Capítulo 14 — Segurança ofensiva autorizada e red team: métodos I
Mapa da aula
Aula 14 publicada. Mapa, exemplo, EX040.
flowchart TD
N0["14.1 Dois mapas da mesma jornada"]
N1["14.2 Revisão antes da validação"]
N2["14.3 Declarações de método"]
N3["14.4 ATT&CK no nível de ID"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX040"]
Desenho lógico
flowchart LR
N0["14.1 Dois mapas da mesma jornada"]
N1["14.2 Revisão antes da validação"]
N2["14.3 Declarações de método"]
N3["14.4 ATT&CK no nível de ID"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX040"]
[14.1 Dois mapas da mesma jornada]
|
v
[14.2 Revisão antes da validação]
|
v
[14.3 Declarações de método]
|
v
[14.4 ATT&CK no nível de ID]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX040]
Objetivos de aprendizagem
Você vai (1) mapear as fases do engajamento para o NIST SP 800-115 e o PTES; (2) escolher entre técnicas de revisão e de validação com base no risco; (3) escrever uma declaração de método que as ROE possam citar; (4) manter as descrições de técnicas no nível de ID do ATT&CK, sem detalhe operacional.
14.1 Dois mapas da mesma jornada
O NIST SP 800-115 agrupa as técnicas em revisão, identificação e análise de alvos e validação de vulnerabilidades dos alvos, envolvidas por atividades de planejamento e de pós-teste. O PTES nomeia pré-engajamento, coleta de inteligência, modelagem de ameaças, análise de vulnerabilidades, exploração, pós-exploração e relatório. Um tecnólogo não precisa decorar cada subseção; precisa situar cada atividade planejada numa fase e saber qual documento o cliente prefere. O SP 800-115 e o PTES nomeiam etapas; Priya mapeia as atividades do ENG-712 nos dois, para que a Northpoint e os auditores compartilhem o vocabulário. Os extras guiados por ameaças ficam por cima da disciplina de escopo, e não no lugar dela.
14.2 Revisão antes da validação
A revisão de configuração, a revisão de documentos e a revisão de logs muitas vezes respondem à pergunta com menos risco operacional do que a validação ativa. Use a validação quando a decisão realmente precisar da confirmação de que uma fraqueza é alcançável dentro dos limites combinados — e só então. No portal dos funcionários, revisar a configuração de autenticação respondeu à pergunta sobre o MFA com muito menos risco do que qualquer experimento com senhas. A validação ativa fica reservada para os casos em que a decisão do CISO depende da prova de que uma fraqueza pode de fato ser alcançada dentro das ROE. Um pedido de validação desse tipo precisa de uma declaração de decisão de uma linha antes que qualquer verificação ativa rode.
14.3 Declarações de método
Uma declaração de método é uma descrição curta e não procedimental: "Inventário de serviços externos dos prefixos em escopo usando scanners aprovados, nas taxas combinadas; revisão da configuração de autenticação do portal dos funcionários; sem negação de serviço, sem interação com o sistema de tarifas, sem engenharia social." Ela pertence às ROE. A declaração do ENG-712 permanece nesse nível: inventário nas taxas combinadas, revisão da autenticação do portal e as três exclusões. Instruções de exploração passo a passo não pertencem nem a este livro nem às entregas do engajamento. Na rubrica de revisão por pares, qualquer detalhe de uso dual numa declaração de método reprova o critério de segurança, por mais completo que seja o restante do pacote.
14.4 ATT&CK no nível de ID
Refira-se aos comportamentos como T1595 Active Scanning, T1046 Network Service Discovery, T1078 Valid Accounts. Não os expanda em passos práticos. Os defensores podem abrir as páginas do ATT&CK; os atacantes não precisam deste livro. Toda entrega aponta para as páginas de técnicas do ATT&CK em vez de colar o texto de procedimentos. Expandir esses identificadores em receitas quebraria o limite educacional definido no Capítulo 10. Um defensor que precise de mais detalhe pode seguir o link, e o relatório continua útil para o SOC sem virar um manual para atacantes.
Exemplo resolvido
Priya redige a declaração de método para a janela de novembro da TRT. O planejamento e as ROE citam os controles de planejamento do SP 800-115. A execução lista o inventário (identificação) e a revisão de autenticação (validação da eficácia de um controle). O relatório e a validação das correções fecham o ciclo. A declaração nunca descreve como contornar a autenticação.
Caso sintético. A declaração de método de novembro foi inventada para a TRT.
Erros e limites
Copiar uma lista de métodos da ficha técnica de um fornecedor sem compará-la com o escopo produz atividade não autorizada. "Exploração", no PTES, é o nome de uma fase, não uma licença para ataques sem controle.
Exercícios
- EX040 — Situar na fase. Situe "revisão da configuração de autenticação do portal dos funcionários" numa família de técnicas do SP 800-115 e numa fase do PTES. Rubrica: 3 = revisão ou validação (SP) + análise de vulnerabilidades ou fase equivalente do PTES, com justificativa breve; 2 = uma correta; 1 = errada; 0 = nada.
- EX041 — Frase de método. Escreva uma declaração de método de uma frase para o inventário dos prefixos em escopo da TRT que inclua um limite rígido. Rubrica: 3 = inventário + apenas o que está em escopo + limite de taxa/janela/exclusão; 2 = só o inventário; 1 = varredura ilimitada; 0 = nada.
- EX042 — Só o ID. Por que o livro cita o T1046 pelo ID em vez de descrever os passos da varredura? Rubrica: 3 = mapeamento defensivo sem ensinar procedimentos de ataque; 2 = concisão; 1 = porque os passos são secretos; 0 = nada.
Síntese
Nomeie a fase, prefira a revisão quando ela responde, escreva o método como limites mais intenção e pare no ID da técnica.
Continue estudando — capítulo 14 de 30
← Capítulo 13 (rascunho) · Índice de capítulos do curso · Capítulo 15 (rascunho) →