Capítulo 16 — Segurança ofensiva autorizada e red team: métodos II
Mapa da aula
Aula 16 publicada. Mapa, exemplo, EX046.
flowchart TD
N0["16.1 O OWASP WSTG como catálogo"]
N1["16.2 Garantia guiada por ameaças"]
N2["16.3 Misturar métodos sem misturar escopos"]
N3["16.4 Uma redação de exclusão que funciona"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX046"]
Desenho lógico
flowchart LR
N0["16.1 O OWASP WSTG como catálogo"]
N1["16.2 Garantia guiada por ameaças"]
N2["16.3 Misturar métodos sem misturar escopos"]
N3["16.4 Uma redação de exclusão que funciona"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX046"]
[16.1 O OWASP WSTG como catálogo]
|
v
[16.2 Garantia guiada por ameaças]
|
v
[16.3 Misturar métodos sem misturar escopos]
|
v
[16.4 Uma redação de exclusão que funciona]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX046]
Objetivos de aprendizagem
Você vai (1) contrastar o letramento em testes de aplicações web (OWASP WSTG) com métodos centrados em rede; (2) explicar o que os frameworks guiados por ameaças (TIBER-EU, CBEST) acrescentam; (3) escolher uma combinação de métodos para uma operadora de transporte que não é um banco; (4) escrever uma redação de exclusão que resista ao contato com a realidade.
16.1 O OWASP WSTG como catálogo
O OWASP Web Security Testing Guide organiza verificações para aplicações web: configuração, identidade, tratamento de entradas, lógica de negócio e mais. Um tecnólogo o usa como lista de verificação de cobertura para o portal dos funcionários e a API de horários, e não como licença para executar todas as verificações. Cada verificação selecionada continua precisando de uma linha nas ROE. No ENG-712, Priya marca quais áreas do WSTG foram executadas contra o portal dos funcionários, quais contra a API de horários e quais foram deixadas de fora de propósito. É esse registro que dá sentido a uma declaração de cobertura para os leitores. Um relatório que diz apenas que a equipe seguiu o WSTG não permite ao leitor saber se as verificações de lógica de negócio na API foram feitas ou puladas.
16.2 Garantia guiada por ameaças
O TIBER-EU e o CBEST descrevem exercícios guiados por inteligência, usados especialmente na infraestrutura do mercado financeiro. Eles acrescentam uma fase de inteligência de ameaças, uma função de controle da equipe branca e uma repetição voltada ao aprendizado. A TRT não é um banco, mas tomar emprestadas as ideias de equipe branca e de revisão de aprendizado melhora qualquer exercício de red team. As ideias do TIBER/CBEST — inteligência, equipe branca, repetição para aprendizado — são tomadas emprestadas com cautela pela TRT. Priya não alega conformidade com o CBEST para uma operadora de ônibus. Ela alega alcançabilidade da equipe branca e chamados purple, e seus slides dizem explicitamente que tomar essas ideias emprestadas não permite à TRT alegar conformidade no estilo bancário.
16.3 Misturar métodos sem misturar escopos
Um único engajamento pode incluir uma revisão do portal orientada pelo WSTG e um inventário de rede limitado, desde que os dois fiquem dentro do mesmo acordo e das mesmas exclusões. Acrescentar uma "olhada rápida" não declarada nos sistemas de pagamento de tarifas viola o acordo, mesmo que o método seja brando. O acordo do ENG-712 abriga tanto a revisão do portal quanto o inventário de rede, com as mesmas exclusões valendo para os dois. Uma olhada discreta num host de pagamento de tarifas continuaria sendo contato com um sistema excluído, e o verificador de escopo devolveria STOP para ela. O aumento de escopo é tratado como condição de parada, nunca como meta ousada para uma tarde tranquila.
16.4 Uma redação de exclusão que funciona
"Os sistemas de pagamento de tarifas, incluindo os hosts em 192.0.2.64/27 e qualquer nome de host sob fare.trt.example, estão excluídos de todas as atividades." Isso é melhor do que "sistemas sensíveis estão fora de escopo", que ninguém consegue verificar. A versão precisa pode ser carregada diretamente no verificador de escopo, que então devolve STOP para qualquer endereço em 192.0.2.64/27 ou qualquer nome sob fare.trt.example. A revisão por pares rejeita redações vagas de exclusão porque nenhuma ferramenta e nenhum revisor conseguem testar contra elas. Na abertura, strings de exclusão verificáveis são um controle tão firme quanto ter um contato de emergência nas ROE.
Exemplo resolvido
Priya propõe para o próximo trimestre: verificações de configuração e de identidade no portal dos funcionários, orientadas pelo WSTG; inventário dos prefixos em escopo; uma repetição purple de meio dia de T1078 e T1133 com o SOC. O pagamento de tarifas continua excluído por prefixo e por padrão de nome de host. O CISO aceita a combinação porque cada peça corresponde a uma decisão.
Caso sintético. A combinação trimestral é um artefato de planejamento fictício.
Erros e limites
Citar o TIBER-EU sem um provedor de inteligência de ameaças ou uma equipe branca é teatro. Percentuais de cobertura do WSTG sem contexto de severidade enganam os conselhos.
Exercícios
- EX046 — Prática emprestada. Nomeie duas ideias do TIBER-EU/CBEST que a TRT pode tomar emprestadas sem ser um banco. Rubrica: 3 = controle da equipe branca + revisão de aprendizado/repetição (ou desenho de cenários guiado por inteligência de ameaças); 2 = uma; 1 = alegar certificação CBEST completa; 0 = nada.
- EX047 — Reescrita da exclusão. Melhore "sistemas sensíveis estão fora de escopo" para o segmento de tarifas da TRT. Rubrica: 3 = nomeia o prefixo e/ou o padrão de nome de host e "todas as atividades"; 2 = nomeia os sistemas de forma vaga; 1 = mantém o original; 0 = nada.
- EX048 — Seleção no WSTG. Por que Priya poderia escolher verificações de identidade e pular o fuzzing intrusivo de lógica de negócio no primeiro engajamento do portal? Rubrica: 3 = limites de risco/fragilidade/ROE / necessidades da decisão; 2 = cautela vaga; 1 = sempre executar tudo; 0 = nada.
Síntese
Escolha catálogos para a cobertura, tome emprestada dos frameworks guiados por ameaças a disciplina da equipe branca e escreva exclusões que um script consiga verificar.
Continue estudando — capítulo 16 de 30
← Capítulo 15 (rascunho) · Índice de capítulos do curso · Capítulo 17 (rascunho) →