Capítulo 26 — Segurança ofensiva autorizada e red team: passagem para operação

Mapa da aula

Aula 26 publicada. Mapa, exemplo, EX076.

flowchart TD
  N0["26.1 Do que as operações precisam"]
  N1["26.2 Risco residual e incógnitas"]
  N2["26.3 Transferência de acesso"]
  N3["26.4 O reteste na agenda"]
  N4["26.5 Apresentações calorosas"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX076"]

Desenho lógico

flowchart LR
  N0["26.1 Do que as operações precisam"]
  N1["26.2 Risco residual e incógnitas"]
  N2["26.3 Transferência de acesso"]
  N3["26.4 O reteste na agenda"]
  N4["26.5 Apresentações calorosas"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX076"]

[26.1 Do que as operações precisam]
    |
    v
[26.2 Risco residual e incógnitas]
    |
    v
[26.3 Transferência de acesso]
    |
    v
[26.4 O reteste na agenda]
    |
    v
[26.5 Apresentações calorosas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX076]

Objetivos de aprendizagem

Você vai (1) escrever um pacote de passagem com o qual as operações possam agir sem a presença da equipe de testes; (2) incluir o risco residual e as incógnitas conhecidas; (3) transferir de forma limpa o acesso às evidências; (4) agendar a janela de reteste antes da desmobilização.

26.1 Do que as operações precisam

Os responsáveis precisam de: cada achado com severidade, cenário, ponteiro de evidência, controle recomendado e um prazo sugerido. Não precisam de um diário de viagem de cada ferramenta que os testadores executaram. Corte a narrativa que não muda uma decisão. Priya monta a tabela executiva com o gerador de relatório e deixa de fora qualquer prazo sem responsável, já que uma data que ninguém assume não será cumprida. Cada responsável recebe então uma folha de achado que começa pelo cenário e pelo prazo. As notas sobre quais ferramentas foram executadas vão para um apêndice opcional, para os leitores que precisem reproduzir o trabalho.

26.2 Risco residual e incógnitas

Todo engajamento termina com coisas não testadas — segmentos excluídos, técnicas não exercitadas, janelas que foram encurtadas. Liste-as. Os conselhos detestam surpresas mais do que detestam um trabalho incompleto, mas honestamente delimitado. No ENG-712, a página de risco residual nomeia duas lacunas em palavras simples: o segmento de pagamento de tarifas não foi testado, e a técnica T1021 ainda não gerou alerta. A lista de verificação da passagem trata como incompleta uma página residual sem a linha do pagamento de tarifas. Escrever as lacunas agora custa um parágrafo curto, enquanto um conselho que as descubra depois perde a confiança no engajamento inteiro.

26.3 Transferência de acesso

Contas de testadores, perfis de VPN e permissões no cofre terminam na data da passagem. As operações recebem acesso de leitura ao pacote de evidências sob seus próprios papéis. Caixas de correio compartilhadas usadas "só para o teste" são fechadas. Na reunião de passagem do ENG-712, Priya lê em voz alta a lista de verificação de revogação com a Northpoint presente, e os perfis de VPN são revogados na mesma tarde. O cofre de evidências passa para controle de acesso exclusivo da TRT, mas só depois que as operações confirmam que conseguem abrir os arquivos. Qualquer acesso da Northpoint que ainda funcione depois da data da passagem é registrado como achado contra o próprio engajamento.

26.4 O reteste na agenda

Um prazo de correção sem horário de reteste é um desejo. Reserve a janela de validação (Capítulo 27) antes que a equipe de testes se disperse. Uma passagem sem reteste reservado é marcada como incompleta na folha de avaliação. No ENG-712, o reteste é reservado para 2026-12-08 enquanto os testadores da Northpoint ainda estão contratados, e o convite de calendário é anexado ao pacote de passagem. Reservar cedo significa que as pessoas que conhecem os achados estarão disponíveis para executar as verificações. Um pacote de passagem que chega sem o convite é marcado como incompleto até que o horário seja combinado.

26.5 Apresentações calorosas

Uma reunião de passagem em que Priya apresenta pelo nome cada responsável por achado é melhor do que despejar um e-mail. Dez minutos de esclarecimento presencial (ou por vídeo) evitam uma semana de chamados mal encaminhados. Ela registra a presença para que a folha de avaliação mostre que as operações de fato receberam o trabalho. Priya acompanha uma medida simples de como isso funcionou: o número de chamados que chegam à equipe errada na primeira semana depois da passagem. Um responsável que ouviu o cenário explicado pessoalmente tem menos chance de devolver um chamado dizendo que não é dele. A lista de presença da reunião entra na folha de avaliação como prova de entrega.

Exemplo resolvido

O pacote de passagem de Priya para o ENG-712: tabela executiva do gerador de relatório; quatro folhas de achados; página de risco residual (pagamento de tarifas não testado; T1021 ainda sem detecção); ACL do cofre de evidências trocada para acesso exclusivo da TRT; horário de reteste reservado para 2026-12-08. Os perfis de VPN da Northpoint são revogados na mesma tarde.

Caso sintético. O conteúdo do pacote de passagem é inventado.

Erros e limites

Passagens que despejam exportações brutas de scanner sem triagem criam enxurradas de chamados. Não revogue o acesso às evidências antes que as operações confirmem que conseguem abrir os arquivos.

Exercícios

• EX076 — Conteúdo do pacote. Nomeie cinco artefatos de um pacote de passagem mínimo.
  Mostrar critérios de avaliação

  Rubrica: 3 = cinco entre tabela executiva/achados/risco residual/ponteiros de evidência/nota de ACL/data de reteste; 2 = três; 1 = só o PDF; 0 = nada.
• EX077 — Incógnita. Escreva uma frase de risco residual para a exclusão do pagamento de tarifas da TRT.
  Mostrar critérios de avaliação

  Rubrica: 3 = declara a exclusão + que nenhuma garantia é afirmada ali; 2 = menciona a exclusão; 1 = afirma que as tarifas estão bem; 0 = nada.
• EX078 — Ordem da revogação. Em que ordem devem acontecer a troca da ACL do cofre e a revogação da VPN da Northpoint, e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = confirmar que a TRT consegue ler as evidências e depois revogar o acesso dos testadores; 2 = qualquer ordem com justificativa fraca; 1 = revogar primeiro, às cegas; 0 = nada.

Síntese

Entregue decisões e evidências, diga o que você não testou, mova os acessos com cuidado e reserve o reteste antes da despedida.

Continue estudando — capítulo 26 de 30

← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →