◇ OpenCyber Academy
Tecnólogo · Capítulo 30 · Português

Capítulo 30 — Avaliação do projeto final

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 30 — Avaliação do projeto final

Mapa da aula

Aula 30 publicada. Mapa, exemplo, EX088.

flowchart TD
  N0["30.1 Pauta da banca"]
  N1["30.2 Defesa com citações"]
  N2["30.3 A pergunta da recusa"]
  N3["30.4 Depois da banca"]
  N4["30.5 Registro no portfólio"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX088"]

Desenho lógico

flowchart LR
  N0["30.1 Pauta da banca"]
  N1["30.2 Defesa com citações"]
  N2["30.3 A pergunta da recusa"]
  N3["30.4 Depois da banca"]
  N4["30.5 Registro no portfólio"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX088"]

[30.1 Pauta da banca]
    |
    v
[30.2 Defesa com citações]
    |
    v
[30.3 A pergunta da recusa]
    |
    v
[30.4 Depois da banca]
    |
    v
[30.5 Registro no portfólio]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX088]

Objetivos de aprendizagem

Você vai (1) apresentar o pacote do projeto final a uma banca; (2) defender as escolhas de escopo, método e risco residual citando frameworks; (3) responder corretamente a "o que você recusaria?"; (4) identificar seu próximo passo no curso sem afirmar que o livro está pronto.

30.1 Pauta da banca

Dez minutos: decisão e escopo. Dez minutos: método e controles. Dez minutos: evidência, classificação e relatório. Dez minutos: aprendizado purple e reteste. Dez minutos: perguntas. A banca tem em mãos as ROE e as saídas dos verificadores enquanto você fala. Priya mantém um cronômetro visível na mesa, e a lista de verificação do kit da banca reprova a prontidão se ele faltar. Os blocos de tempo protegem os blocos finais: um candidato que gasta vinte minutos com detalhes técnicos não deixa tempo para mostrar o aprendizado purple nem o plano de reteste. Como a banca tem as ROE e as saídas dos verificadores, cada afirmação pode ser conferida com um artefato no momento em que é feita.

30.2 Defesa com citações

Quando perguntarem por que as exclusões vêm primeiro, cite o Capítulo 2 e a prática das ROE. Quando perguntarem por que você tomou emprestada uma equipe branca, cite as ideias do TIBER-EU/CBEST. Quando perguntarem como você classificou o F-09, mostre a matriz. Opiniões sem artefatos pontuam mal. Priya ensaia essas respostas em voz alta e as mantém numa folha-resumo de uma página, que a banca permite sobre a mesa. Para o F-09, ela abre a matriz de classificação e percorre as células de probabilidade e impacto, em vez de defender a classificação de memória. Uma resposta que aponta para um artefato permite que a banca a confira, enquanto uma opinião confiante não deixa nada a verificar.

30.3 A pergunta da recusa

As bancas perguntam o que você recusaria. Respostas fortes: testar sem uma equipe branca alcançável; contato com o pagamento de tarifas; ampliação do escopo pelo chat no meio da janela; fornecer passos de exploração; guardar evidências num notebook pessoal. Respostas fracas: "nada, somos flexíveis". Cada resposta forte nomeia uma condição e o motivo pelo qual ela encerra o trabalho, como a falta de uma equipe branca alcançável significar que ninguém pode autorizar uma parada ou uma retomada. A segurança na prova oral reprova se faltar qualquer uma das quatro classes de recusa: ausência da equipe branca, contato com o pagamento de tarifas, ampliação de escopo pelo chat e passos de exploração. Uma resposta flexível sugere que o candidato ainda não pensou em onde ficam os limites.

30.4 Depois da banca

Aprovação significa que o pacote cumpre a rubrica do Capítulo 29 e que a defesa oral mostrou julgamento. Não significa que o manuscrito passou pela verificação A4 ou pela revisão independente. O próximo curso no percurso de estudo é o curso 089, segurança de IA e aprendizado de máquina para tecnólogos. Antes do fim das perguntas, Priya diz em voz alta que o pacote usa dados sintéticos e que uma aprovação não confere nenhuma autoridade real. Essa frase está na lista de verificação do roteiro de aprovação, porque os candidatos às vezes descrevem a aprovação num curso como se ela os certificasse para testar sistemas reais. Dizer os limites com clareza faz parte do julgamento que a banca está avaliando.

30.5 Registro no portfólio

Depois da banca, Priya arquiva uma nota curta de portfólio: quais artefatos liderou, qual recusa praticou, quais chamados de detecção abriu. A nota cita o ENG-712 e rotula tudo como sintético. Futuros empregadores que leiam um portfólio devem ver julgamento, e não a alegação de que ela "hackeou uma empresa de transporte". A nota de Priya lista a folha de avaliação e o pacote de passagem como artefatos que ela liderou, a recusa do pagamento de tarifas como a que praticou e o DET-19 como um chamado que abriu. Redações como "hackeou uma empresa de transporte" são proibidas na nota, porque são falsas para um exercício sintético e sugerem a atitude errada a um empregador.

Exemplo resolvido

Priya apresenta o pacote do ENG-712. Pedem a ela que amplie o escopo para o pagamento de tarifas "só desta vez". Ela recusa, cita a redação da exclusão e oferece uma proposta de engajamento separado, caso o responsável pelas tarifas o autorize. Pedem a ela os passos de exploração do T1552.001; ela aponta para a página do ATT&CK e para o limite do livro. A banca registra a segurança e a honestidade sobre o risco residual como pontos fortes.

Caso sintético. A troca com a banca foi inventada para a prática de avaliação.

Erros e limites

Decorar nomes de frameworks sem ligá-los a uma decisão reprova. Alegar acreditação com base neste rascunho reprova.

Exercícios

Síntese

Apresente artefatos, cite frameworks, pratique a recusa e saia com humildade sobre o que é um manuscrito em rascunho.

Continue estudando — capítulo 30 de 30

← Capítulo 29 (rascunho) · Índice de capítulos do curso · Resoluções ↓ · Próximo curso pelo índice de capítulos →

Resoluções

Respostas-modelo para EX001–EX090. A Tidewater Regional Transit, Priya Natarajan, a Northpoint Assurance e todos os números são sintéticos. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. O BMC é acessível por uma porta de rede própria, recebe correções pelo firmware do fabricante e não pelo sistema operacional, e pode ficar numa VLAN de gerenciamento fora do escopo escrito. Um registro separado obriga a reunião de escopo a incluí-lo ou excluí-lo explicitamente.

EX002. Registrar no registro de ativo a fragilidade de cair sob carga, combinar com o responsável um método de menor impacto, como a revisão de configuração ou uma verificação com forte limitação de taxa numa janela supervisionada, e escrever esse limite nas regras de engajamento.

EX003. A TRT pode autorizar testes nas próprias máquinas virtuais, sistemas operacionais e aplicações. O hipervisor, o armazenamento e a malha de rede pertencem à empresa de hospedagem, então seus termos de serviço precisam ser lidos e qualquer aviso exigido precisa ser dado antes do planejamento.

EX004. Um /25 fixa os primeiros 25 bits, então 192.0.2.0/25 vai de .0 a .127. O endereço .200 fica na metade superior do /24, que não está listada, por isso o laboratório imprime OUT-OF-SCOPE.

EX005. Devolveria IN-SCOPE, porque 192.0.2.70 também está dentro de 192.0.2.0/25. O segmento de pagamento de tarifas que o cliente excluiu seria então testado, violando o acordo.

EX006. Parar de testar esse nome. 203.0.113.5 está fora de todos os prefixos aprovados; Priya confirma com o responsável pelo sistema o que mudou e obtém reaprovação por escrito para o novo endereço antes de qualquer trabalho adicional.

EX007. Deve devolver um rótulo de parada como "STOP: unreadable time". Novembro tem 30 dias, então a string não pode ser interpretada; um horário ilegível nunca deve ser tratado como dentro da janela.

EX008. hashlib. Ele vem com o Python, então não exige revisão de dependências, não introduz risco de cadeia de suprimentos e dá resultados idênticos ao revisor.

EX009. 192.0.2.10 → IN-SCOPE; 192.0.2.70 → EXCLUDED; 203.0.113.5 → OUT-OF-SCOPE (qualquer trio equivalente que cubra os três rótulos recebe 3).

EX010. O validador imprime missing evidence. Sem um identificador de evidência, nenhum revisor consegue verificar a afirmação, então ela não pode aparecer como achado até que a evidência seja anexada.

EX011. Substituir "urgent" por um de low/medium/high/critical. O testador propõe o nível usando o método de classificação combinado (Capítulo 13) e o revisor o confirma; o vocabulário em si não é ampliado.

EX012. Exemplo: owner — a pessoa ou equipe nomeada e responsável pela correção, para que o controle de correções possa encaminhar e cobrar o achado. Prazo, status ou data de reteste com justificativa também recebem 3.

EX013. Um exercício de red team. Ele emula um agente de ameaça definido ao longo de semanas, com pouca ciência por parte dos defensores, então mede a detecção e a resposta como um todo em vez de listar fraquezas.

EX014. Registros de login amostrados em todos os caminhos de entrada da VPN, ou contas de teste autorizadas, mostrando que nenhuma sessão foi estabelecida sem o segundo fator. A política escrita prova apenas que o controle existe.

EX015. Integridade. A equipe de operações responsável pela escala e o líder de segurança da TRT devem ser avisados primeiro, porque uma alteração silenciosa poderia colocar o motorista errado numa linha.

EX016. Uma exportação evita o acesso interativo que poderia perturbar uma VM de produção e produz um artefato reproduzível que um revisor pode reexaminar sem reabrir um shell.

EX017. Ela recusa. Testar o hipervisor está fora da condição de locatária da TRT; exige autorização por escrito do provedor de hospedagem, sob seus termos, o que o engajamento atual não inclui.

EX018. Guardar o snapshot sob as regras de acesso às evidências, trocar imediatamente a senha exposta e apagar ou devolver o snapshot quando terminar o prazo de retenção do acordo.

EX019. Falhou a autorização: a autenticação funcionou para muitas pessoas, mas o privilégio de edição era amplo demais. Restringir a edição de horários a um papel nomeado de publicador e registrar cada mudança.

EX020. T1078 Valid Accounts — credenciais legítimas que não deveriam mais funcionar continuam utilizáveis. O Laboratório H (Capítulo 22) registra o mesmo achado, o F-07, sob T1133 External Remote Services, e os dois mapeamentos estão corretos: o T1133 nomeia o serviço exposto (a VPN dos funcionários), enquanto o T1078 nomeia as contas válidas que ainda funcionam por meio dele. O exercício pergunta pelas contas, então o T1078 recebe a nota máxima; um relatório pode listar os dois IDs para o F-07.

EX021. Exemplo: um procedimento de redefinição de senha no service desk que aceita nome e número de matrícula por telefone, sem retorno de ligação. Mitigar com comprovação de identidade mais forte e um segundo canal. Interceptação na redefinição por SMS ou códigos de backup desprotegidos, com as mitigações correspondentes, também recebem 3.

EX022. Exemplo: (1) internet → proxy reverso — terminação TLS e autenticação no proxy reverso; (2) VPN dos funcionários → jump host — MFA e acesso de gerenciamento por lista de permissões. Pares distintos equivalentes recebem 3.

EX023. As três dependem do mesmo segredo no mesmo diretório. Roubar ou adivinhar essa senha atravessa todas as camadas de uma vez, então a profundidade é ilusória.

EX024. O gateway da VPN ou o log central de autenticação — a evidência de identidade para esse caminho. Logs de aplicação ou de banco de dados podem mostrar atividade posterior, mas não provam o login na VPN em si.

EX025. E-002_wiki_page_export.txt imprime MISMATCH. Qualquer achado que citava essa exportação precisa ficar suspenso até que uma cópia nova seja coletada sob custódia e tenha o hash recalculado; o arquivo alterado deixou de ser evidência confiável.

EX026. Exemplo: "2026-11-03 21:40 Priya Natarajan exportou o banner de login do portal a partir de trt-portal, no chamado ENG-712; guardado em evidence/ENG-712/E-001_portal_login_banner.txt."

