Capítulo 18 — Segurança ofensiva autorizada e red team: controles

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Controles como respostas aos achados"]
  N1["18.2 Controles compensatórios"]
  N2["18.3 Detectar e responder também são controles"]
  N3["18.4 Frases de garantia proibidas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Controles como respostas aos achados"]
  N1["18.2 Controles compensatórios"]
  N2["18.3 Detectar e responder também são controles"]
  N3["18.4 Frases de garantia proibidas"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX052"]

[18.1 Controles como respostas aos achados]
    |
    v
[18.2 Controles compensatórios]
    |
    v
[18.3 Detectar e responder também são controles]
    |
    v
[18.4 Frases de garantia proibidas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) mapear achados comuns de avaliação para famílias de controles na linguagem do NIST SP 800-53 e do CSF 2.0; (2) distinguir controles compensatórios de controles ausentes; (3) escrever uma recomendação de correção que nomeie um controle, um responsável e uma verificação; (4) evitar prometer "segurança total".

18.1 Controles como respostas aos achados

Um achado é uma lacuna; um controle é a forma como a organização a fecha. O NIST SP 800-53 Rev. 5 traz famílias de controles (controle de acesso, auditoria e responsabilização, identificação e autenticação, e muitas outras). O NIST CSF 2.0 organiza os resultados em Govern, Identify, Protect, Detect, Respond e Recover. Relatórios que recomendam "tenha cuidado" não ajudam ninguém; relatórios que recomendam "aplicar MFA em todos os caminhos da VPN (controle da família IA); responsável: equipe de identidade; verificação: revisão trimestral de contas" criam trabalho.

Na linha de recomendação, os achados são mapeados para as famílias do SP 800-53 e para as funções do CSF. O F-01 aponta para controles de identidade; o T1021 que passou despercebido aponta para trabalho de detecção e resposta. Os responsáveis veem um verbo de controle, e não apenas um problema.

18.2 Controles compensatórios

Se o MFA ainda não puder cobrir um caminho legado, um controle compensatório pode ser um jump host com gravação de sessões e um tempo limite de sessão mais curto. Documente a compensação e o plano para removê-la. Os avaliadores devem testar se a compensação realmente funciona, e não apenas se está escrita. Toda compensação leva uma data de término e um gancho de reteste, para que não se torne permanente em silêncio. Os avaliadores verificam se o jump host realmente grava as sessões e se o tempo limite mais curto realmente encerra as sessões ociosas, em vez de aceitar o documento de desenho. Uma compensação nunca revisitada vira um risco aceito sem aprovador nomeado.

18.3 Detectar e responder também são controles

O trabalho purple muitas vezes descobre que a prevenção falhou, mas a detecção também. As recomendações então caem nas funções Detect e Respond: um novo alerta, um passo de runbook, um link para um playbook. O D3FEND oferece um vocabulário de técnicas defensivas que pode ficar ao lado dos IDs do ATT&CK num programa maduro. Quando o ENG-712 descobriu que a prevenção e a detecção falharam para uma técnica, o resultado foi um chamado DET e um passo de runbook, e não o conselho de monitorar mais. Os verbos do D3FEND tornam a recomendação específica o bastante para que um engenheiro de detecção aja sobre ela e para que um exercício posterior a reteste. Cada recomendação também nomeia um responsável, para chegar a alguém que possa agir.

18.4 Frases de garantia proibidas

"Totalmente seguro", "garantido", "à prova de ataques" e "100% de cobertura" são falsas e proibidas nos relatórios da TRT. Declarações limitadas no tempo e no escopo são a alternativa profissional. A TRT lista essas frases no apêndice das ROE, para que os fornecedores não possam alegar que não sabiam, e os rascunhos que as contêm são devolvidos até serem reescritos. A declaração substituta do ENG-712 é limitada no tempo e no escopo e diz o que foi testado, em qual janela e dentro de quais limites. A revisão confere cada rascunho em busca das frases listadas antes de o pacote chegar ao CISO, e um revisor que encontra uma delas também confere o parágrafo em volta em busca de uma afirmação ilimitada.

Exemplo resolvido

Para o F-07 (contas de VPN de ex-terceirizados), Priya recomenda: desativar as três contas em 48 horas (Protect / controle de acesso); instituir uma revisão de admissões, mudanças e desligamentos a cada 90 dias (Govern); acrescentar um alerta no SIEM para logins na VPN de contas com contratos encerrados (Detect). Ela recusa um rascunho de fornecedor que chamava a VPN de "totalmente segura após a correção".

Caso sintético. As recomendações de controle foram inventadas para o F-07 da TRT.

Erros e limites

Os catálogos de controles são grandes; escolha os poucos que correspondem ao achado. Mapear cada achado para vinte controles gera ruído.

Exercícios

• EX052 — Trio de controle. Para o F-09 (senha em texto claro na wiki), escreva controle + responsável + verificação.
  Mostrar critérios de avaliação

  Rubrica: 3 = por exemplo, remover o segredo + cofre de segredos / responsável pela wiki / verificação por varredura ou revisão; 2 = duas partes; 1 = "conserte"; 0 = nada.
• EX053 — Compensação. Dê um controle compensatório para um caminho legado de VPN que ainda não suporta MFA.
  Mostrar critérios de avaliação

  Rubrica: 3 = compensação concreta (jump host, gravação, tempo limite curto, lista de permissões) + caráter temporário; 2 = monitoramento extra vago; 1 = ignorar; 0 = nada.
• EX054 — Frase proibida. Reescreva "O portal agora está à prova de ataques" como uma frase profissional.
  Mostrar critérios de avaliação

  Rubrica: 3 = garantia limitada no tempo/escopo, sem afirmações absolutas; 2 = mais branda, mas ainda absoluta; 1 = mantém "à prova de ataques"; 0 = nada.

Síntese

Nomeie o controle, o responsável e a verificação; permita compensações temporárias; nunca venda segurança absoluta.

Continue estudando — capítulo 18 de 30

← Capítulo 17 (rascunho) · Índice de capítulos do curso · Capítulo 19 (rascunho) →