OpenCyber AcademyMapa da aula
Aula 19 publicada. Mapa, exemplo, EX055.
flowchart TD
N0["19.1 Linhas de base"]
N1["19.2 Lendo os alertas"]
N2["19.3 Triagem com a operação"]
N3["19.4 Ajuste"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX055"]
Desenho lógico
flowchart LR
N0["19.1 Linhas de base"]
N1["19.2 Lendo os alertas"]
N2["19.3 Triagem com a operação"]
N3["19.4 Ajuste"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX055"]
[19.1 Linhas de base]
|
v
[19.2 Lendo os alertas]
|
v
[19.3 Triagem com a operação]
|
v
[19.4 Ajuste]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX055]
Objetivos de aprendizagem
Você vai (1) construir uma linha de base da comunicação normal; (2) detectar hosts novos em relação a essa linha de base; (3) fazer a triagem de alertas com a operação; e (4) ajustar o monitoramento para evitar a fadiga de alertas.
19.1 Linhas de base
As redes de TO são repetitivas: os mesmos dispositivos falam com os mesmos parceiros, no mesmo horário. Isso faz de uma linha de base — o conjunto de hosts e fluxos vistos ao longo de um período representativo — um detector poderoso. Qualquer coisa nova merece um olhar. O NIST SP 800-82r3 recomenda um monitoramento ajustado ao tráfego previsível da TO.
"""Lab 19: flag hosts not present in a 7-day baseline of synthetic flow records."""
baseline_days = {"HMI-C", "PLC-R1", "PLC-R2", "HIST", "GW-LOG"}
today = ["HMI-C", "PLC-R1", "HIST", "LAPTOP-V3", "GW-LOG", "LAPTOP-V3", "PLC-R2", "UNKNOWN-10.4.2.77"]
new = []
for h in today:
if h not in baseline_days and h not in new: new.append(h)
print("new talkers:", new)
print("events:", len(today), "unique hosts:", len(set(today)), "new:", len(new))
Execute com python3 lab_talkers.py. Saída verificada:
new talkers: ['LAPTOP-V3', 'UNKNOWN-10.4.2.77']
events: 8 unique hosts: 7 new: 2
A captura de Priya no SW-C forneceu a linha de base usada no laboratório: cinco hosts, HMI-C, PLC-R1, PLC-R2, HIST e GW-LOG, vistos ao longo de sete dias. Qualquer coisa fora desse conjunto gera um alerta de novo interlocutor, e é por isso que o laptop da empresa contratada e a impressora da doca aparecem ambos na saída do laboratório.
19.2 Lendo os alertas
O LAPTOP-V3 apareceu duas vezes; o UNKNOWN-10.4.2.77, uma. O laptop provavelmente é da empresa contratada (confira o registro de visitas). O endereço desconhecido não está em nenhuma sub-rede da NCS — isso é mais urgente, porque sugere um dispositivo mal configurado ou um caminho que a arquitetura não inclui. Os dois foram resolvidos em uma hora. O registro de visitas mostrou a empresa contratada no local com o laptop V3 das 09:00 às 11:30, coincidindo com os horários dos alertas, então aquele alerta foi fechado com a referência da visita. O endereço 10.4.2.77 se revelou uma impressora da doca com um endereço do plano de outro local.
19.3 Triagem com a operação
O analista liga para o gerente de instalações antes de agir: há um prestador no local? Alguém acrescentou equipamento? O contexto da operação resolve a maioria dos alertas em minutos. Só os alertas sem explicação são escalados. Na NCS, os dois novos interlocutores do laboratório foram explicados assim. O registro de visitas do gerente de instalações mostrou a empresa contratada no local com o laptop V3 das 09:00 às 11:30, então aquele alerta foi fechado com a referência da visita. O 10.4.2.77 desconhecido exigiu uma caminhada até a doca, onde se encontrou uma impressora da logística numa porta da zona de câmeras. Nenhum dos dois exigiu tocar na rede de controle. Se o registro de visitas não mostrasse nenhum prestador naquela manhã, o LAPTOP-V3 teria sido escalado na hora.
19.4 Ajuste
Mudanças esperadas — visitas agendadas de prestadores, um registrador novo — devem ser acrescentadas à linha de base por um chamado de mudança, e não silenciadas por uma regra genérica. Revise as contagens de alertas mensalmente; se a maioria dos alertas for de eventos de rotina explicados, melhore a ligação com os chamados de mudança em vez de subir os limiares. Na NCS, as visitas de prestadores vêm com um chamado, então a ligação com o registro de visitas do pacote da empresa contratada do Capítulo 25 permite que a aparição do LAPTOP-V3 seja associada automaticamente a um chamado aberto. Um alerta sem chamado correspondente vai então para o líder de segurança, em vez de ser fechado pelo operador.
Exemplo resolvido (NCS sintética)
O registro de visitas mostra a empresa contratada no local com o laptop V3 das 09:00 às 11:30, coincidindo com os horários dos alertas. Priya fecha aquele alerta com a referência da visita. O endereço 10.4.2.77 pertence a uma impressora da doca instalada pela equipe de logística com um endereço estático do plano de outro local; ela estava ligada numa porta da zona de câmeras. Ela é movida, reendereçada e acrescentada ao inventário.
Caso sintético — Northgate Cold Storage. Os hosts e a história da impressora são inventados.
Erros e limites
Uma linha de base capturada durante um comprometimento trata o atacante como normal. Sete dias podem deixar escapar atividades mensais.
Exercícios
- EX055 — Estendendo a linha de base. Se o LAPTOP-V3 for acrescentado a
baseline_days, o que o laboratório imprime como novos interlocutores?Mostrar critérios de avaliação
Rubrica: 3 = ['UNKNOWN-10.4.2.77'] e new: 1; 2 = só a lista; 1 = sem mudança; 0 = nada. - EX056 — Por que o endereço desconhecido é urgente. Explique em duas frases.
Mostrar critérios de avaliação
Rubrica: 3 = fora de qualquer sub-rede da NCS, indica caminho não planejado ou erro de configuração; 2 = parcial; 1 = vago; 0 = nada. - EX057 — Ajustar sem cegar. Proponha como as visitas agendadas de prestadores devem deixar de gerar alertas sem explicação.
Mostrar critérios de avaliação
Rubrica: 3 = o chamado da visita acrescenta o laptop a uma lista de permissões/anotação limitada no tempo; 2 = parcial; 1 = ignorar laptops; 0 = nada.
Síntese
As linhas de base transformam a regularidade da TO em detecção; a triagem com a operação e o ajuste ligado às mudanças mantêm os alertas significativos.