["13.5 Comunicar as pontuações para cima"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX037"]

Desenho lógico

flowchart LR
  N0["13.1 Classificação transparente"]
  N1["13.2 Cenários ligam os pontos"]
  N2["13.3 Severidade versus urgência"]
  N3["Laboratório E — pontuador de achados"]
  N4["13.4 A linguagem do NIST"]
  N5["13.5 Comunicar as pontuações para cima"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX037"]

[13.1 Classificação transparente]
    |
    v
[13.2 Cenários ligam os pontos]
    |
    v
[13.3 Severidade versus urgência]
    |
    v
[Laboratório E — pontuador de achados]
    |
    v
[13.4 A linguagem do NIST]
    |
    v
[13.5 Comunicar as pontuações para cima]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX037]

Objetivos de aprendizagem

Você vai (1) classificar achados com uma matriz transparente de probabilidade × impacto; (2) ordenar uma lista de achados para definir a ordem de correção; (3) escrever um cenário de risco curto que ligue ativo, técnica e consequência; (4) separar a severidade de uma fraqueza da urgência de um chamado.

13.1 Classificação transparente

Uma escala de probabilidade de 1 a 5 e uma de impacto de 1 a 5, multiplicadas, dão uma pontuação que qualquer pessoa pode recalcular. Faixas como critical ≥ 20, high ≥ 12, medium ≥ 6, low ≥ 0 transformam pontuações numa linguagem que os gestores reconhecem. Documente a escala no relatório para que os leitores não fiquem adivinhando. O F-09 mostra a aritmética: probabilidade 4 vezes impacto 5 dá 20, que cai na faixa crítica. Priya imprime esse cálculo no apêndice do relatório para que um diretor possa recalculá-lo em segundos. Uma pontuação que não pode ser recalculada convida à discussão sobre o julgamento do testador, em vez da discussão sobre o risco, e a revisão a rejeita.

13.2 Cenários ligam os pontos

"Conta de administrador compartilhada no portal dos funcionários" é uma fraqueza. O cenário acrescenta: um adversário usando T1078 Valid Accounts poderia alterar os horários públicos (integridade) e bloquear os operadores (disponibilidade). Os cenários tornam as pontuações de impacto defensáveis. No ENG-712, essa frase fica sob o F-01, ligando a conta de administrador compartilhada ao T1078 e à integridade dos horários públicos. Essa ligação explica por que o CISO deve se preocupar antes da mudança de serviço do fim de semana, e não depois dela. Achados altos sem frase de cenário são reescritos antes que o gerador de relatórios produza a tabela executiva.

13.3 Severidade versus urgência

Um achado crítico num host de homologação desativado pode ter baixa urgência. Um achado médio num sistema sob ataque ativo pode ter alta urgência. Os chamados levam os dois campos; reduzi-los a um único número perde informação. Priya conduz com os responsáveis uma triagem semanal que ordena os chamados primeiro pela urgência. Um achado médio num sistema que está sendo ativamente abusado pode, assim, passar à frente de um crítico num host de homologação prestes a ser desligado. Os responsáveis veem os dois valores no chamado, então a ordem é explicada, e não misteriosa.

Laboratório E — pontuador de achados

"""Lab E (ch 13): rate synthetic findings with a 1-5 likelihood x impact matrix and sort them."""
BANDS = [(20, "critical"), (12, "high"), (6, "medium"), (0, "low")]
findings = [
    ("F-01", "shared admin account on staff portal", 4, 4),
    ("F-04", "verbose error page on timetable API", 3, 1),
    ("F-07", "unreviewed VPN accounts of ex-contractors", 3, 5),
    ("F-09", "wiki page with plaintext service password", 4, 5),
]
def band(s):
    return next(name for floor, name in BANDS if s >= floor)
for fid, title, lik, imp in sorted(findings, key=lambda f: -(f[2] * f[3])):
    s = lik * imp
    print(f"{fid} L{lik} x I{imp} = {s:2d} {band(s):8} {title}")

Execute com python3 lab_score.py. Saída verificada:

F-09 L4 x I5 = 20 critical wiki page with plaintext service password
F-01 L4 x I4 = 16 high     shared admin account on staff portal
F-07 L3 x I5 = 15 high     unreviewed VPN accounts of ex-contractors
F-04 L3 x I1 =  3 low      verbose error page on timetable API

13.4 A linguagem do NIST

O NIST SP 800-30 Rev. 1 descreve o risco como função de ameaça, vulnerabilidade e impacto (entre outros enquadramentos). A matriz de sala de aula é uma simplificação para ordenar o trabalho, não uma avaliação de risco corporativa completa. Priya coloca a citação do SP 800-30 sob a figura da matriz, rotulando a escala de 1 a 5 como uma simplificação didática de suas ideias. Os examinadores podem então ver de onde vem a abordagem e o que ela deixa de fora, como a análise das fontes de ameaça. Ninguém que leia o relatório deve pensar que a TRT inventou sua própria teoria de risco.

13.5 Comunicar as pontuações para cima

Quando Priya apresenta a lista ordenada, ela dedica mais tempo aos dois cenários do topo do que ao achado baixo. Conselhos conseguem absorver um punhado de riscos bem narrados; não conseguem absorver o despejo de uma planilha. Ela mantém a tabela completa num apêndice para os auditores e põe três frases no sumário executivo: o que importa, por quê e que decisão ela precisa nesta semana. No resumo oral do ENG-712, o F-09 e o F-01 vêm primeiro, enquanto o achado baixo de página de erro detalhada ganha uma única linha.

Exemplo resolvido

Quatro achados da TRT entram no pontuador. A senha em texto claro na wiki (T1552.001 Credentials In Files) encabeça a lista com 20, crítica. A página de erro detalhada da API de horários pontua 3, baixa. Priya apresenta a lista ordenada ao comitê de correção, com cenários de uma frase anexados.

Caso sintético. Os quatro achados e suas pontuações são inventados.

Erros e limites

Não invente números de probabilidade sem motivo. O CVSS (veja o FIRST CVSS v4.0) pontua vulnerabilidades; o risco organizacional também precisa de um contexto que a matriz deve declarar.

Exercícios

EX037 — Topo da lista. Qual achado o laboratório classifica em primeiro lugar e qual é sua faixa?
Mostrar critérios de avaliação
Rubrica: 3 = F-09, crítica (pontuação 20); 2 = só o F-09; 1 = achado errado; 0 = nada.
EX038 — Frase de cenário. Escreva um cenário de risco de uma frase para o F-07 (contas de VPN de ex-terceirizados).
Mostrar critérios de avaliação
Rubrica: 3 = ativo + caminho de técnica/agente + consequência para a CIA; 2 = dois dos três; 1 = repete o título; 0 = nada.
EX039 — Separar a urgência. O F-04 tem severidade baixa numa API de produção que está sendo sondada a partir da internet neste momento. Que urgência você atribui e por quê?
Mostrar critérios de avaliação
Rubrica: 3 = urgência elevada apesar da severidade baixa, por causa da sondagem ativa; 2 = eleva sem motivo; 1 = ignora a sondagem; 0 = nada.

Síntese

Pontue com transparência, narre o cenário e mantenha severidade e urgência como mostradores separados.

Continue estudando — capítulo 13 de 30

← Capítulo 12 (rascunho) · Índice de capítulos do curso · Capítulo 14 (rascunho) →