EX027. Não. A evidência fica no repositório aprovado do engajamento, sob as regras de acesso e retenção do acordo, e não em equipamento pessoal.

EX028. Exemplo: "Determinar, num exercício autorizado e com prazo definido, sob supervisão da equipe branca, se o SOC da TRT detecta e responde a um intruso realista contra o portal dos funcionários e a VPN, excluindo os sistemas de pagamento de tarifas."

EX029. Quaisquer cinco entre: partes, sistemas em escopo, exclusões, métodos permitidos, janela de tempo, contato de emergência, regras de tratamento de dados, público do relatório. Nomear cinco campos obrigatórios distintos recebe 3.

EX030. O purple teaming estrutura a colaboração — muitas vezes com revelações planejadas ou revisões conjuntas — para que os defensores melhorem a detecção e a resposta; o produto principal é o aprendizado, e não um placar competitivo.

EX031. 2026-11-04 06:10 VPN configuration review STOP: outside window e 2026-11-03 23:00 fare-system interaction STOP: forbidden activity.

EX032. Escrever um limite rígido: apenas revisão de configuração, ou verificações ativas limitadas a uma taxa combinada dentro da janela, e registrar esse limite nas ROE para que os testadores não improvisem.

EX033. Não iniciar a sessão. Escalar para o CISO ou para o substituto nomeado, confirmar uma autoridade de parada alcançável e só então reabrir a janela por escrito.

EX034. Exemplo: logs de acesso do proxy reverso, um WAF, uma borda de CDN ou o SIEM. Qualquer um deles pode guardar uma cópia que vira evidência da avaliação e que precisa seguir as regras de retenção do acordo.

EX035. Mascarar alex.rivera (a parte local) e manter @trt.example ou um rótulo como "conta de funcionário", para que o achado ainda prove que uma identidade de funcionário estava envolvida sem expor a pessoa.

EX036. Apagar ou devolver todos os itens de evidência do ENG-712 quando chegar o dia 90 e escrever um registro curto de que a destruição ou a devolução aconteceu, de quem a fez e de quando.

EX037. O F-09, com pontuação 20 na faixa crítica — a página da wiki com uma senha de serviço em texto claro.

EX038. Exemplo: "Contas de VPN de ex-terceirizados (T1078) poderiam permitir que um ex-terceirizado alcançasse o jump host de gerenciamento e perturbasse as operações do portal dos funcionários (disponibilidade/integridade)."

EX039. Elevar a urgência (por exemplo, tratar o chamado como devido nesta semana), mesmo com a severidade continuando baixa, porque a sondagem ativa a partir da internet aumenta a chance de a fraqueza ser encontrada antes de um ciclo rotineiro de correção.

EX040. SP 800-115: revisão (revisão de configuração) ou, se for para confirmar a aplicação do controle, validação de vulnerabilidades do alvo. PTES: análise de vulnerabilidades (ou uma fase vizinha claramente justificada). Nomear as duas com uma justificativa curta recebe 3.

EX041. Exemplo: "Inventariar os serviços em escuta apenas nos prefixos em escopo, na taxa de requisições combinada e dentro da janela das ROE, com os endereços de pagamento de tarifas excluídos."

EX042. Os IDs de técnica permitem que defensores e relatórios mapeiem comportamentos de forma consistente sem fornecer procedimentos operacionais de ataque, que este livro educacional deliberadamente não traz.

EX043. A2 fica retida porque a atividade ("password spraying") não está na lista aprovada. A3 fica retida porque 192.0.2.140 está fora do /25 em escopo.

EX044. ['A1', 'A4']. A lista é a evidência de que apenas as ações que passaram pelos controles de alvo, horário e atividade foram registradas como executadas.

EX045. Respeitar a nota de fragilidade das ROE — limitar a taxa ou passar para revisão de configuração — e, se a nota não estiver clara, perguntar à equipe branca antes de prosseguir, mesmo que os controles rígidos tenham passado.

EX046. Uma equipe branca com autoridade de parada e uma revisão estruturada de aprendizado ou de repetição depois do exercício. O desenho de cenários guiado por inteligência de ameaças também é aceito como segunda ideia.

EX047. Exemplo: "Todos os sistemas de pagamento de tarifas estão excluídos de todas as atividades, incluindo os hosts em 192.0.2.64/27 e qualquer nome sob fare.trt.example."

EX048. A decisão do primeiro engajamento é sobre a eficácia dos controles de identidade; o fuzzing intrusivo aumenta o risco ligado à fragilidade e pode exceder as ROE. Escolha verificações que respondam à decisão dentro dos limites combinados.

EX049. Quaisquer quatro entre: nome, versão, responsável/mantenedor, finalidade, dados tratados, ambiente aprovado, referência de checksum/assinatura.

EX050. Manter a versão fixada. Adiar a atualização de funcionalidades para depois da janela; só considerar uma mudança no meio da janela se for uma correção de segurança e a equipe branca concordar por escrito.

EX051. O script não tem responsável nem verificação de integridade, pode executar atividades que as ROE proíbem e pode guardar ou transmitir evidências fora das regras de tratamento aprovadas.

EX052. Exemplo: remover a senha da wiki e guardá-la no cofre de segredos aprovado (Protect); responsável = responsável pela wiki/pelo serviço; verificação = varredura automatizada de segredos no espaço da wiki mais uma revisão por amostragem em 30 dias.

EX053. Exemplo: forçar o caminho legado a passar por um jump host com MFA e gravação de sessões, reduzir a duração da sessão para uma hora e acompanhar uma data para aposentar o caminho legado.

EX054. Exemplo: "Em 2026-11-10, dentro do escopo do portal dos funcionários do ENG-712, os achados de identidade relatados anteriormente foram corrigidos e retestados; o risco residual fora desse escopo permanece."

EX055. alerted 3/7 = 42.9%; logged 2/7 = 28.6%; missed 2/7 = 28.6%.

EX056. Exemplo: "Detectar T1021 Remote Services nos jump hosts — alertar o SOC sobre sessões interativas fora das janelas de mudança."

EX057. O objetivo do exercício era detecção e resposta. Uma linha de log que ninguém vê não produz resposta, então o resultado não cumpre o objetivo, mesmo com a telemetria existindo.

EX058. Ferramenta (ambiente do testador): corrigir o relógio via NTP ou ajuste manual, conferir o horário com o relógio da equipe branca e executar de novo o verificador de ROE antes de qualquer outra ação.

EX059. Suspender as atividades que possam acrescentar ruído ou risco, avisar imediatamente a equipe branca e retomar apenas por instrução escrita, depois que o comandante do incidente concordar.

EX060. Quaisquer cinco entre: descrição do evento, carimbo de tempo, classe da falha, pessoas informadas, decisão (go/no-go), condições para retomar, assinatura/nome de quem decidiu.

EX061. Exemplo: pedidos de parada da equipe branca → CISO/gestor de segurança de plantão; chamados de achados → responsável pela gestão de vulnerabilidades; acesso ao cofre de evidências → engenharia de segurança. Outros trios coerentes recebem 3.

EX062. Um PDF não tem campo de responsável, prazo nem estado de fluxo de trabalho, então a correção empaca, a menos que alguém copie à mão cada achado para um controle.

EX063. Exigir todos os achados no controle aprovado da TRT, migrar o que já estiver no quadro privado e desativar o quadro, para que evidências e status não possam divergir.

EX064. O F-09 aparece primeiro porque sua severidade é crítica, que o gerador classifica acima de alta e baixa.

EX065. Exemplo: aprovar mudanças de escopo e emitir um go/no-go depois de um incidente. A autoridade de parada da equipe branca e a decisão final sobre severidade também pontuam.

EX066. Registrar o hash do commit ou o digest SHA-256 do script na pasta do engajamento, ao lado da tabela gerada, para que um revisor possa regenerá-la e comparar.

EX067. Ela premia encontrar mais problemas, mesmo por métodos inseguros, e ignora se a equipe ficou no escopo, se os defensores aprenderam e se a correção começou.

EX068. Exemplo: "Para cada técnica não detectada na matriz de cobertura, um chamado de backlog de detecção, com responsável e ID do ATT&CK, é aberto em até cinco dias úteis."

EX069. Exemplo: Parar — atualizações de ferramentas no meio da janela sem o aval da equipe branca. Começar — verificação de sincronização de relógio antes da abertura. Continuar — pipeline de três controles com registro do operador. Outros trios coerentes recebem 3.

EX070. Exemplo: "Ao longo de dois ciclos purple trimestrais na TRT, que percentual das técnicas do ATT&CK exercitadas passou de missed para alerted?"

EX071. Marcar o n como MISSING e revisar o resumo antes da submissão; sem o tamanho da amostra, os leitores não conseguem julgar a afirmação.

EX072. Exemplo: "Este estudo usa apenas logs sintéticos de exercícios e não envolve sistemas reais da TRT nem dados pessoais."

EX073. Líder: responde pela aderência às ROE e pelo cronograma. Evidências: custódia, hash e higiene do repositório. Elo de ligação: comunicação com a equipe branca/o SOC e confirmações por escrito.

EX074. Parar de testar esse nome, reler a lista aprovada e fazer o elo de ligação obter uma decisão por escrito da equipe branca antes de qualquer outra ação.

EX075. Quaisquer quatro entre: controles aprovados, HOLDs e seus motivos, itens de evidência contados/com hash, riscos para a entrega, progresso nos critérios de avaliação declarados de antemão, perguntas em aberto para a equipe branca.

EX076. Quaisquer cinco entre: tabela executiva de achados, folhas por achado, página de risco residual/incógnitas, índice de evidências com hashes, nota de ACL/transferência, janela de reteste reservada, cópia do método/das ROE.

EX077. Exemplo: "Os sistemas de pagamento de tarifas (192.0.2.64/27 e fare.trt.example) foram excluídos; este engajamento não oferece nenhuma garantia sobre esses sistemas."

EX078. Confirmar que os operadores da TRT conseguem abrir o pacote de evidências sob a nova ACL e depois revogar a VPN e as permissões no cofre da Northpoint, para que a correção nunca perca o acesso às provas.

EX079. F-01 VALIDATED; F-07 REOPENED; F-09 NOT RETESTED - no fix declared.

EX080. Deixar o F-07 aberto (não validado). Escalar para o responsável pela correção e para o CISO; encerrar apenas depois de um reteste bem-sucedido ou de uma aceitação de risco por escrito.

EX081. Quaisquer três entre: aprovador nomeado, motivo, declaração de risco residual, data de revisão/vencimento, escopo da aceitação, ID do achado vinculado.

EX082. Se o cofre ou a VPN estiverem indisponíveis, ainda é preciso ter o escopo, as exclusões e os números de contato de emergência; o papel ou uma cópia offline criptografada mantém os controles aplicáveis.

EX083. Parar imediatamente as verificações ativas, confirmar o congelamento com a equipe branca e com o gestor de mudanças e reagendar dentro de uma janela escrita.

EX084. Exemplo: "A atividade de T1021 das 22:10 às 22:50 não gerou alerta no SOC; o chamado de backlog de detecção DET-19 foi aberto."

EX085. Quaisquer oito entre: pedido/decisão, listas de escopo, ROE, declaração de método, inventário do kit, plano de evidências, escala de classificação, modelo de relatório, plano de reteste, critérios de avaliação.

EX086. O colega consegue executar os verificadores pertinentes sobre as suas listas, e os veredictos impressos batem com o que a sua documentação previa.

EX087. Apagar a página, lembrar à equipe o limite educacional do Capítulo 10 e recusar qualquer conteúdo procedimental de uso dual na entrega.

EX088. Exemplo: recusar começar sem uma equipe branca alcançável; recusar qualquer atividade no pagamento de tarifas; recusar fornecer procedimentos de exploração. A ampliação de escopo pelo chat e os depósitos de evidências em notebook pessoal também contam.

EX089. Um resultado logged significa que a telemetria existia, mas o objetivo de detectar e responder falha se nenhum analista ou playbook foi notificado a tempo de agir.

EX090. O próximo é o curso 089, segurança de IA e aprendizado de máquina (tecnólogo). Não afirmar que este rascunho é uma qualificação acreditada nem que passou pelos controles de 300 páginas A4 e de revisão independente.