Capítulo 5 — Letramento em segurança

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX013.

flowchart TD
  N0["5.1 Três tipos de avaliação"]
  N1["5.2 CIA em palavras operacionais"]
  N2["5.3 Existência versus eficácia"]
  N3["5.4 A autorização é a linha"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX013"]

Desenho lógico

flowchart LR
  N0["5.1 Três tipos de avaliação"]
  N1["5.2 CIA em palavras operacionais"]
  N2["5.3 Existência versus eficácia"]
  N3["5.4 A autorização é a linha"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX013"]

[5.1 Três tipos de avaliação]
    |
    v
[5.2 CIA em palavras operacionais]
    |
    v
[5.3 Existência versus eficácia]
    |
    v
[5.4 A autorização é a linha]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX013]

Objetivos de aprendizagem

Você vai (1) distinguir avaliação de vulnerabilidades, teste de intrusão e red team; (2) enunciar em palavras simples os objetivos de confidencialidade, integridade e disponibilidade; (3) explicar a diferença entre a existência de um controle e sua eficácia; (4) explicar por que é a autorização, e não a habilidade, que separa o teste do crime.

5.1 Três tipos de avaliação

Uma avaliação de vulnerabilidades enumera fraquezas conhecidas de forma ampla e costuma parar na identificação. Um teste de intrusão tenta, dentro de limites combinados, confirmar se as fraquezas podem de fato ser usadas e aonde elas levam. Um exercício de red team emula um agente de ameaça específico por um período mais longo para testar a detecção e a resposta como um todo, muitas vezes com apenas uma pequena "equipe branca" ciente dele. O NIST SP 800-115 descreve revisão, identificação e análise de alvos e validação de vulnerabilidades dos alvos como famílias de técnicas; o PTES descreve fases que vão do pré-engajamento ao relatório.

5.2 CIA em palavras operacionais

Confidencialidade: só as pessoas certas leem os rascunhos de horários e os registros dos funcionários. Integridade: ninguém altera a escala de motoristas da semana seguinte sem deixar rastro. Disponibilidade: os passageiros recebem as chegadas em tempo real quando precisam delas. Todo achado deve dizer qual dessas propriedades ameaça, porque isso orienta quem se importa e com que urgência. Para a TRT, a confidencialidade cobre os rascunhos da escala de funcionários; a integridade cobre a veracidade dos horários; a disponibilidade cobre a informação aos passageiros no horário de pico. Priya classifica o F-01, de administrador compartilhado, como risco de integridade e disponibilidade, e não como uma caça a troféus de confidencialidade.

Falhas de integridade dos horários no pico prejudicam os passageiros mesmo quando nenhum dado pessoal vaza. O texto de Priya sobre o F-01 começa por esse enquadramento operacional de CIA para o CISO.

5.3 Existência versus eficácia

Uma política que exige autenticação multifator existe no papel. A eficácia só se demonstra quando um avaliador observa que as contas de fato não conseguem entrar sem o segundo fator. Avaliações medem eficácia; auditorias muitas vezes param na existência. As duas importam, mas um relatório precisa dizer qual delas mediu. O ENG-712 não usa o PDF da política como prova de nada. Ele inclui um caminho de login observado no portal dos funcionários que ainda aceitava senha sem segundo fator, registrado como evidência antes de ser classificado. O relatório declara que se tratou de uma verificação de eficácia, para que o leitor não confunda a citação de uma política com prova de que o MFA funciona.

5.4 A autorização é a linha

A mesma atividade — verificar se uma conta está protegida — é um serviço quando existe permissão por escrito e um crime em muitas jurisdições quando não existe. A habilidade não muda isso. O Capítulo 10 trata dos documentos que criam a permissão. Priya só abre o ENG-712 depois que o fluxo de aprovação do CISO foi assinado, e o carimbo de tempo da assinatura é a primeira linha do pacote do engajamento. A Northpoint não pode começar discretamente em clones de homologação antes que essa linha exista, por mais ansiosos que estejam seus testadores. Qualquer atividade anterior à assinatura é tratada como não autorizada, mesmo que a mesma verificação viesse a ser permitida depois.

Exemplo resolvido

Um gerente da TRT pede a Priya "um pen test rápido da VPN antes de sexta". Ela pergunta que decisão o resultado vai apoiar. A necessidade real é confirmar que as contas de ex-terceirizados foram desativadas — uma pergunta de eficácia sobre um controle. Ela propõe uma revisão direcionada de contas em vez de um teste de intrusão, que exige escopo, acordo e uma janela que a sexta-feira não pode oferecer.

Caso sintético. O pedido do gerente e a VPN da TRT são fictícios.

Erros e limites

Chamar toda varredura de "pen test" infla a garantia. Os rótulos variam entre fornecedores; leia o que foi efetivamente feito.

Exercícios

• EX013 — Nomeie o serviço. Um conselho quer saber se o SOC perceberia um intruso realista ao longo de seis semanas. Qual tipo de avaliação serve e por quê?
  Mostrar critérios de avaliação

  Rubrica: 3 = exercício de red team; testa detecção/resposta ao longo do tempo contra um perfil de ameaça; 2 = só o tipo; 1 = varredura de vulnerabilidades; 0 = nada.
• EX014 — Controle de papel. A política da TRT diz que todos os logins na VPN exigem MFA. Que evidência mostraria eficácia, e não apenas existência?
  Mostrar critérios de avaliação

  Rubrica: 3 = registros de login observados/amostrados ou contas de teste mostrando o segundo fator aplicado em todos os caminhos; 2 = observação vaga; 1 = o documento da política; 0 = nada.
• EX015 — Mudança na escala. Qual propriedade da CIA é ameaçada se a escala de motoristas puder ser alterada sem rastro, e quem deve ser avisado primeiro?
  Mostrar critérios de avaliação

  Rubrica: 3 = integridade; o responsável pelas operações/pela escala e o líder de segurança; 2 = só integridade; 1 = disponibilidade; 0 = nada.

Síntese

Escolha o tipo de avaliação pela decisão que ela precisa apoiar, meça a eficácia e lembre que a permissão é a única linha entre a prática e o dano.

Continue estudando — capítulo 05 de 30

← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →