Auditar parâmetros e caminhos de proteção

Completar o significado do controlo

Um catálogo pode deixar à organização a escolha de população, intervalo, evento inicial ou ação. Antes de testar, transforma esses campos numa frase verificável: «As sessões interativas de operadores bloqueiam após 12 minutos sem uma ação humana autenticada». «Timeout de 12 minutos» é insuficiente: pode significar ausência de tráfego, idade absoluta da sessão ou inatividade humana. Regista a versão aprovada, quem define o parâmetro e quais componentes o aplicam. A orientação NIST sobre parâmetros não fixa estes 12 minutos para um banco; o valor é uma política fictícia do exemplo.

Num portal de operações, a última ação humana ocorre às 09:00. Um pedido de atualização automática sai às 09:05 e às 09:10. O temporizador do produto reinicia com qualquer pedido. Às 09:12, a sessão continua aberta. O valor configurado coincide com o catálogo, mas o evento que mede o intervalo não coincide com o requisito. Recolhe o significado do temporizador e uma sequência de eventos; uma captura do número 12 não resolve essa diferença. Se a política também definir uma idade absoluta de oito horas, mantém as duas condições separadas.

Retenção, recuperação e população

A mesma identificação de controlo pode esconder parâmetros diferentes. No serviço fictício de reconciliação, o contrato aprovado exige conservar todos os registos de alteração privilegiada durante 90 dias e entregar qualquer registo pedido em até duas horas. A solução A conserva 120 dias, mas a recuperação do arquivo demora oito horas. A solução B entrega em 20 minutos, mas elimina o conteúdo ao fim de 30 dias. Nenhuma satisfaz a conjunção. Um índice com nomes de ficheiro não equivale à disponibilidade do conteúdo pedido.

Constrói uma matriz com população, período conservado, conteúdo recuperável e demora máxima. Inclui registos antigos que já saíram do armazenamento rápido. Para uma alternativa compensatória, explicita a propriedade mantida e a evidência: por exemplo, uma cópia controlada de 90 dias com recuperação de uma hora. Depois avalia se a cópia cobre também alterações urgentes feitas fora do fluxo normal. Não transformes a escolha técnica mais barata numa alteração tácita da política. A aceitação formal de outro requisito é uma decisão diferente de provar cumprimento do requisito atual.

Exercício: preparar um teste que discrimine

Prepara duas fichas de ensaio, sem alterar um sistema real. Na primeira, usa o requisito de inatividade de 12 minutos. Mantém atualizações automáticas de cinco em cinco minutos e observa a decisão aos 12 minutos. Numa execução de referência, acrescenta uma ação humana autorizada ao minuto 9 e observa novamente ao minuto 12. O primeiro caso deve bloquear; o segundo ainda não atingiu 12 minutos de inatividade. Um bloqueio nas duas execuções não demonstra que o temporizador distingue os eventos pretendidos.

Na segunda ficha, pede o conteúdo de uma alteração urgente com 80 dias. Anota o prazo de duas horas, a localização real e a população coberta. Um pedido de ontem ou apenas uma pesquisa no índice não exerce a fronteira difícil. No relatório, separa requisito aprovado, interpretação do produto, observações e limitação da amostra. Armadilhas: comparar apenas o número configurado; trocar duração de conservação por demora de recuperação; esquecer operações urgentes. Resumo: um parâmetro só é testável quando evento, objeto e ação estão definidos. Relaciona este trabalho com desenho de controlos, gestão de configuração e avaliação de serviços partilhados.

Qual lado exige a assinatura?

Desenha a ligação antes de interpretar uma opção de configuração. O cliente inicia a sessão SMB; o servidor recebe-a. Um requisito de assinatura na saída de um servidor aplica-se quando esse computador atua como cliente de outro serviço. Não prova o requisito de assinatura das sessões que chegam às suas partilhas. «Suporta assinatura», «negoceia assinatura nesta ligação» e «recusa ligações sem assinatura» também são afirmações diferentes.

Na partilha fictícia FIN-SHARE, o computador exige assinatura para as suas ligações de saída, mas aceita clientes de entrada sem assinatura. Um ensaio autorizado com um cliente de teste confirma uma sessão não assinada. A auditoria deve relacionar esse resultado com a definição de entrada do serviço, sem presumir que a versão do Windows impõe sempre o mesmo valor. Regista papéis, definições efetivas e resultado da negociação. Não confundas integridade da mensagem com confidencialidade: exigir assinatura não é, por si, exigir que o conteúdo SMB seja cifrado. A compatibilidade de um equipamento terceiro deve ser avaliada dentro do requisito aprovado.

Interceção e aceitação são etapas diferentes

Num cenário defensivo de relay, a obtenção de uma resposta de autenticação e a aceitação dessa resposta por outro serviço são etapas diferentes. Desativar um mecanismo de resolução de nomes pode retirar uma forma de encaminhar tráfego para um intermediário. Não demonstra que o serviço de destino deixou de aceitar a via de autenticação observada quando o intermediário já está no caminho. Evita a conclusão inversa: um teste de relay recusado também não prova que já não se expõem respostas de autenticação por resolução indevida.

O modelo da aula tem duas observações sintéticas: uma resposta de resolução local encaminha a ligação para um intermediário; noutro ensaio independente, a origem já conhece o endereço desse intermediário. O primeiro deixa de ocorrer após a correção da resolução, mas o segundo ainda chega a um destino que aceita a sessão indevida. O plano de validação deve conservar estas duas condições distintas e a operação legítima assinada. Não precisas de executar ferramentas de interceção para analisar este quadro. Ele não mede a eficácia de um produto real nem afirma que a assinatura SMB resolve protocolos diferentes, como LDAP ou HTTP.

Exercício: uma matriz por direção e condição

Preenche quatro linhas para a partilha do exemplo: cliente assinado legítimo; cliente sem assinatura; ligação de saída do próprio servidor; caminho de relay sintético já colocado no percurso. Para cada linha, escreve qual requisito está a ser avaliado e que observação permitiria decidir. A ligação de saída bem-sucedida não substitui a recusa da entrada sem assinatura. A recusa de um cliente mal configurado também não prova que o cliente legítimo continua a trabalhar.

Num comité técnico, apresenta a falha concreta e o âmbito da proposta: exigir a proteção na direção em falta, ensaiar clientes necessários e resolver a incompatibilidade de forma autorizada. Se um NAS antigo não suporta o requisito, regista a decisão pendente; não deduzas uma exceção só porque antes funcionava. Armadilhas: usar o nome do computador como se fixasse o seu papel; chamar cifragem à assinatura; avaliar apenas a forma inicial de interceção. Resumo: segue a ligação, distingue as etapas e conserva um teste legítimo. Tópicos relacionados: autenticação, proteção de protocolos, dependências legadas e gestão de exceções.

Endereço atribuído e router escolhido

Em IPv6, obter um endereço por DHCPv6 não torna esse servidor a fonte de todas as decisões de encaminhamento. Router Advertisements participam na descoberta de routers e de prefixos. Um equipamento não autorizado na mesma ligação pode anunciar informação que altera o encaminhamento dos hosts. Por isso, confirmar que o DHCPv6 autorizado continua a atribuir endereços não basta para explicar um gateway indevido.

Num segmento fictício, as portas 1 e 2 ligam routers aprovados e as portas 10 a 30 ligam postos. Um posto de teste na porta 18 anuncia um router. Os hosts mantêm os seus endereços atribuídos, mas passam a escolher o anunciante como gateway. O inventário do DHCP pode continuar normal. Representa separadamente atribuição de endereço, receção do anúncio e seleção de rota. A hipótese de router indevido está apoiada pelo anúncio observado; a intenção maliciosa de uma pessoa não resulta automaticamente dessa observação. Este exemplo é uma análise de topologia, não um teste numa rede real.

Colocar o controlo na fronteira certa

Uma regra deve distinguir os pontos de origem admitidos. No segmento do exemplo, bloquear anúncios nas portas de utilizador e permitir os dois uplinks aprovados responde ao caminho observado e conserva a redundância. Bloquear todos os anúncios também remove informação legítima de encaminhamento; confiar em todas as portas da VLAN mantém a origem indevida dentro da zona permitida. Uma configuração que só permite o router principal pode parecer correta enquanto esse router funciona e falhar na troca para o secundário.

O rótulo RA Guard não prova cobertura universal. Confirma a topologia real, a versão e as classes de mensagens que a implementação consegue tratar; existem limites de análise de cabeçalhos e fragmentação que exigem ensaios próprios. Nesta aula, assume explicitamente que os anúncios sintéticos são simples, sem fragmentação, e reconhecidos pelo controlo. Assim, a decisão compara colocação e autoridade, sem fingir validar o analisador de pacotes. Mantém também a distinção entre bloquear um anúncio e impedir todas as outras formas de ataque na rede.

Exercício: observar os dois routers e uma origem recusada

Desenha três ensaios em papel: anúncio da porta 18, anúncio do router principal na porta 1 e anúncio do secundário na porta 2 após retirar o principal do modelo. Compara quatro políticas: permitir todas as portas; permitir apenas a 1; recusar todas; permitir 1 e 2. Sob as premissas anteriores, apenas a última recusa a origem de utilizador e conserva ambos os percursos necessários. Acrescentar uma captura do endereço DHCP não altera esta conclusão, porque responde a outra pergunta.

Na atividade profissional, pede a ligação entre configuração do switch, inventário de portas e mudança observada no host. Guarda a fronteira do ensaio: um segmento, anúncios simples e routers especificados. Não extrapoles para outra VLAN ou para mensagens que não foram exercitadas. Armadilhas: confiar no protocolo que atribui o endereço para validar o gateway; testar só com o router principal; resolver um risco quebrando descoberta legítima. Resumo: o controlo deve reconhecer a origem autorizada no ponto onde o anúncio entra. Relaciona com desenho de rede, disponibilidade e testes de configuração.

Comparar proteção por evento e período

Um controlo compensatório deve ser comparado com o objetivo completo: população, prazo, períodos e condições de funcionamento. Dois mecanismos podem cobrir categorias diferentes e ainda partilhar uma lacuna. Por exemplo, observação de operações normais e revisão de emergências não cobrem manutenção se ambas estiverem suspensas nesse período.

Representa uma matriz de categoria por período e regista a evidência de cada célula. A aprovação da alternativa deve explicitar o risco que permanece; não transforma ausência de observação em cumprimento demonstrado. Exercício: acrescenta à matriz uma operação de emergência durante manutenção e identifica quem a observa e quando.

Resumo: compara resultados e limites conjuntos, além dos nomes dos controlos. Relaciona com definição de parâmetros, manutenção e planeamento da avaliação.

Contagens físicas, identidade e duração

Distingue a passagem de uma pessoa, a leitura de um cartão e a autorização. Com sala inicialmente vazia, cinco entradas e duas saídas observadas dão ocupação líquida de três; não identificam automaticamente essas pessoas. Se existem só quatro autorizações individuais para cinco entradas, investiga a diferença sem atribuir uma passagem a alguém apenas pela ordem dos nomes.

Em controlos ambientais, uma amostra acima do limite não demonstra uma condição persistente durante vários minutos. Dados espaçados podem ser compatíveis com trajetórias que exigiam alarme e outras que não o exigiam. Define duração, resolução temporal e condições de notificação antes de avaliar o resultado.

Exercício: desenha duas curvas compatíveis com as mesmas três amostras e compara a duração acima do limiar. Resumo: preserva as inferências sustentadas por cada sensor e as limitações de identidade e tempo. Relaciona com logs e ensaios de alarmes.

Fechar caminhos e conservar serviços autorizados

Avalia a alcançabilidade ao longo de todos os caminhos relevantes. Bloquear uma ligação não resolve um requisito se outra rota continua a chegar ao destino proibido. Um corte demasiado amplo pode eliminar tráfego interno necessário.

Desenha o grafo, assinala origens e destinos autorizados e propõe uma alteração com verificações negativas e positivas. Considera também a semântica explícita do motor de regras. Num modelo de primeira correspondência, uma permissão geral pode tornar inoperante uma negação posterior; repetir essa negação no fim não altera a decisão.

Outros produtos podem combinar regras de forma diferente, pelo que a ordem do exemplo não deve ser generalizada. Exercício: percorre cada ligação permitida antes e depois da alteração e simula a primeira regra que decide cada fluxo. Resumo: demonstra o bloqueio pretendido e a continuidade autorizada no mesmo estado de configuração. Relaciona com diagramas de arquitetura e testes de regressão.

Ordenar recuperação e recusa de versões antigas

Uma transição pode ter de conservar um caminho de arranque e impedir regressão para uma versão antiga. Num modelo com dois slots e contador protegido irreversível, aumentar o contador antes de preparar uma imagem aceite pode deixar ambos os caminhos inutilizáveis após perda de energia.

Prepara e valida a imagem nova, demonstra o seu arranque e só depois aplica a nova versão mínima. Avalia cada fronteira entre passos, além do estado final. Manter permanentemente o contador antigo preserva opções, mas não satisfaz uma exigência de recusar a versão anterior.

Estes são contratos explícitos do modelo; a implementação concreta requer evidência sobre escrita, seleção do slot e atualização do contador. Exercício: interrompe no papel a sequência após cada passo e identifica uma imagem que o estado restante aceita.

Resumo: a ordem tem de preservar disponibilidade e produzir a proteção final exigida. Relaciona com atualização autenticada, recuperação e critérios de aceitação.

Armadilhas comuns

Comparar só números; confundir os papéis de cliente e servidor; usar DHCP como prova do router; impedir o fluxo legítimo ao fechar o indevido.