Pense em riscos de segurança
Use a tríade CIA para priorizar riscos e diferencie os rótulos de hackers dos papéis das equipes de segurança.
- Classificar um dano como perda de confidencialidade, integridade ou disponibilidade
- Descrever como uma ameaça explora uma vulnerabilidade para afetar um ativo
- Pontuar e priorizar riscos, e avaliar se um controle vale o seu custo
- Diferenciar black, white e gray hats dos papéis das equipes red, blue e purple
Quem trabalha com segurança começa com uma pergunta: o que pode dar errado, e quão grave seria? Todo o resto - firewalls, senhas, criptografia - é uma resposta a essa pergunta.
A maioria dos danos se encaixa numa de três propriedades, a tríade CIA:
- Confidencialidade (Confidentiality) - só as pessoas certas podem ler a informação (uma lista de clientes vazada quebra isso).
- Integridade (Integrity) - as informações e os sistemas estão corretos e só são alterados pelas pessoas certas (uma transferência bancária adulterada quebra isso).
- Disponibilidade (Availability) - os sistemas funcionam quando necessário (um site derrubado, ou arquivos criptografados por ransomware, quebram isso).
Foto: PiDatacenters, CC BY-SA 4.0, adaptada
Experimente
Até 15 XPQue propriedade foi quebrada?
Classifique cada incidente pela propriedade que ele mais prejudica. Alguns incidentes afetam mais de uma - escolha a principal.
“Um bucket de armazenamento mal configurado deixa qualquer pessoa baixar prontuários de pacientes”
“Um atacante muda o número da conta bancária nas faturas de um fornecedor”
“Uma enxurrada de tráfego derruba a loja online no dia de maior movimento”
“Um aluno edita a própria nota no banco de dados da escola”
“Um ransomware criptografa todos os arquivos do servidor de arquivos do escritório”
“Um funcionário encaminha a planilha de salários para o e-mail pessoal”
Ativos, ameaças, vulnerabilidades, risco
- Um ativo é algo valioso: registros de clientes, um serviço de pagamentos, a sua reputação.
- Uma ameaça é algo que pode causar dano: uma quadrilha, um funcionário descuidado, uma enchente.
- Uma vulnerabilidade é uma fraqueza que uma ameaça pode usar: um servidor sem patch, uma senha reutilizada, a falta de backups.
- O risco combina a probabilidade de um dano com o impacto que ele teria.
Um controle reduz a probabilidade (patches, MFA), o impacto (backups, criptografia) ou os dois. Como não dá para resolver tudo de uma vez, você pontua os riscos e trabalha de cima para baixo. Frameworks como o NIST Cybersecurity Framework 2.0 organizam esse trabalho em seis funções: Govern, Identify, Protect, Detect, Respond, Recover (governar, identificar, proteger, detectar, responder, recuperar).
Equifax: uma falha conhecida, uma invasão gigantesca
Segundo a FTC, os atacantes usaram uma vulnerabilidade sem patch do Apache Struts no portal público de contestações da Equifax. A invasão afetou cerca de 147 milhões de pessoas.
- 01Um alerta de março pedia o patch do Struts em até 48 horas.
- 02O portal vulnerável ficou sem patch; uma varredura mal configurada não o detectou.
- 03Os atacantes entraram no portal e chegaram a dados sensíveis em outros lugares.
- 04As informações pessoais de cerca de 147 milhões de pessoas foram expostas.
Quem encontra ou explora a fraqueza?
Hacker descreve uma pessoa que usa habilidades técnicas; o termo, sozinho, não diz se ela tem permissão. As cores dos “chapéus” (hats) são uma abreviação informal de conduta, não certificações nem cargos:
| Rótulo | Conduta típica |
|---|---|
| White hat / hacker ético | Testa com a permissão do dono, fica dentro de um escopo combinado e relata o que encontra para que seja corrigido. |
| Black hat | Invade sem permissão para roubar, extorquir, perturbar ou causar outros danos. |
| Gray hat | Pode ter a intenção de relatar uma falha, mas testa um sistema sem permissão ou vai além do escopo permitido. Boas intenções não dão acesso. |
Num teste autorizado, as regras de engajamento definem os alvos, os métodos permitidos, os horários, os contatos e as condições de parada antes de o teste começar. A discussão do NIST sobre white e black hats descreve a sobreposição de habilidades; é a permissão e a conduta que fazem a diferença na prática.
