Capítulo 29 — Construção do projeto final
Mapa da aula
Aula 29 publicada. Mapa, exemplo, EX085.
flowchart TD
N0["29.1 Os artefatos da construção"]
N1["29.2 Opere o que você construiu"]
N2["29.3 Nenhum conteúdo de exploração"]
N3["29.4 Rubrica da revisão por pares"]
N4["29.5 Tempo limitado"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX085"]
Desenho lógico
flowchart LR
N0["29.1 Os artefatos da construção"]
N1["29.2 Opere o que você construiu"]
N2["29.3 Nenhum conteúdo de exploração"]
N3["29.4 Rubrica da revisão por pares"]
N4["29.5 Tempo limitado"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX085"]
[29.1 Os artefatos da construção]
|
v
[29.2 Opere o que você construiu]
|
v
[29.3 Nenhum conteúdo de exploração]
|
v
[29.4 Rubrica da revisão por pares]
|
v
[29.5 Tempo limitado]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX085]
Objetivos de aprendizagem
Você vai (1) montar um pacote completo de avaliação autorizada para um pedido sintético da TRT; (2) incluir objetos de escopo, ROE, declaração de método, plano de evidências, escala de classificação e modelo de relatório; (3) executar todos os verificadores dos laboratórios sobre o pacote; (4) entregar uma construção que um colega consiga operar sem precisar lhe fazer perguntas.
29.1 Os artefatos da construção
- Pedido e declaração de decisão. 2. Listas de escopo (prefixos, nomes, exclusões). 3. ROE (janela, atividades permitidas, lista de parada, contato da equipe branca). 4. Declaração de método mapeada para SP 800-115/PTES/WSTG, conforme o uso. 5. Inventário do kit com versões. 6. Plano de evidências (o quê, onde, retenção). 7. Escala de classificação e faixas. 8. Modelo de relatório com gancho para a tabela executiva. 9. Plano de reteste. 10. Critérios de avaliação.
A falta de qualquer um dos dez reprova a pontuação de completude do projeto final. A ordem segue a vida de um engajamento, então a pontuação de completude percorre os artefatos na mesma sequência na folha de pontuação dos colegas. Um pacote com achados brilhantes, mas sem plano de evidências ou plano de reteste, está incompleto. No exemplo resolvido de Priya, os dez artefatos estão presentes, incluindo a exclusão do pagamento de tarifas tanto por prefixo quanto por nome de host.
29.2 Opere o que você construiu
Um colega carrega seu escopo nos padrões do lab_scope.py, suas ROE nos padrões do lab_roe.py e seus achados no lab_score.py e no lab_report.py. Se não conseguir, a construção está incompleta. No exemplo resolvido, um colega executa os verificadores sobre o pacote de Priya e obtém os mesmos resultados STOP e IN-SCOPE que ela documentou. Essa reprodução por alguém que não é o autor é o que operabilidade significa aqui. Se o verificador de escopo não conseguir carregar as listas entregues, a operabilidade falha antes que se olhe qualquer slide, porque uma apresentação polida de um pacote inutilizável não ajuda uma equipe de operações.
29.3 Nenhum conteúdo de exploração
O pacote contém zero procedimentos de ataque. Quem pedir esse tipo de coisa durante o projeto final é redirecionado ao limite educacional do Capítulo 10. O projeto final testa se os estudantes conseguem desenhar e operar um serviço de avaliação, e não se conseguem atacar algo, então passos de ataque não acrescentam nada à nota. Um estudante que peça detalhes de exploração durante a construção é redirecionado ao Capítulo 10 e recebe um desconto de segurança. A rubrica não tem exceção para pedidos apresentados como sendo para fins didáticos, já que um procedimento escrito funciona do mesmo jeito para quem quer que o leia depois.
29.4 Rubrica da revisão por pares
Os colegas pontuam: completude dos dez artefatos, verificabilidade, clareza da linguagem de risco residual e segurança (nenhum detalhe de uso dual). O volume de achados é irrelevante. Detalhes de uso dual reprovam o critério de segurança mesmo num pacote completo em todo o resto. Um colega que dê pontos extras por uma lista longa de achados inventou um critério, e essa folha de pontuação é anulada e refeita. O sentido da rubrica é que um revisor possa entregar o pacote a uma equipe de operações e esperar que ele funcione, com uma redação de risco residual que um gestor consiga repetir com exatidão.
29.5 Tempo limitado
A construção do projeto final é pontuada pela completude e pela operabilidade dentro de uma janela fixa de estúdio, e não por um polimento sem fim. Priya congela as listas de escopo quarenta e oito horas antes da revisão por pares, para que os verificadores parem de se mexer. Edições estéticas de última hora que quebram uma coluna do CSV reprovam no teste dos colegas. O líder anuncia o congelamento no canal do estúdio quando faltam 48 horas, e a partir daí as listas de escopo não são editadas. Uma coluna renomeada por capricho depois do congelamento pode impedir o verificador de escopo de carregar o CSV, o que reprovaria no teste dos colegas. Polir os slides continua permitido, desde que os arquivos que os verificadores leem não mudem.
Exemplo resolvido
O pacote de projeto final de Priya para um pedido sintético de "garantia de identidade do portal dos funcionários" preenche os dez artefatos, exclui o pagamento de tarifas por prefixo e por nome de host, fixa as versões de três ferramentas e inclui o gancho da tabela do Capítulo 22. Um colega executa os verificadores e produz os mesmos resultados STOP/IN-SCOPE que ela documentou.
Caso sintético. O pedido do projeto final e o colega são inventados.
Erros e limites
Uma prosa bonita que um verificador não consegue carregar não cumpre o objetivo do tecnólogo. Copiar o pacote de outra equipe sem entendê-lo também reprova.
Exercícios
- EX085 — Dez artefatos. Liste quaisquer oito dos dez artefatos da construção. Rubrica: 3 = oito corretos da lista do capítulo; 2 = cinco; 1 = três; 0 = nada.
- EX086 — Teste dos colegas. Que dois resultados provam que um colega consegue operar o seu pacote? Rubrica: 3 = os verificadores rodam + os veredictos batem com os documentados; 2 = um; 1 = o colega gosta da prosa; 0 = nada.
- EX087 — Falha de segurança. Um colega de equipe acrescenta uma página com os passos de password spraying "para dar realismo". O que você faz? Rubrica: 3 = remover; citar o limite educacional; recusar conteúdo de uso dual; 2 = mover para um apêndice; 1 = manter; 0 = nada.
Síntese
Construa o serviço inteiro no papel e nos verificadores; deixe um colega operá-lo; mantenha de fora os detalhes de exploração.
Continue estudando — capítulo 29 de 30
← Capítulo 28 (rascunho) · Índice de capítulos do curso · Capítulo 30 (rascunho) →