OpenCyber Academy
Tecnólogo · Capítulo 19 · Português
Código do curso: OCA-088Capítulo 19: OCA-088-C019

Capítulo 19 — Segurança ofensiva autorizada e red team: monitoramento

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 19 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["19.1 Cobertura como conversa"]
  N1["19.2 Alerted, logged, missed"]
  N2["Laboratório G — matriz de cobertura"]
  N3["19.3 Da falha ao backlog"]
  N4["19.4 Navigator e D3FEND"]
  N5["19.5 Retestar as mesmas células"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["19.1 Cobertura como conversa"]
  N1["19.2 Alerted, logged, missed"]
  N2["Laboratório G — matriz de cobertura"]
  N3["19.3 Da falha ao backlog"]
  N4["19.4 Navigator e D3FEND"]
  N5["19.5 Retestar as mesmas células"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX055"]

[19.1 Cobertura como conversa]
    |
    v
[19.2 Alerted, logged, missed]
    |
    v
[Laboratório G — matriz de cobertura]
    |
    v
[19.3 Da falha ao backlog]
    |
    v
[19.4 Navigator e D3FEND]
    |
    v
[19.5 Retestar as mesmas células]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) construir uma matriz de cobertura do ATT&CK a partir do registro de um exercício purple; (2) interpretar os resultados alerted, logged e missed; (3) propor uma melhoria de detecção para cada técnica não detectada; (4) manter a matriz restrita ao exercício.

19.1 Cobertura como conversa

Uma matriz de cobertura não afirma que a organização detecta "tudo". Ela mostra, para as técnicas exercitadas numa janela nomeada, se o SOC alertou, apenas registrou em log ou deixou passar. Essa conversa orienta o investimento. Os slides de cobertura da TRT abrem com as datas da janela e a lista de técnicas exercitadas, para que a matriz não possa ser lida como uma declaração sobre tudo. Qualquer alegação de detecção universal é apagada na revisão, porque sete técnicas numa noite não conseguem sustentá-la. As discussões sobre investimento usam então as três palavras alerted, logged e missed, que apontam diretamente para o que precisa ser construído.

19.2 Alerted, logged, missed

Alerted significa que uma pessoa ou um playbook foi notificado a tempo de agir. Logged significa que a telemetria existia, mas ninguém foi acordado. Missed significa que o comportamento não deixou telemetria utilizável. Logged não é sucesso se o exercício pressupunha um analista respondendo. Os líderes do SOC às vezes leem logged como "funcionou em parte", então Priya o explica em relação ao objetivo do exercício. Se o exercício pressupunha que um analista responderia, uma técnica apenas registrada em log conta como falha para esse objetivo. Ela ainda abre um chamado DET, mesmo com a telemetria existindo, porque ninguém agiu a tempo.

Laboratório G — matriz de cobertura

"""Lab G (ch 19): ATT&CK technique coverage matrix from a synthetic purple-team log."""
log = [
    ("T1078", "Initial Access", "alerted"), ("T1133", "Initial Access", "logged"),
    ("T1087", "Discovery", "missed"), ("T1069", "Discovery", "alerted"),
    ("T1021", "Lateral Movement", "missed"), ("T1213", "Collection", "logged"),
    ("T1567", "Exfiltration", "alerted"),
]
order = ["alerted", "logged", "missed"]
for tid, tactic, outcome in log:
    print(f"{tid:6} {tactic:17} " + " ".join("X" if o == outcome else "." for o in order))
n = len(log)
for o in order:
    k = sum(1 for _, _, x in log if x == o)
    print(f"{o:8} {k}/{n} = {100 * k / n:.1f}%")

Execute com python3 lab_coverage.py. Saída verificada:

T1078  Initial Access    X . .
T1133  Initial Access    . X .
T1087  Discovery         . . X
T1069  Discovery         X . .
T1021  Lateral Movement  . . X
T1213  Collection        . X .
T1567  Exfiltration      X . .
alerted  3/7 = 42.9%
logged   2/7 = 28.6%
missed   2/7 = 28.6%

19.3 Da falha ao backlog

Cada técnica não detectada vira um item de backlog: qual fonte de log, qual lógica de alerta, qual responsável, qual teste para prová-lo depois. Ligue o item ao ID do ATT&CK para que os exercícios futuros possam retestar a mesma célula. O DET-19 e o DET-20 seguem esse padrão para o T1021 e o T1087: cada um nomeia a fonte de log, a lógica de alerta, um responsável e um plano de reteste. A etiqueta do ATT&CK permite que o próximo ciclo purple encontre a mesma célula. Uma falha registrada sem etiqueta tende a cair na fila errada e nunca é retestada.

19.4 Navigator e D3FEND

O ATT&CK Navigator visualiza camadas de cobertura. O D3FEND nomeia técnicas defensivas que podem contrapor uma dada técnica ofensiva. Juntos, ajudam um tecnólogo a falar com as equipes red e blue sem inventar um vocabulário particular. Priya importa para o Navigator o conjunto de técnicas efetivamente exercitadas no ENG-712, em vez de exibir um mapa de calor corporativo genérico. Os links do D3FEND ficam nas células onde uma recomendação é feita. Um mapa de calor que não reflete o conjunto exercitado é rejeitado como decoração, porque sugere uma cobertura que ninguém mediu.

19.5 Retestar as mesmas células

Uma matriz de cobertura só se justifica se o exercício seguinte reabrir as mesmas células. Priya etiqueta o DET-19 e o DET-20 com T1021 e T1087 para que o ciclo purple seguinte possa imprimir uma linha de antes e depois. Sem essa disciplina, a organização redescobre as mesmas falhas e as chama de nova descoberta. Exercitar técnicas novas e interessantes não desculpa pular as células que falharam da última vez. Se essas linhas ainda mostrarem uma falha, os itens de backlog são reabertos com seus responsáveis.

Exemplo resolvido

O registro purple da TRT cobre sete técnicas. Três geraram alerta (42.9%), duas foram registradas em log (28.6%), duas passaram despercebidas (28.6%). As falhas são o T1087 Account Discovery e o T1021 Remote Services. Priya abre dois chamados de backlog: envio dos logs de auditoria do diretório ao SIEM para o T1087 e alertas de sessão no jump host para o T1021.

Caso sintético. O registro de sete técnicas e os percentuais são inventados.

Erros e limites

Uma matriz de um único exercício não é uma pontuação de maturidade corporativa. Não esconda as falhas para poupar sentimentos; o aprendizado é o produto.

Exercícios

Síntese

Meça o que este exercício exercitou, diga a verdade sobre as falhas e transforme cada falha numa tarefa de detecção nomeada.

Continue estudando — capítulo 19 de 30

← Capítulo 18 (rascunho) · Índice de capítulos do curso · Capítulo 20 (rascunho) →

Respostas comentadas

EX055. alerted 3/7 = 42.9%; logged 2/7 = 28.6%; missed 2/7 = 28.6%.

EX056. Exemplo: "Detectar T1021 Remote Services nos jump hosts — alertar o SOC sobre sessões interativas fora das janelas de mudança."

EX057. O objetivo do exercício era detecção e resposta. Uma linha de log que ninguém vê não produz resposta, então o resultado não cumpre o objetivo, mesmo com a telemetria existindo.