Experimente
Até 15 XPQue chapéu se encaixa na situação?
Classifique cada cenário pela conduta da pessoa. A mesma habilidade técnica pode ser usada de formas muito diferentes.
“Uma pesquisadora testa só os endpoints listados num contrato assinado e relata uma falha em particular”
“Alguém rouba registros de clientes de uma empresa e exige pagamento”
“Uma pessoa curiosa sonda o servidor de um desconhecido sem permissão, encontra uma falha e manda um e-mail ao dono”
“Um testador ignora uma exclusão combinada e faz uma varredura num sistema de terceiros para ajudar”
Red, blue e purple são papéis de equipe
A cor de uma equipe descreve um papel num exercício ou numa operação de segurança; não é mais um tipo de chapéu. Um profissional white hat pode trabalhar numa red team, e uma red team não é um grupo de criminosos de verdade.
| Equipe | O que faz | Exemplo |
|---|---|---|
| Red team | Com autorização, imita um adversário para testar as defesas e mostrar o impacto de um ataque bem-sucedido. | Tenta chegar a um arquivo sensível fictício durante um exercício combinado. |
| Blue team | Defende os sistemas: reforça, monitora alertas, investiga, contém e recupera. | Percebe logins suspeitos e bloqueia o caminho do teste. |
| Purple team | Junta red e blue para repetir uma técnica de ataque, comparar observações e melhorar a detecção e a prevenção. Pode ser uma colaboração, e não uma equipe permanente separada. | Repete o teste de login depois que a regra de alerta é melhorada. |
| White team | Em alguns exercícios, define e aplica as regras, observa o exercício e o mantém seguro e justo. É diferente de “white hat”. | Interrompe um teste que chega a um sistema excluído. |
O NIST define os papéis de red e blue team e o papel da white team num exercício. A MITRE descreve o purple teaming como uma forma de as equipes ofensivas e defensivas trabalharem juntas.
Experimente
Até 15 XPQuem faz o quê num exercício?
Associe cada ação ao papel da sua equipe. Todos os testes aqui são autorizados e seguem as regras do exercício.
“Simula um atacante tentando chegar a um banco de dados fictício de clientes”
“Investiga um alerta de login incomum e isola a máquina de teste afetada”
“Repete a mesma técnica junto com os defensores para verificar se uma nova detecção funciona”
“Define os limites do exercício e interrompe um teste que poderia afetar a produção”
Prática: gaste um orçamento de segurança
Experimente
Até 15 XPTire todos os riscos do vermelho
Você tem US$ 60 mil e não dá para comprar tudo. Cada controle move os riscos na matriz, em que probabilidade × impacto de 15 ou mais é alto. Alguns parecem impressionantes, mas não vão levar você até lá.
- Phishing: 5 × 4 = 20 Alto
- Ransomware: 3 × 5 = 15 Alto
- Roubo de notebook: 3 × 3 = 9 Médio
- Enchente: 1 × 5 = 5 Baixo
Prática: o controle vale a pena?
Experimente
Até 15 XPPonha um número num risco
O SLE é quanto custa um incidente (valor do ativo × parcela perdida). O ALE é quanto custa por ano (SLE × incidentes por ano). Um controle vale a pena se economiza mais do que custa.
Principais conclusões
Confidencialidade, integridade e disponibilidade descrevem que tipo de dano você está evitando.
Uma ameaça explora uma vulnerabilidade para prejudicar um ativo; o risco pesa probabilidade e impacto.
Pontue os riscos para priorizar, e revise-os conforme os sistemas e as ameaças mudam.
Os chapéus descrevem conduta; as equipes red, blue, purple e white descrevem papéis num exercício de segurança.
Quiz da aula
10 perguntas · aprovação com 7 acertos · até 50 XP
Ao passar, você conclui a aula e mantém sua sequência. As perguntas erradas voltarão em sessões de revisão.
Dúvidas sobre esta lição
Travou em algum ponto? Pergunte. Descobriu algo? Compartilhe. Explicar também é uma ótima forma de aprender.
Carregando publicações…