Capítulo 8 — Fundamentos de arquitetura de segurança
Mapa da aula
Aula 08 publicada. Mapa, exemplo, EX022.
flowchart TD
N0["8.1 Fronteiras de confiança"]
N1["8.2 Defesa em profundidade como camadas com propósit"]
N2["8.3 Onde a evidência mora"]
N3["8.4 Arquitetura e escopo"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX022"]
Desenho lógico
flowchart LR
N0["8.1 Fronteiras de confiança"]
N1["8.2 Defesa em profundidade como camadas com propósit"]
N2["8.3 Onde a evidência mora"]
N3["8.4 Arquitetura e escopo"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX022"]
[8.1 Fronteiras de confiança]
|
v
[8.2 Defesa em profundidade como camadas com propósit]
|
v
[8.3 Onde a evidência mora]
|
v
[8.4 Arquitetura e escopo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX022]
Objetivos de aprendizagem
Você vai (1) desenhar um diagrama de fronteiras de confiança para um serviço pequeno; (2) explicar a defesa em profundidade sem tratá-la como slogan; (3) posicionar controles de rede, de identidade e de aplicação nesse diagrama; (4) identificar onde a evidência da avaliação deve ser coletada.
8.1 Fronteiras de confiança
Uma fronteira de confiança é um lugar onde as premissas mudam: da internet para a DMZ, da DMZ para a rede interna, da aplicação para o banco de dados, do dispositivo do funcionário para a VPN. Atravessar uma fronteira deve exigir um controle — autenticação, criptografia, um gateway, um filtro. Diagramas que omitem as fronteiras escondem os lugares onde os achados mais importam. O diagrama de Priya mostra internet, DMZ, portal e diretório como mudanças distintas de premissa, cada uma com seu próprio controle. O pagamento de tarifas fica atrás de outro gateway e é um domínio de confiança diferente, então nunca herda permissões do portal por aparecer perto dele num slide. O escopo segue essas fronteiras, e não uma lista plana de endereços que por acaso respondem.
8.2 Defesa em profundidade como camadas com propósito
Profundidade significa camadas independentes que falham de maneiras diferentes. Uma VPN, um login de aplicação e uma permissão de banco de dados são três camadas. Se todas dependem do mesmo repositório de senhas, são uma camada usando três chapéus. Um avaliador procura pontos únicos de falha compartilhados com o mesmo cuidado com que procura camadas ausentes. Uma repetição purple no ENG-712 mostrou a VPN e o portal falhando juntos no mesmo modo de indisponibilidade do diretório. Se as três camadas desabam quando o diretório cai, a profundidade é apenas aparente. Por isso as recomendações incluem controles de sessão independentes, e não mais uma camada que dependa do mesmo repositório de senhas.
8.3 Onde a evidência mora
A evidência de rede mora nos logs dos gateways e, quando autorizado, em capturas de pacotes. A evidência de identidade mora nos logs de autenticação. A evidência de aplicação mora nos logs de acesso e nas exportações de configuração. Saber onde pedir poupa acessos interativos de que ninguém precisa. No ENG-712, o plano de evidências nomeia os logs dos gateways, os logs de autenticação do diretório e os logs de acesso do portal antes de a janela abrir, junto com quem vai exportar cada um. Capturas de pacotes precisam de uma linha própria e explícita nas ROE, porque podem coletar muito mais dados pessoais do que um achado exige. Priya não inicia capturas em enlaces compartilhados por iniciativa própria, mesmo quando um log parece incompleto.
8.4 Arquitetura e escopo
O escopo deve seguir a arquitetura. Se o segmento de pagamento de tarifas fica atrás de um gateway diferente, com responsáveis diferentes, ele é outro domínio de confiança e, em geral, outro engajamento. Misturar domínios num só relatório confunde a correção. Como o pagamento de tarifas é um domínio de confiança separado, as exclusões do ENG-712 nomeiam 192.0.2.64/27 e fare.trt.example. O parágrafo de exclusão é lido em voz alta na abertura e rubricado pelos responsáveis pela arquitetura, e qualquer divergência sobre onde fica a fronteira é resolvida por escrito antes de as ferramentas rodarem. Um parágrafo de exclusão que ninguém rubricou é tratado como não lido.
Exemplo resolvido
Priya esboça o portal dos funcionários da TRT: internet → proxy reverso → servidores de aplicação → banco de dados; um caminho paralelo para VPN dos funcionários → jump host de gerenciamento → a mesma camada de aplicação. Ela marca o proxy e o jump host como controles de fronteira de confiança. O segmento de pagamento de tarifas é desenhado numa página separada com a nota "fora de escopo". Os testadores da Northpoint usam o esboço para planejar quais logs vão pedir.
Caso sintético. O esboço de arquitetura e seus componentes são inventados.
Erros e limites
Diagramas bonitos que inventam sistemas que a organização não tem desperdiçam tempo. Profundidade não é "mais ferramentas"; são modos de falha independentes.
Exercícios
- EX022 — Marcação de fronteira. No esboço de Priya, nomeie duas fronteiras de confiança e um controle em cada. Rubrica: 3 = duas fronteiras distintas com controles correspondentes (por exemplo, internet→proxy com TLS/autenticação; VPN→jump host com MFA); 2 = uma completa; 1 = vago; 0 = nada.
- EX023 — Falha compartilhada. A VPN, o portal e o banco de dados aceitam a mesma senha do Active Directory, sem MFA. Por que isso não são três camadas? Rubrica: 3 = um repositório de credenciais/um segredo; comprometer esse segredo derrota as três; 2 = aponta a senha compartilhada; 1 = continuam sendo três camadas; 0 = nada.
- EX024 — Lugar da evidência. Onde Priya procuraria primeiro a evidência de que um login na VPN dos funcionários ocorreu às 02:00? Rubrica: 3 = logs da VPN/de autenticação (evidência de identidade); 2 = logs vagos; 1 = banco de dados; 0 = nada.
Síntese
Desenhe as fronteiras, confira se as camadas falham de forma independente e colete a evidência no lugar onde o controle realmente mora.
Continue estudando — capítulo 08 de 30
← Capítulo 07 (rascunho) · Índice de capítulos do curso · Capítulo 09 (rascunho) →