Capítulo 6 — Sistemas operacionais e virtualização

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["6.1 O que um sistema operacional expõe"]
  N1["6.2 Estado de correções e de configuração"]
  N2["6.3 Virtualização e destino compartilhado"]
  N3["6.4 Snapshots para a correção"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["6.1 O que um sistema operacional expõe"]
  N1["6.2 Estado de correções e de configuração"]
  N2["6.3 Virtualização e destino compartilhado"]
  N3["6.4 Snapshots para a correção"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX016"]

[6.1 O que um sistema operacional expõe]
    |
    v
[6.2 Estado de correções e de configuração]
    |
    v
[6.3 Virtualização e destino compartilhado]
    |
    v
[6.4 Snapshots para a correção]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) nomear os artefatos de sistema operacional que um avaliador costuma pedir; (2) explicar como a virtualização muda as premissas de isolamento; (3) descrever por que snapshots e imagens de referência importam para a correção; (4) recusar pedidos que impliquem intrusão ao vivo num hipervisor de produção sem permissão do provedor.

6.1 O que um sistema operacional expõe

Um sistema operacional guarda contas, listas de processos, serviços em escuta, inventários de pacotes, logs e arquivos de configuração. Na avaliação autorizada, essas são fontes de evidência quando o acordo permite o acesso. Um tecnólogo que entende onde cada fonte fica pode pedir exportações em vez de sessões interativas, o que reduz o risco operacional e ainda produz artefatos verificáveis. Para as máquinas convidadas da TRT, a evidência de sistema operacional consiste em listas de pacotes, serviços em escuta e logs de autenticação coletados sob as ROE. Priya não extrai a memória de processos por curiosidade. Os equipamentos de tarifa continuam intocados, mesmo quando aparecem na mesma VLAN de um desenho.

6.2 Estado de correções e de configuração

Um sistema operacional com suporte e com as correções em dia é diferente de uma versão sem suporte que não recebe mais atualizações de segurança. A configuração também importa: um serviço que escuta em todas as interfaces, uma senha guardada num arquivo em texto claro, um host protegido por firewall com uma porta de gerenciamento sem uso deixada aberta. Esses são fatos de configuração, não receitas de exploração, e aparecem nos achados como evidência de lacunas de controle. Máquinas convidadas sem suporte na VLAN dos funcionários viram achados com responsáveis; as que estão corrigidas e atualizadas, não. A deriva de configuração — um RDP aberto que o lab_ports marcaria como NOT APPROVED em outro lugar — é registrada junto com o estado dos pacotes, e não numa lista folclórica separada.

6.3 Virtualização e destino compartilhado

As máquinas convidadas compartilham um hipervisor, o armazenamento e às vezes uma malha de rede. O isolamento é uma propriedade do desenho da plataforma e do cuidado com que ela foi configurada. Um achado de que uma máquina convidada alcança a interface de gerenciamento de outra é uma questão da plataforma, e não apenas do sistema operacional convidado. Os termos dos provedores costumam proibir testar o hipervisor de dentro de uma máquina convidada; esse limite precisa ser escrito em todo engajamento de nuvem ou hospedagem.

Hipervisores compartilhados significam que um teste ruidoso pode afetar os vizinhos. Os limites de taxa e os ensaios a seco do ENG-712 existem em parte porque os hosts da TRT ficam numa malha compartilhada. Priya registra o destino compartilhado na página de risco residual.

6.4 Snapshots para a correção

Quando uma correção é aplicada, um snapshot do estado conhecido e bom permite que os operadores revertam se a mudança quebrar algo. Snapshots também congelam um momento para revisão posterior, mas podem conter segredos. Guarde-os sob as mesmas regras de acesso das demais evidências e apague-os quando o acordo mandar. No ENG-712, o plano de reteste de 2026-12-08 nomeia os snapshots pós-correção da máquina convidada do portal, para que o reteste compare a mesma build que foi corrigida. Sem eles, uma disputa sobre se o F-01 está VALIDATED pode virar uma discussão sobre qual build foi examinada. Os snapshots são guardados e apagados sob as mesmas regras de acesso e retenção das demais evidências.

Exemplo resolvido

Priya pede à equipe de sistemas operacionais uma exportação do inventário de pacotes das VMs do portal dos funcionários, e não um shell. O inventário mostra uma biblioteca sem suporte usada por uma ferramenta auxiliar. O achado cita a exportação do inventário como evidência, lista a técnica T1195 Supply Chain Compromise do ATT&CK como padrão adversário relacionado para discussão posterior e recomenda um caminho de atualização. Nenhuma sessão interativa foi necessária.

Caso sintético. O inventário de pacotes e a biblioteca sem suporte foram inventados para a TRT.

Erros e limites

Uma lista de pacotes é um artefato de um momento; pode estar desatualizada no dia seguinte. Acesso à máquina convidada nunca implica acesso ao hipervisor. Este capítulo não descreve como escapar de uma máquina virtual.

Exercícios

• EX016 — Exportação em vez de shell. Dê dois motivos para preferir uma exportação do inventário de pacotes a um shell interativo numa VM de produção.
  Mostrar critérios de avaliação

  Rubrica: 3 = menor risco operacional + evidência reproduzível; 2 = um motivo; 1 = o shell é sempre melhor; 0 = nada.
• EX017 — Linha do hipervisor. A Northpoint pede para "verificar o hipervisor em busca de falhas de isolamento" de dentro de uma máquina convidada. O que Priya responde?
  Mostrar critérios de avaliação

  Rubrica: 3 = recusa; está fora da autoridade da TRT; exige autorização e termos do provedor; 2 = só recusa; 1 = permite; 0 = nada.
• EX018 — Segredo no snapshot. Um snapshot de correção de uma VM do portal contém uma senha de serviço em texto claro. Como ele deve ser tratado?
  Mostrar critérios de avaliação

  Rubrica: 3 = tratar como evidência/segredo; restringir o acesso; trocar a senha; apagar/devolver conforme o acordo; 2 = restringir o acesso; 1 = deixar no armazenamento comum; 0 = nada.

Síntese

Prefira exportações, respeite o limite do hipervisor e trate os snapshots ao mesmo tempo como ferramentas de recuperação e como possíveis depósitos de segredos.

Continue estudando — capítulo 06 de 30

← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →