Segurança Cibernética do AP

Objetivo de Aprendizagem 1.1.A: Identificar indicadores comuns de táticas de engenharia social.

• 1.1.A.1 Ataques de engenharia social usam táticas psicológicas para manipular usuários a revelar informações sensíveis (coleta ativa), baixar um arquivo malicioso ou clicar em um link malicioso. A engenharia social pode ser realizada pessoalmente, mas é frequentemente feita por e-mail, mensagem de texto ou mensagens de mídias sociais.
• 1.1.A.2 Adversários frequentemente usam táticas psicológicas como intimidação e urgência para alcançar seus objetivos. Intimidação ocorre quando um adversário ameaça um alvo com consequências negativas se ele não ceder. Urgência ocorre quando um adversário cria razões pelas quais um alvo deveria agir rapidamente.

Objetivo de Aprendizagem 1.1.B: Explicar como táticas de engenharia social influenciam vítimas a realizar uma ação desejada.

• 1.1.B.1 Táticas de engenharia social dependem de princípios psicológicos comuns que influenciam o comportamento humano.
• 1.1.B.2 A intimidação aproveita a aversão natural humana a consequências negativas. Ao chamar a atenção para possíveis consequências negativas, adversários usam o medo para incitar alvos a agirem.
• 1.1.B.3 A urgência aproveita a resposta natural humana a reagir rapidamente a necessidades urgentes. Quando alvos detectam um senso de urgência em uma mensagem, eles sentem pressão para responder ou agir rapidamente, o que pode impedir que levem o tempo necessário para considerar se uma ação é razoável ou segura.

Objetivo de Aprendizagem 1.1.C: Descrever possíveis impactos para vítimas de ataques de engenharia social.

• 1.1.C.1 Vítimas podem dar a um adversário informações pessoais que poderiam levar à suplantação de identidade, como nome, número de telefone, endereço, local de trabalho, nomes de animais de estimação ou data de nascimento. Esse tipo de informação, e informações semelhantes, são frequentemente usados em sites como perguntas de desafio para verificar a identidade de um usuário.
• 1.1.C.2 Vítimas podem dar a um adversário informações seguras como uma senha de uso único (OTP) ou código de login de autenticação, o que poderia permitir que um adversário fizesse login em um serviço como a vítima.
• 1.1.C.3 Vítimas podem baixar malware ou clicar em um link que instala malware em seu dispositivo, rouba informações de seu navegador da web ou as redireciona para um site onde suas credenciais de login podem ser capturadas por um adversário.

Objetivo de Aprendizagem 1.2.A: Identificar sinais comuns de um ataque de senha.

• 1.2.A.1 Em um ataque de senha online, adversários tentam fazer login em um dispositivo ou serviço usando senhas comuns, padrões de senha comuns ou senhas roubadas.
• 1.2.A.2 Sinais de um ataque de senha online incluem:
  • Muitas tentativas falhadas de login em curto período
  • Tentativas de login em horários incomuns
  • Tentativas de login a partir de dispositivos desconhecidos

Objetivo de Aprendizagem 1.2.B: Explicar como os adversários exploram autenticações fracas.

• 1.2.B.1 Muitas pessoas usam padrões comuns ao criar senhas, como:
  • Iniciar uma senha com uma ou duas palavras, adicionar um número de dois dígitos (geralmente significando um ano) e colocar um caractere especial no final
  • Incluir nomes de familiares ou animais de estimação nas senhas
  • Incluir datas de significado pessoal nas senhas
• 1.2.B.2 Adversários frequentemente constroem um dicionário de senhas possíveis com base em informações pessoais coletadas sobre um alvo (ex.: aniversário, aniversário, nomes de animais de estimação e familiares) e usam uma ferramenta automatizada para enviar senhas potenciais.

Objetivo de Aprendizagem 1.2.C: Explicar como tornar a autenticação mais forte.

• 1.2.C.1 Os usuários devem criar senhas longas, aleatórias e únicas. Um gerenciador de senhas pode ser usado para gerar e armazenar senhas fortes, ou o usuário pode criar frases-passe longas e únicas para suas contas.
• 1.2.C.2 Ao criar senhas, os usuários devem evitar nomes, datas ou outras palavras ou números de significado pessoal.
• 1.2.C.3 Quando disponível, os usuários devem habilitar a autenticação multifator (MFA), que exigirá que o usuário forneça prova extra de identidade — como um código de uso único — além da senha como camada extra de segurança.

Objetivo de Aprendizagem 1.3.A: Identificar o tipo de adversário que realiza um ciberataque.

• 1.3.A.1 Os adversários podem ser classificados por seus níveis de habilidade.
  • Adversários de baixa habilidade dependem de ferramentas cibernéticas maliciosas criadas por outros que podem ser compradas online. As ferramentas que eles usam exploram vulnerabilidades conhecidas.
  • Adversários de alta habilidade têm capacidade para criar novas ferramentas cibernéticas maliciosas ou modificar as existentes para se adaptar a novas técnicas e ferramentas de defesa. Eles também têm capacidade para descobrir vulnerabilidades não documentadas, conhecidas como zero days.
• 1.3.A.2 Os adversários têm uma variedade de motivações, incluindo ganância, desejo por reconhecimento, dedicação a uma causa, vingança, política ou crenças.

Objetivo de Aprendizagem 1.3.B: Identificar tipos de ataques cibernéticos sem fio.

• 1.3.B.1 Em um ataque evil twin, um adversário configura seu próprio ponto de acesso sem fio (WAP) com um service set identifier (SSID) semelhante ou idêntico à rede-alvo; a rede do adversário é chamada de evil twin. Vítimas deste ataque podem selecionar, sem saber, conectar-se ao evil twin, permitindo que o adversário capture seu tráfego de rede. O adversário não pode ler o tráfego que usa um protocolo criptografado como HTTPS.
• 1.3.B.2 Em um ataque de interferência (jamming), um adversário inunda uma área com um sinal eletromagnético (EM) forte na mesma faixa de frequência da rede sem fio, o que impede o tráfego legítimo entre o ponto de acesso (AP) e os usuários. Esse tipo de ataque que impede que os usuários acessem recursos é chamado de ataque de negação de serviço (DoS).
• 1.3.B.3 Em um ataque war driving, adversários tentam detectar beacons de redes sem fio enquanto dirigem ou caminham ao redor de um alvo. Se um sinal sem fio for detectado, o adversário pode obter informações sobre o tipo de rede sem fio usada e encontrar áreas onde o sinal sem fio se estende fora do prédio físico.

Objetivo de Aprendizagem 1.3.C: Descrever ações que indivíduos podem tomar para aumentar a proteção de dados sensíveis ao usar a internet e Wi-Fi.

• 1.3.C.1 Indivíduos devem verificar se o nome de qualquer rede sem fio que join exatamente corresponde ao nome da rede que pretendem join.
• 1.3.C.2 A maioria dos protocolos de internet são criptografados para proteger o tráfego de rede. No entanto, os indivíduos podem considerar a sensibilidade de seus dados ao escolher se join redes Wi-Fi não criptografadas para proteger dados vulneráveis, como consultas DNS.
• 1.3.C.3 Indivíduos podem considerar o uso de uma rede privada virtual (VPN), que criptografa todo o seu tráfego para o sistema do operador VPN. Embora essa ação impeça que um provedor de serviços visualize o tráfego, o provedor VPN pode visualizar o tráfego.

Objetivo de Aprendizagem 1.4.A: Explicar como adversários usam ferramentas impulsionadas por IA para aumentar ciberataques.

• 1.4.A.1 Adversários podem usar ferramentas impulsionadas por IA que aproveitam amostras de voz e imagem existentes de uma pessoa para criar um avatar digital dessa pessoa. O uso dessas tecnologias permite que adversários se passem por alguém pelo telefone ou mesmo em uma videochamada, o que pode levar a perdas financeiras ou compartilhamento de informações sensíveis ou privadas. À medida que mais organizações adotam autenticação baseada em voz, o impacto da impersonificação de voz tem um potencial maior de impacto.
• 1.4.A.2 Adversários podem usar ferramentas de IA generativa, como modelos de linguagem grandes (LLMs), para criar mensagens de phishing convincentes em qualquer idioma-alvo. Como mensagens de phishing tradicionais às vezes são escritas por não nativos do idioma-alvo, linguagem antinatural é um recurso que tem sido usado para distinguir mensagens de phishing de mensagens legítimas. No entanto, com ferramentas de IA, adversários agora podem redigir mensagens de phishing em qualquer idioma que soem como se tivessem sido escritas por um falante nativo.
• 1.4.A.3 Adversários podem criar prompts que extraem informações seguras ou sensíveis de LLMs. Informações seguras ou sensíveis em LLMs podem vir de entrada de usuário e dos grandes conjuntos de dados usados para treinar LLMs.
• 1.4.A.4 Adversários podem publicar sites ou modificar sites existentes para conter informações falsas para que as informações falsas sejam incluídas nos conjuntos de treinamento para LLMs, fazendo com que os LLMs repitam as informações falsas.
• 1.4.A.5 Adversários podem realizar reconhecimento de um alvo usando ferramentas impulsionadas por IA que escaneiam a internet para coletar informações postadas em mídias sociais e sites públicos.
• 1.4.A.6 Adversários podem usar ferramentas de codificação aprimoradas por IA para ajudar a escrever novo malware, modificar código de aplicativo existente para realizar atividades maliciosas ou para encontrar vulnerabilidades em grandes bases de código.

Objetivo de Aprendizagem 1.4.B: Explicar como se proteger contra alguns ciberataques aumentados por IA.

• 1.4.B.1 Segredos compartilhados com amigos próximos e familiares que podem ser usados para verificar as identidades uns dos outros devem ser estabelecidos. Uma palavra ou frase secreta conhecida apenas por duas partes pode ser usada para autenticar identidades em situações de alto risco.
• 1.4.B.2 A autenticação multifator (MFA) deve ser habilitada. Se um adversário clona a voz de um alvo para acessar um sistema com autenticação por voz, exigir um segundo fator de autenticação poderia impedir que um adversário ganhe acesso a contas.
• 1.4.B.3 Dados pessoais ou sensíveis não devem ser inseridos em nenhuma ferramenta impulsionada por IA, como chatbots ou assistentes virtuais. Algumas ferramentas impulsionadas por IA alimentam a entrada do usuário de volta no modelo para fornecer treinamento contínuo. Adversários poderiam extrair dados que usuários incluíram em prompts.
• 1.4.B.4 A saída de ferramentas impulsionadas por IA deve ser cuidadosamente avaliada. Verifique informações de ferramentas impulsionadas por IA usando fontes confiáveis, estáveis e não baseadas em IA.

Objetivo de Aprendizagem 1.5.A: Explicar como defensores cibernéticos podem aproveitar ferramentas impulsionadas por IA para proteger redes, aplicativos e dados.

• 1.5.A.1 Ferramentas de IA podem revisar configurações de segurança atuais, como regras de firewall e controles de acesso, e recomendar opções mais seguras. Recomendações devem sempre ser verificadas por um técnico de segurança qualificado antes de serem implementadas.
• 1.5.A.2 Ferramentas impulsionadas por IA podem analisar código de aplicativo para identificar vulnerabilidades e recomendar mitigações. Recomendações devem sempre ser revisadas por um programador qualificado antes de serem implementadas.
• 1.5.A.3 Ferramentas impulsionadas por IA podem sugerir regras para sistemas de detecção automática. Regras de detecção devem sempre ser revisadas por um engenheiro de detecção qualificado antes de serem adicionadas a um sistema.

Objetivo de Aprendizagem 1.5.B: Explicar como ferramentas impulsionadas por IA estão permitindo detecção e resposta a ameaças mais rápidas e precisas.

• 1.5.B.1 Dos milhões de eventos digitais que ocorrem em redes diariamente, alguns provavelmente representam um adversário realizando atividade maliciosa. Humanos não podem examinar cuidadosamente todos esses eventos para identificar a atividade maliciosa.
• 1.5.B.2 Ferramentas impulsionadas por IA podem ser treinadas para analisar rapidamente eventos digitais e classificar os eventos que são provavelmente atividade maliciosa daqueles que são inofensivos.
• 1.5.B.3 Ferramentas impulsionadas por IA podem ser programadas para alertar pessoal de cibersegurança humano quando atividade provavelmente maliciosa é detectada ou para tomar ações corretivas específicas com base no tipo de atividade maliciosa detectada.
• 1.5.B.4 Ferramentas impulsionadas por IA permitem que equipes de detecção e resposta a ameaças捕捉 atividade maliciosa e intervenham rapidamente para prevenir perda, danos, destruição e dano à infraestrutura digital e dados.

Objetivo de Aprendizagem 2.1.A: Identificar ataques de engenharia social.

• 2.1.A.1 Engenheiros sociais usam táticas psicológicas para manipular alvos a tomar uma ação desejada.
• 2.1.A.2 Pretexting é quando adversários criam uma razão credível para entrar em contato com um alvo.
• 2.1.A.3 Autoridade é quando adversários se passam por alguém com poder sobre um alvo ou fingem transmitir instruções dessa pessoa.
• 2.1.A.4 Intimidação é quando adversários declaram consequências negativas se demandas não forem atendidas.
• 2.1.A.5 Consenso é quando adversários criam pressão social fazendo um alvo acreditar que todos os outros estão realizando uma ação desejada.
• 2.1.A.6 Escassez é quando adversários criam uma sensação de disponibilidade limitada.
• 2.1.A.7 Familiaridade é quando adversários fingem ser ou conhecer alguém próximo a um alvo para estabelecer confiança.
• 2.1.A.8 Urgência é quando adversários criam um prazo que requer ação rápida por parte de um alvo para evitar consequências negativas.

Objetivo de Aprendizagem 2.1.B: Identificar tipos de adversários.

• 2.1.B.1 Script kiddies são adversários de baixa habilidade que usam ferramentas desenvolvidas por outros sem entender como as ferramentas funcionam. Eles são frequentemente motivados pela ganância ou pelo desejo de reconhecimento.
• 2.1.B.2 Hacktivistas são motivados por causas sociais, políticas ou pessoais. Eles comprometem computadores e redes para apoiar sua causa ou impedir danos percebidos, acreditando que seus objetivos justificam métodos ilegais.
• 2.1.B.3 Adversários internos são ameaças únicas porque possuem credenciais legítimas e acesso a sistemas e dados. Eles podem ser recrutados por terceiros maliciosos e podem ser motivados pela ganância ou vingança.
• 2.1.B.4 Ciberterroristas são motivados por política ou crenças e buscam perturbar comunidades inteiras, regiões ou nações através de ataques cibernéticos (ex.: atacar uma rede elétrica, planta de tratamento de água ou outra infraestrutura civil). Eles podem atuar independentemente ou em nome de governos ou organizações criminosas.
• 2.1.B.5 Organizações criminosas transnacionais buscam lucro financeiro principalmente implantando ransomware e roubando propriedade intelectual corporativa (PI) para vender em mercados ilegais.

Objetivo de Aprendizagem 2.1.C: Descrever as fases de um ataque cibernético.

• 2.1.C.1 Ataques cibernéticos visam perturbar, prejudicar, roubar ou destruir dispositivos, redes ou dados. Os adversários atuam em fases, que nem sempre são usadas em cada ataque. As fases são:
  • i. Reconhecimento
  • ii. Acesso inicial
  • iii. Persistência
  • iv. Movimento lateral
  • v. Tomada de ação
  • vi. Evitação de detecção
• 2.1.C.2 Na fase de reconhecimento de um ataque, os adversários coletam o máximo de informações possível sobre seu alvo, muitas vezes usando inteligência de fontes abertas (OSINT), que é informação livremente disponível.
• 2.1.C.3 Na fase de acesso inicial de um ataque, os adversários estabelecem uma base no computador do alvo, geralmente através de engenharia social ou credenciais comprometidas ou fracas.
• 2.1.C.4 Após ganhar acesso durante um ataque, os adversários estabelecem persistência para manter o acesso sem precisar recuperá-lo. Eles podem usar um protocolo de comando e controle (C2) para enviar comandos ao dispositivo e receber saídas, frequentemente através de malware como um trojan de acesso remoto (RAT) ou rootkit.
• 2.1.C.5 Na fase de movimento lateral de um ataque, os adversários tentam escalar seus privilégios acessando computadores e contas de usuário com permissões elevadas para serviços e dados.
• 2.1.C.6 Na fase de tomada de ação de um ataque, os adversários agem conforme seus objetivos coletando dados direcionados, extraindo-os e perturbando serviços ou destruindo dados.
• 2.1.C.7 Na fase final de um ataque, muitos adversários tentam evitar a detecção removendo ou editando arquivos de log e apagando outros arquivos que possam ter plantado nos dispositivos (ex.: malware).

Objetivo de Aprendizagem 2.1.D: Descrever o processo de avaliação de riscos.

• 2.1.D.1 Risco ocorre quando uma ameaça pode explorar uma vulnerabilidade para comprometer um ativo.
• 2.1.D.2 Um ativo é qualquer coisa valiosa. Ativos incluem recursos financeiros, propriedade intelectual, dados, infraestrutura digital, bens físicos e reputação.
• 2.1.D.3 A avaliação de risco considera dois fatores:
  • A probabilidade de um ataque contra uma vulnerabilidade específica
  • A severidade dos danos projetados de um ataque contra uma vulnerabilidade específica
• 2.1.D.4 A probabilidade de uma vulnerabilidade ser explorada depende de muitos fatores, incluindo:
  • O valor do alvo: Os adversários são mais propensos a atacar alvos que consideram valiosos.
  • O nível de habilidade necessário para explorar a vulnerabilidade (ou seja, a dificuldade): Vulnerabilidades com exploits bem documentados geralmente exigem menos habilidade e podem ser executadas por mais adversários.
  • A motivação e as capacidades dos prováveis adversários: Adversários altamente motivados e habilidosos são mais propensos a serem capazes de realizar exploits mais complexos.
• 2.1.D.5 A severidade de um ataque é frequentemente medida pelo custo financeiro, que também pode incluir impactos reputacionais e operacionais.
  • Exemplos ilustrativos para 2.1.D.5:
    • Um hacktivista é apaixonado por práticas ilegais de pesca apoiadas por uma empresa local de produção de alimentos. A página principal dessa empresa de produção de alimentos seria um alvo de alto valor para esse hacktivista; desfigurar a página da web para expor o apoio da empresa à pesca ilegal não traria ganho financeiro ao adversário, mas permitiria que ele levantasse consciência sobre uma questão que o motiva.
• 2.1.D.6 O resultado de uma avaliação de risco pode ser quantitativo ou qualitativo.
  • A avaliação quantitativa de riscos atribui um valor numérico a uma vulnerabilidade com base em uma escala numérica (por exemplo, 1–10) ou impacto quantificável, que pode ser financeiro (por exemplo, um risco anual de $10,000).
  • Exemplos ilustrativos para 2.1.D.6:
    • Baixo, médio, alto, severo
    • Provável baixo impacto, improvável baixo impacto, improvável alto impacto, provável alto impacto
• 2.1.D.7 A documentação da avaliação de risco deve incluir:
  • Ativos vulneráveis e seu valor
  • Descrições das prováveis ameaças aos ativos
  • Detalhes de vulnerabilidades específicas para ativos específicos e como seriam exploradas
  • Uma explicação da severidade dos danos (financeiros, operacionais, reputacionais, etc.) se um ativo específico fosse comprometido, e a probabilidade desse comprometimento ocorrer
  • Uma classificação final, quantitativa ou qualitativa, para cada risco identificado
  • Exemplos ilustrativos para 2.1.D.7:
    • Pontuação escalonada (ex.: 1–10)
    • Valor monetário (por exemplo, um risco de $10,000 risk vs. a$100,000)

Objetivo de Aprendizagem 2.1.E: Identificar estratégias para gerenciar riscos.

• 2.1.E.1 Uma vez que um risco tenha sido identificado e avaliado, uma organização tem quatro opções para gerenciar esse risco:
  • i. Evitar
  • ii. Transferir
  • iii. Mitigar
  • iv. Aceitar
• 2.1.E.2 A evitação de risco interrompe a atividade que está gerando o risco. Se a atividade for uma parte crítica da missão ou propósito de uma organização, então a evitação não é possível.
• 2.1.E.3 A transferência de risco coloca o ônus do risco em outra entidade, como uma seguradora, um governo ou consumidores.
• 2.1.E.4 A mitigação de risco implementa controles de segurança para reduzir a probabilidade ou o impacto de um risco.
• 2.1.E.5 Risco residual é o risco que permanece após uma organização ter passado pela evitação, transferência e mitigação. O risco residual é o nível de risco que uma organização está disposta a aceitar. A aceitação de risco reconhece o fato de que a segurança absoluta é inatingível.
• 2.1.E.6 Para conservar recursos financeiros e capacidade de funcionários, uma organização frequentemente favorecerá soluções que sejam rentáveis e fáceis de implementar e manter. Soluções rentáveis custam menos para instalar e manter do que a perda esperada de um ataque.

Objetivo de Aprendizagem 2.1.F: Identificar tipos de controles de segurança.

• 2.1.F.1 Controles de segurança abordam pelo menos um dos seguintes princípios:
  • Confidencialidade garante que apenas pessoas autorizadas, sistemas ou processos possam acessar dados. Sistemas sem confidencialidade são vulneráveis a roubo ou destruição de dados.
  • Integridade garante que os dados sejam precisos e confiáveis. Sistemas sem integridade são vulneráveis a manipulação de dados.
  • Disponibilidade garante que dados e serviços estejam acessíveis a pessoas autorizadas quando necessários. Sistemas sem disponibilidade podem experimentar tempos de inatividade inesperados.
• 2.1.F.2 Controles de segurança podem ser classificados por tipo.
  • Controles físicos fornecem segurança no espaço físico e incluem fechaduras, cercas e câmeras, bollards e guardas de segurança.
  • Controles técnicos fornecem segurança no espaço digital e incluem firewalls, software anti-malware e criptografia.
  • Controles gerenciais fornecem regras, diretrizes, políticas e procedimentos que especificam o que a segurança deve estar em lugar e incluem políticas de senhas, revisões regulares de acesso e planos de resposta a incidentes (IRPs).
• 2.1.F.3 Controles de segurança podem ser classificados por função.
  • Controles preventivos abordam vulnerabilidades potenciais com o objetivo de impedir que um adversário ataque e incluem fechaduras e criptografia.
  • Controles detectores ajudam a identificar ataques quando ocorrem e incluem sistemas de detecção de intrusão (IDSs), câmeras e sistemas de gerenciamento de eventos e incidentes de segurança (SIEM).
  • Controles corretivos corrigem problemas e ajudam a restaurar sistemas para um estado operacional e incluem correção de vulnerabilidades, reparo de leitores de cartão quebrados e sistemas de prevenção de intrusão (IPSs).

Objetivo de Aprendizagem 2.1.G: Explicar por que uma estratégia de segurança em profundidade é necessária para proteger optimalmente uma organização.

• 2.1.G.1 Uma estratégia de defesa em profundidade, ou defesa em camadas, usa múltiplos tipos de controles de segurança para proteger dados e sistemas sensíveis.
• 2.1.G.2 Uma estratégia de defesa em profundidade permite que uma organização aborde diferentes tipos de ameaças, cada uma com um controle de segurança mais adequado para mitigá-la.
• 2.1.G.3 Uma estratégia de defesa em profundidade permite resiliência na proteção de dados para que, quando um controle de segurança for contornado por um adversário, outro controle de segurança ainda possa impedir o acesso aos dados ou sistema ou limitar os danos causados aos dados ou sistema.
• 2.1.G.4 Camadas em uma estratégia de defesa em profundidade podem incluir humano, físico, rede, dispositivo, aplicativo e dados.

Objetivo de Aprendizagem 2.2.A: Identificar ataques físicos comuns.

• 2.2.A.1 Adversários frequentemente usam engenharia social ao conduzir um ataque físico.
• 2.2.A.2 Piggybacking é o nome de um ataque em que um adversário usa engenharia social para manipular uma pessoa autorizada a conceder acesso ao adversário em uma área restrita. Táticas comuns de piggybacking incluem carregar algo grande para incentivar uma pessoa autorizada a segurar a porta aberta, fingir ser uma pessoa autorizada que esqueceu seu token de acesso ou fingir ser um técnico de manutenção que precisa entrar em uma determinada área para realizar uma inspeção ou reparo.
• 2.2.A.3 Tailgating é o nome de um ataque em que um adversário obtém acesso não autorizado a uma área restrita seguindo de perto uma pessoa autorizada sem o conhecimento ou consciência dessa pessoa.
• 2.2.A.4 Shoulder surfing é o nome de um ataque em que um adversário observa enquanto um usuário acessa informações sensíveis para que o adversário possa usá-las posteriormente. Às vezes, os adversários usam uma câmera para gravar o alvo acessando as informações sensíveis para análise posterior.
• 2.2.A.5 Dumpster diving é o nome de um ataque em que um adversário revira o lixo físico de um alvo em busca de informações que poderiam ser usadas para ajudar o adversário a atingir seu objetivo.
• 2.2.A.6 Card cloning é o nome de um ataque em que um adversário faz uma cópia do cartão de acesso de um usuário autorizado para que possa acessar todos os recursos aos quais o usuário está autorizado.

Objetivo de Aprendizagem 2.2.B: Explicar como ameaças podem explorar vulnerabilidades físicas comuns para causar perda, danos, interrupção ou destruição de ativos.

• 2.2.B.1 As ameaças incluem adversários humanos que buscam causar danos ou interrupções, bem como desastres naturais. Desastres naturais podem causar danos físicos ou destruição a computadores e dados, além de interromper serviços digitais fornecidos por computadores.
• 2.2.B.2 Vulnerabilidades são fraquezas ou falhas que poderiam permitir que um ativo fosse comprometido. Comprometimentos comuns incluem:
  • Acesso não autorizado a dados sensíveis ou espaços físicos restritos
  • Interrupção de serviços
  • Roubo ou destruição de recursos digitais ou físicos
  • Modificação não autorizada de dados
• 2.2.B.3 Quando adversários interrompem a alimentação elétrica de um dispositivo, o dispositivo e quaisquer serviços que ele fornece tornam-se indisponíveis. Para interromper a energia, os adversários podem danificar fusíveis ou disjuntores em uma caixa elétrica, desconectar ou cortar fios elétricos, ou danificar sistemas de distribuição de energia como subestações e transformadores.
• 2.2.B.4 Quando adversários ganham acesso a uma área com informações sensíveis, eles podem roubar ou copiar essas informações sensíveis.
• 2.2.B.5 Quando adversários ganham acesso físico a um dispositivo e suas portas, podem conectar um keylogger ou unidade externa contendo malware, o que poderia permitir que coletassem dados de um usuário ou até mesmo controlassem o dispositivo. Com acesso físico direto, os adversários também podem destruir fisicamente um dispositivo, tornando o próprio dispositivo, quaisquer dados armazenados nele e quaisquer serviços que forneça indisponíveis.

Objetivo de Aprendizagem 2.2.C: Avaliar e documentar riscos decorrentes de vulnerabilidades físicas.

• 2.2.C.1 O acesso físico a dispositivos pode permitir que adversários contornem muitos controles técnicos e camadas de segurança.
• 2.2.C.2 Riscos elevados decorrentes de vulnerabilidades físicas surgem quando informações ou sistemas sensíveis estão expostos em espaços físicos sem acesso suficientemente restrito e controlado.
  • Exemplos ilustrativos para 2.2.C.2:
    • Um servidor que armazena dados de clientes está em uma sala sem fechadura, acessada por um corredor não monitorado.
• 2.2.C.3 Riscos moderados decorrentes de vulnerabilidades físicas surgem quando uma parte não crítica ou não sensível de uma organização fica desprotegida de forma que possa atuar como ponto de apoio para um adversário obter acesso inicial a outros recursos.
  • Exemplos ilustrativos para 2.2.C.3:
    • Um escritório tem uma área de recepção onde o acesso é controlado; o recepcionista possui um computador conectado à rede sem fio interna do escritório, e o computador possui portas USB expostas.
• 2.2.C.4 Riscos baixos decorrentes de vulnerabilidades físicas surgem quando um ativo vulnerável tem baixo valor e a vulnerabilidade é pouco propensa a ser explorada.
  • Exemplos ilustrativos para 2.2.C.4:
    • Funcionários em um escritório que requer acesso por crachá deixam seus computadores portáteis sobre as mesas sem supervisão quando todos saem juntos para o almoço. Os computadores não contêm informações sensíveis, mas não há cabos prendendo os dispositivos às mesas.

Objetivo de Aprendizagem 2.3.A: Identificar controles gerenciais relacionados à segurança física.

• 2.3.A.1 As organizações devem realizar treinamento de conscientização sobre segurança para funcionários, a fim de educá-los sobre como podem contribuir para a segurança da organização por meio de:
  • Detectar tentativas de engenharia social, como phishing
  • Não badear outras pessoas em áreas restritas
  • Prevenir o furto de dispositivos
• 2.3.A.2 As organizações devem ter uma política de segurança de estações de trabalho que detalhe as medidas necessárias para proteger um ambiente físico de trabalho. A política pode ter níveis de segurança de estação de trabalho baseados no tipo de dado manuseado em uma estação. Políticas de estação de trabalho frequentemente exigem:
  • Trancar dispositivos antes de deixar estações de trabalho desatendidas para prevenir acesso não autorizado
  • Limpar documentos sensíveis das estações de trabalho antes de deixá-las desatendidas (às vezes chamada de política de mesa limpa)
  • Usar filtros de privacidade na tela ou outra barreira física para impedir que outros vejam informações na tela
  • Conectar dispositivos a protetores de surto ou fontes de alimentação ininterruptas (UPS)

Objetivo de Aprendizagem 2.3.B: Determinar estratégias de mitigação para riscos decorrentes de vulnerabilidades físicas.

• 2.3.B.1 Para determinar um controle relevante, um defensor cibernético considera como um adversário poderia aproveitar uma vulnerabilidade para atacar um sistema e como prevenir, detectar ou corrigir o ataque.
• 2.3.B.2 Instalar controles físicos, como cercas, portões e bollards, ao redor de um edifício pode dissuadir adversários de tentar acessar fisicamente os prédios de uma organização.
• 2.3.B.3 Cadeados em portas, armários de servidores e computadores podem impedir que dispositivos sejam acessados ou roubados.
• 2.3.B.4 Leitores de cartões podem registrar quais crachás de funcionários estão sendo usados para acessar diferentes entradas em horários específicos e negar o acesso a crachás não autorizados.
• 2.3.B.5 Vestíbulos de controle de acesso e catracas podem impedir que uma pessoa autorizada admita intencional ou acidentalmente uma pessoa não autorizada em uma área restrita.
• 2.3.B.6 Organizações podem desativar portas USB para impedir que unidades externas carreguem malware em um computador.
• 2.3.B.7 Uma fonte de alimentação ininterrupta (UPS) fornece uma fonte de energia reserva para um dispositivo em caso de falta de energia. Organizações também podem usar geradores de energia para fornecer energia em maior escala a um prédio ou conjunto de dispositivos críticos.
• 2.3.B.8 As organizações priorizam as mitigações de risco com base na severidade dos riscos e no custo das mitigações recomendadas.

Objetivo de Aprendizagem 2.4.A: Identificar maneiras pelas quais controles de segurança podem detectar ataques físicos.

• 2.4.A.1 Câmeras podem capturar um registro visual da atividade maliciosa de um adversário. A transmissão de uma câmera deve ser gravada e monitorada para máximo efeito. Gravações podem ser especialmente úteis em investigações pós-incidente.
• 2.4.A.2 Guardas de segurança podem monitorar a atividade em uma área e responder a atividades suspeitas assim que detectadas.
• 2.4.A.3 Sensores de movimento podem alertar a segurança sobre movimentos em uma área.
• 2.4.A.4 Funcionários que trabalham em um espaço físico muitas vezes são os primeiros a notar a presença de uma pessoa não autorizada e podem alertar a segurança.

Objetivo de Aprendizagem 2.4.B: Determinar a colocação eficaz de controles de segurança para detectar ataques físicos.

• 2.4.B.1 Ao posicionar câmeras, deve-se considerar a cobertura visual, o ângulo e a capacidade de serem manipuladas por um adversário. Também deve-se considerar o que uma câmera em uma área específica poderia capturar um adversário fazendo e como essa informação seria útil. Pontos de entrada e saída são frequentemente monitorados por câmeras.
• 2.4.B.2 Sensores de movimento devem ser posicionados em áreas com tráfego inesperado, como salas de servidores, ou áreas onde materiais sensíveis são armazenados e poucas pessoas têm acesso. Sensores de movimento em áreas de alto tráfego criam muitos falsos alarmes, tornando-os menos prováveis de serem levados a sério quando ocorre um evento de segurança real.
• 2.4.B.3 Cadeados devem ser instalados em todas as entradas de áreas contendo informações ou sistemas sensíveis. Para áreas com informações ou sistemas particularmente sensíveis, uma organização pode usar um vestíbulo de controle de acesso no ponto de entrada para evitar piggybacking ou tailgating.
• 2.4.B.4 Guardas de segurança podem ser estacionários ou patrulhando. Guardas estacionários podem oferecer proteção constante para uma área específica, entrada ou item de alto valor. Guardas patrulhantes são mais difíceis para um adversário planejar em torno e podem criar pressão temporal para um adversário. Colocar guardas estacionários em locais que canalizam o tráfego (ex.: portões de entrada, entradas principais ou saguões, e entradas para áreas de acesso mais seguras) pode ser altamente efetivo, enquanto guardas patrulhantes são melhores adequados para perímetros e áreas externas.

Objetivo de Aprendizagem 2.4.C: Aplicar técnicas de detecção para identificar ataques físicos.

• 2.4.C.1 Câmeras fornecem monitoramento visual e um registro visual da atividade dentro de um espaço designado. Câmeras podem ser combinadas com software de reconhecimento facial que pode emitir alertas quando indivíduos não autorizados entram em áreas controladas. Após a detecção de uma violação física, os defensores podem usar imagens de vídeo ao vivo e gravadas para rastrear o caminho e as ações de um adversário.
• 2.4.C.2 Detectores de movimento funcionam melhor quando combinados com câmeras. Quando um alerta de segurança é disparado porque um detector de movimento foi ativado, os defensores podem usar câmeras para verificar o espaço visualmente e confirmar uma violação de segurança física.
• 2.4.C.3 Quando os funcionários são obrigados a usar um crachá eletrônico para destravar uma porta de uma área restrita, um sensor pode registrar quanto tempo a porta permaneceu aberta. Ao revisar os registros de entrada da porta, é possível detectar possível piggybacking ou tailgating quando as portas ficam abertas por períodos mais longos do que o normal.

Objetivo de Aprendizagem 3.1.A: Identificar ataques de rede comuns.

• 3.1.A.1 O protocolo de resolução de endereços (ARP) é usado por um gateway padrão em uma rede para estabelecer uma tabela que associa endereços de internet protocol (IP) a endereços de controle de acesso de mídia (MAC). Um ataque de envenenamento ARP ocorre quando um adversário envia pacotes ARP falsificados ao gateway padrão para modificar a tabela, de modo que o dispositivo do adversário receba tráfego destinado ao alvo, vinculando o endereço IP do alvo ao MAC do adversário. Falsificar um endereço MAC é chamado de spoofing de MAC. Este é um exemplo de ataque on-path (ou ataque homem-no-meio), que ocorre quando um adversário interrompe um fluxo de dados entre duas partes, captura os dados de ambas as partes e copia ou altera os dados antes de enviá-los adiante. Ambas as partes acham que estão se comunicando diretamente entre si, mas na verdade cada uma está se comunicando com o adversário que intercepta secretamente suas mensagens.
• 3.1.A.2 Um ataque de inundação de MAC ocorre quando um adversário envia muitos quadros Ethernet ao switch-alvo, cada um com um endereço MAC diferente. Isso pode forçar o switch a entrar no modo de broadcast, e o adversário então pode coletar todos os quadros da rede (pois estão sendo transmitidos para todos), o que poderia permitir que o adversário acesse informações sensíveis. Este é um exemplo de escuta espional (ou sniffing), que ocorre quando um adversário captura dados em trânsito e pode gravar e copiar os dados.
• 3.1.A.3 Um ataque de envenenamento DNS (Domain Name System) ocorre quando um adversário se faz passar por um servidor de nomes autoritário (NS) e implanta um registro DNS falso em um servidor DNS para redirecionar o tráfego do navegador para um site malicioso projetado para roubar credenciais. Este é um exemplo de colheita de credenciais, que ocorre quando adversários configuram um site de login falso que parece ser real. Usuários despreocupados inserem suas credenciais reais, que são capturadas e usadas pelos adversários.
• 3.1.A.4 Um ataque smurf tenta sobrecarregar uma rede com solicitações de Internet Control Message Protocol (ICMP). É um tipo de ataque de negação de serviço (DoS), que torna um sistema ou recurso indisponível para usuários autorizados. Durante um ataque smurf, um adversário envia muitas solicitações ICMP com o endereço da vítima para o endereço de broadcast da rede. O gateway da rede então envia essas solicitações para todos os dispositivos da rede. Cada dispositivo na rede responde para o endereço da vítima, criando uma inundação de tráfego que pode bloquear mensagens legítimas. Quando múltiplos dispositivos atacam o mesmo alvo simultaneamente, chama-se ataque de negação de serviço distribuído (DDoS).

Objetivo de Aprendizagem 3.1.B: Explicar como adversários podem explorar vulnerabilidades de rede para roubar, interromper ou destruir a comunicação de rede.

• 3.1.B.1 Adversários podem enviar tráfego malicioso para dentro de uma rede para inundá-la criando um DoS, mapear a estrutura interna da rede ou fazer spoofing de um dispositivo legítimo. Redes sem firewalls, ou com firewalls configurados incorretamente, são vulneráveis a esse tipo de ataque.
• 3.1.B.2 Adversários que comprometeram um dispositivo frequentemente tentam aproveitar seu acesso para comprometer outros dispositivos na rede local (LAN).
• 3.1.B.3 Adversários que se conectam fisicamente a uma porta de dados podem ganhar acesso a uma LAN através da porta do switch, a menos que a segurança de porta esteja habilitada. Isso permite que adversários lancem ataques DoS ou realizem ataques de inundação de MAC ou spoofing de MAC.
• 3.1.B.4 Adversários posicionados fora de espaços fisicamente seguros podem capturar sinais e quadros beacon de um ponto de acesso sem fio que está transmitindo para fora do espaço físico. Isso permite que eles reunam informações sobre a rede sem fio e tentem escutas espionais e ataques criptográficos contra ela.
• 3.1.B.5 Adversários podem tentar ingressar em redes para lançar ataques a partir do interior das redes. Redes que não autenticam dispositivos e usuários facilitam a entrada de adversários.
• 3.1.B.6 Se houver uma porta de rede aberta, um adversário pode conectar um ponto de acesso sem fio à porta, criando um ponto de acesso rogue. O adversário poderia usar esse ponto de acesso rogue para acessar a rede interna sem fio (talvez até de fora do espaço físico). Isso permite ao adversário acesso direto à LAN, contornando qualquer firewall.
• 3.1.B.7 Adversários podem tentar quebrar a criptografia sem fio e interceptar, roubar ou comprometer dados em uma rede.

Objetivo de Aprendizagem 3.1.C: Avaliar e documentar riscos decorrentes de vulnerabilidades de rede.

• 3.1.C.1 Vulnerabilidades em uma rede podem levar a adversários a serem capazes de interceptar e alterar dados em trânsito, lançar ataques DoS ou mover-se lateralmente em uma rede para obter acesso a sistemas mais sensíveis ou críticos. Vulnerabilidades de rede podem constituir um risco para confidencialidade, integridade e disponibilidade.
• 3.1.C.2 Existem varredores automatizados de vulnerabilidades que podem verificar redes, dispositivos e aplicativos quanto a vulnerabilidades conhecidas. Esses varredores produzem um relatório que geralmente inclui as vulnerabilidades detectadas, sua severidade e recomendações de mitigação.
• 3.1.C.3 A exploração bem-sucedida de uma vulnerabilidade de rede geralmente requer habilidade técnica avançada e conhecimento. Isso pode impactar a probabilidade de uma exploração.
• 3.1.C.4 Riscos elevados decorrentes de vulnerabilidades de rede permitem que um adversário cause facilmente um impacto significativo ao capturar tráfego de rede, fazer spoofing de um dispositivo legítimo na rede ou lançar um ataque DoS.
  • Exemplos ilustrativos para 3.1.C.4:
    • Uma organização possui uma única rede interna não segmentada que é acessível via rede sem fio com criptografia fraca, e nessa rede há um servidor executando seu aplicativo web proprietário.
• 3.1.C.5 Riscos moderados decorrentes de vulnerabilidades de rede podem incluir vulnerabilidades que poderiam dar aos adversários a capacidade de obter informações sobre sistemas ou dispositivos em uma rede.
  • Exemplos ilustrativos para 3.1.C.5:
    • O firewall externo de uma organização não está configurado para bloquear tráfego ICMP externo.
• 3.1.C.6 Riscos baixos decorrentes de vulnerabilidades de rede incluem vulnerabilidades que seriam difíceis de explorar e provavelmente teriam impactos negativos mínimos em uma organização.
  • Exemplos ilustrativos para 3.1.C.6:
    • Uma organização possui pontos de acesso sem fio que transmitem um quadro beacon, que contém o identificador de conjunto de serviços (SSID) da rede e os protocolos de criptografia sem fio.

Objetivo de Aprendizagem 3.2.A: Identificar controles gerenciais relacionados à segurança de rede.

• 3.2.A.1 Uma política de segurança de roteador definirá um padrão mínimo de configuração para roteadores na rede de uma organização e pode incluir:
  • Proibir contas de usuário locais (Todos os logins no roteador devem usar um servidor de autenticação aprovado.)
  • Desativar serviços desnecessários (ex: Telnet)
  • Exigir um firewall (Uma organização pode optar por um dispositivo de firewall separado do roteador.)
• 3.2.A.2 Uma política de segurança de switch definirá um padrão mínimo de configuração para switches na rede de uma organização e pode incluir:
  • Proibir contas de usuário locais (Todos os logins no switch devem usar um servidor de autenticação aprovado.)
  • Exigir que a segurança de porta esteja habilitada.
  • Usar filtragem de MAC
• 3.2.A.3 Uma política de VPN (Virtual Private Network) detalhará os requisitos mínimos de segurança para funcionários usando uma VPN para acessar a rede interna de uma organização, e pode incluir:
  • Uma lista de cargos dentro da organização que são permitidos a usar uma VPN para acessar a rede interna da organização
  • Requisitos de autenticação para funcionários usando uma VPN (ex: sistema de chave pública/privada ou MFA)
  • Proibição de túnel dividido (também chamado de túnel duplo)
• 3.2.A.4 Uma política de segurança sem fio estabelecerá os requisitos mínimos de segurança para redes sem fio dentro de uma organização e pode incluir:
  • Exigir que os usuários se autentiquem na rede sem fio através de um protocolo de autenticação extensível (EAP) conectado a um servidor de autenticação aprovado
  • Exigir que todo o tráfego sem fio seja criptografado usando criptografia AES com comprimento de chave mínimo
  • Desativar quadros beacon em pontos de acesso sem fio

Objetivo de Aprendizagem 3.2.B: Configurar recursos de segurança de rede sem fio.

• 3.2.B.1 Organizações podem desativar a transmissão de quadros beacon em pontos de acesso sem fio (WAPs) para dificultar que adversários encontrem sua rede sem fio e aprendam suas propriedades básicas.
• 3.2.B.2 Organizações podem controlar a direção de transmissão e a intensidade do sinal de um WAP para que o sinal não se estenda além do espaço físico que o ponto de acesso deve cobrir.
• 3.2.B.3 Organizações devem habilitar protocolos fortes de criptografia sem fio para garantir que quadros sem fio não sejam legíveis por adversários que possam interceptá-los.
  • Os protocolos de criptografia sem fio WEP, WPS e o WPA original possuem vulnerabilidades conhecidas e são inseguros.
  • O WPA3 é atualmente o algoritmo de criptografia sem fio mais forte.
• 3.2.B.4 Organizações podem habilitar a filtragem de MAC para impedir que dispositivos não autorizados acessem a rede, e podem exigir que os usuários se autentifiquem ao ingressar em uma rede.

Objetivo de Aprendizagem 3.3.A: Identificar técnicas para segmentar uma rede.

• 3.3.A.1 Zonas e regras de firewall podem ser usadas para criar uma subnet filtrada (também conhecida como zona desmilitarizada, ou DMZ)—um segmento de rede que fica entre redes públicas externas, como a internet, e redes internas privadas. Uma subnet filtrada é tipicamente uma zona de segurança inferior às redes internas privadas e tipicamente aloja os recursos expostos publicamente de uma organização, separando-os da rede interna.
• 3.3.A.2 A sub-redes (subnetting) pode ser usada para criar diferentes sub-redes baseadas em endereçamento IP. Se um dispositivo é comprometido por um adversário, as sub-redes podem conter uma violação de segurança para reduzir o número de dispositivos expostos.
• 3.3.A.3 Switches podem ser usados para criar VLANs, que separam logicamente dispositivos fisicamente conectados a switches centrais.

Objetivo de Aprendizagem 3.3.B: Explicar por que a segmentação de rede pode aumentar a segurança da rede.

• 3.3.B.1 A segmentação de rede refere-se ao processo de dividir uma rede em segmentos menores ou sub-redes (subnets) isolados.
• 3.3.B.2 Dividir uma rede em sub-redes menores isola o tráfego de rede, o que pode prevenir ataques a uma sub-rede sem afetar dispositivos em outras sub-redes.
• 3.3.B.3 A segmentação de rede pode permitir que diferentes políticas e controles de segurança sejam aplicados a diferentes segmentos da rede, permitindo zonas de alta segurança e zonas de baixa segurança.
• 3.3.B.4 A segurança de porta em um switch pode evitar o flooding de MAC limitando o número de endereços atribuíveis a qualquer porta individual do switch.

Objetivo de Aprendizagem 3.4.A: Identificar tipos de firewalls baseados em rede.

• 3.4.A.1 Um firewall é usado para permitir ou negar tráfego de rede entrando ou saindo de uma rede. O próprio firewall é um software que pode ser hospedado em um dispositivo independente ou integrado em outro dispositivo de rede, como um roteador.
• 3.4.A.2 Um firewall sem estado filtra o tráfego com base em informações nos cabeçalhos dos pacotes, como endereços IP, portas e protocolos.
• 3.4.A.3 Um firewall com estado (também conhecido como filtragem dinâmica de pacotes) rastreia o estado das conexões de rede que passam pelo firewall e pode filtrar de acordo com regras relacionadas à conexão, além da filtragem feita por um firewall sem estado. Isso permite maior controle sobre o conteúdo permitido dentro e fora de uma rede.
• 3.4.A.4 Um firewall de próxima geração (NGFW) possui as capacidades típicas de firewalls sem estado e com estado, além de recursos avançados adicionais, como prevenção de intrusão, inspeção profunda de pacotes e filtragem por tipo de aplicativo.

Objetivo de Aprendizagem 3.4.B: Explicar como um firewall usa uma lista de controle de acesso para permitir ou negar tráfego entrando ou saindo de uma rede.

• 3.4.B.1 Administradores de rede criam um conjunto de regras, chamado lista de controle de acesso (ACL), que um firewall usa para permitir ou negar tráfego de rede de entrada e saída.
• 3.4.B.2 As regras da ACL são verificadas em ordem e a primeira regra que corresponder aos critérios será executada para os dados especificados.
• 3.4.B.3 Uma ACL típica especificará a direção do tráfego (entrada ou saída), o critério para filtragem (endereços IP, porta lógica, serviço ou aplicativo) e a ação a ser tomada (permitir ou negar).

Objetivo de Aprendizagem 3.4.C: Determinar a posição efetiva de firewalls em uma rede.

• 3.4.C.1 Cada segmento de uma rede deve ter um firewall para controlar o fluxo de dados entrando e saindo desse segmento.
• 3.4.C.2 Os segmentos de rede podem ter diferentes necessidades de segurança com base nos dados e serviços contidos neles. O nível de segurança de cada firewall pode ser definido independentemente.
• 3.4.C.3 Cada ponto de entrada e saída de dados entre a rede interna e a internet pública deve ter um firewall.

Objetivo de Aprendizagem 3.4.D: Configurar um firewall para gerenciar o fluxo de tráfego de rede.

• 3.4.D.1 Os requisitos para um firewall especificarão que tipo de tráfego de quais origens ou para quais destinos deve ser permitido ou negado.
• 3.4.D.2 Regras específicas para um firewall podem permitir ou negar tráfego de entrada ou saída com base na porta de origem ou destino, endereço IP, serviço, protocolo ou aplicativo.
  • Exemplos ilustrativos para 3.4.D.2:
    • Permitir TCP porta 22 de entrada de TODOS; (essa regra permitirá todo o tráfego TCP de entrada com porta de destino 22, que é a porta designada para o protocolo SSH)
    • Negar TCP porta 80 de entrada de 192.168.1.0/24; (essa regra negará o tráfego TCP de entrada com porta de destino 80 de endereços IP no intervalo 192.168.1.0-192.168.1.255)
• 3.4.D.3 As regras são implementadas em ordem, e alterar a ordem de um conjunto de regras pode mudar qual tráfego é permitido ou negado. Deve-se considerar a precedência das prioridades de filtragem ao estabelecer a ordem das regras.
  • Exemplos ilustrativos para 3.4.D.3:
    • Este conjunto de regras permitiria tráfego SSH e negaria outro tráfego TCP de entrada
    • Regra 1: PERMITIR TCP porta 22 de entrada de TODOS;
    • Regra 2: NEGAR TCP TODO de entrada de TODOS;
    • Inverter a ordem dessas regras negaria todo o tráfego TCP de entrada, incluindo tráfego SSH.

Objetivo de Aprendizagem 3.5.A: Identificar tipos de ferramentas de segurança automatizadas usadas para detectar ataques de rede.

• 3.5.A.1 Ferramentas de detecção automatizada analisam dados coletados da rede e dispositivos de uma organização, como switches e roteadores, servidores, firewalls e computadores de usuários. Esses dados são frequentemente coletados em um arquivo de log.
• 3.5.A.2 Um sistema de detecção de intrusão em rede (NIDS) é uma ferramenta automatizada que analisa dados para determinar se atividades maliciosas estão ocorrendo em uma rede. Quando um ataque é detectado, ele gera um alerta.
• 3.5.A.3 Um sistema de prevenção de intrusão em rede (NIPS) é uma ferramenta automatizada que, assim como um IDS, analisa dados para determinar se atividades maliciosas estão ocorrendo em uma rede. Um NIPS também pode mitigar ou interromper um ataque fechando portas, bloqueando endereços IP ou MAC específicos, ou rejeitando protocolos específicos.
• 3.5.A.4 Um sistema de gerenciamento de informações e eventos de segurança (SIEM) coleta e analisa dados de múltiplas fontes (incluindo firewalls, NIDS/NIPS, logs de dispositivos e logs de aplicativos) para detectar padrões que possam indicar um ciberataque e levanta um alerta se for detectado um possível ataque. Analistas de segurança investigam o alerta para determinar se representa uma ameaça real e seguem procedimentos operacionais padrão para resolver ou escalonar o alerta.

Objetivo de Aprendizagem 3.5.B: Explicar como as organizações podem usar inteligência artificial (IA) para melhorar a detecção e resposta a ameaças.

• 3.5.B.1 Computadores registram todas as ações que os usuários realizam. Firewalls, IDS, IPS e outros sensores de rede registram todo o tráfego que passa por vários pontos de uma rede. A rede de uma organização de porte médio está registrando milhões (ou até dezenas de milhões) de pontos de dados por dia. Mesmo uma equipe grande de humanos é incapaz de analisar tanta quantidade de dados.
• 3.5.B.2 Equipes de detecção de ameaças estão criando algoritmos de IA para analisar grandes quantidades de dados e classificar os padrões de dados como maliciosos ou normais.
• 3.5.B.3 Modelos de IA para detecção de ameaças são baseados em cálculos probabilísticos; eles relatam uma porcentagem para indicar a probabilidade de algo ser malicioso.
• 3.5.B.4 As organizações definem seus próprios limiares para qual porcentagem de probabilidade de uma ameaça resulta em um alerta. Se o limiar estiver configurado muito alto, ataques reais podem passar despercebidos; se o limiar estiver muito baixo, a equipe de segurança ficará sobrecarregada com falsos positivos.

Objetivo de Aprendizagem 3.5.C: Determinar um método de detecção de rede.

• 3.5.C.1 O volume de tráfego de rede é um critério para determinar um método de detecção. A detecção baseada em assinatura é mais eficiente para redes com alto volume de tráfego. A detecção baseada em assinatura compara os dados de detecção a um banco de dados de indicadores conhecidos de comprometimento (IoCs), chamados assinaturas. Os bancos de dados de assinaturas devem ser atualizados com IoCs para os últimos ataques. A detecção baseada em assinatura executa mais rapidamente do que a detecção baseada em anomalias.
• 3.5.C.2 A consistência dos padrões de tráfego de rede é um critério para determinar um método de detecção. A detecção baseada em anomalias é mais eficaz em redes com padrões de tráfego consistentes. A detecção baseada em anomalias compara os dados de detecção a uma linha de base de atividade registrada. As linhas de base devem ser registradas em sistemas não comprometidos para estabelecer tipos e volumes de dados esperados. A detecção baseada em anomalias dispara um alerta ou ação quando tipos ou volumes de dados fora de uma faixa de tolerância especificada são registrados. A detecção baseada em anomalias depende de padrões consistentes no tráfego de rede para detectar padrões de tráfego anômalos.
• 3.5.C.3 O grau de sensibilidade ou criticidade de uma rede é um critério para determinar um método de detecção. Redes com dados ou serviços mais sensíveis ou críticos provavelmente considerarão uma abordagem híbrida. A detecção híbrida combina detecção baseada em assinatura e baseada em anomalias. A detecção híbrida é mais cara do que usar apenas detecção baseada em assinatura ou anomalias, e modelos de detecção híbrida geram mais alertas.
• 3.5.C.4 A probabilidade de ataques novos em uma rede é um critério para determinar um método de detecção. A detecção baseada em assinatura não pode detectar um novo ataque. Quando uma organização suspeita que adversários provavelmente tentarão um novo ataque em uma rede, a detecção baseada em anomalias é o método preferido quando o custo da detecção híbrida é proibitivamente alto.

Objetivo de Aprendizagem 3.5.D: Avaliar o impacto de um método de detecção de rede.

• 3.5.D.1 A velocidade de detecção é um fator na avaliação do impacto de um método de detecção de rede. Detecção mais rápida permite resposta mais rápida. Os métodos de detecção baseados em assinatura são mais rápidos do que os métodos de detecção baseados em anomalias, especialmente em redes com alto volume de tráfego.
• 3.5.D.2 O custo é um fator na avaliação do impacto de um método de detecção de rede. As ferramentas de detecção e custos recorrentes precisam estar dentro de um orçamento. Os sistemas de detecção baseados em anomalias exigem hardware mais caro para operar do que os baseados em assinatura. A detecção híbrida é a opção mais cara porque combina ambos os métodos, baseado em anomalias e baseado em assinatura.
• 3.5.D.3 A taxa de falso positivo é um fator na avaliação do impacto de um método de detecção de rede. A detecção baseada em assinatura tem quase nenhum falso positivo. A detecção baseada em anomalias ou híbrida terá taxas de falso positivo mais altas. Os impactos de altas taxas de falso positivo incluem:
  • Tempo e recursos são gastos investigando alertas por atividade não maliciosa.
  • Fadiga de alerta é uma condição que ocorre quando respondentes se acostumam com falsos positivos e levam os alertas menos a sério porque assumem que os alertas são falsos positivos antes de investigá-los.
• 3.5.D.4 A taxa de falso negativo é um fator na avaliação do impacto de um método de detecção de rede. Um falso negativo ocorre quando um adversário consegue burlar um sistema de detecção. Sistemas de detecção baseados em assinatura são mais fáceis de burlar do que sistemas baseados em anomalias ou híbridos. Falsos negativos podem resultar em adversários causando perda, dano, interrupção ou destruição de dados e sistemas.

Objetivo de Aprendizagem 3.5.E: Aplicar técnicas de detecção para identificar indicadores de ataques de rede analisando arquivos de log.

• 3.5.E.1 Ataques Evil-twin podem ser detectados escaneando regularmente identificadores de conjunto de serviços (SSIDs) que pareçam suspeitos ou semelhantes aos SSIDs locais legítimos. A triangulação de sinal pode ser usada para localizar e desativar um ponto de acesso transmitindo uma rede evil-twin.
• 3.5.E.2 Ataques de interferência (jamming) podem ser detectados ao reconhecer que nenhum dispositivo sem fio em um espaço físico específico consegue se conectar a uma rede sem fio e ao verificar ruído eletromagnético (EM) na faixa de frequência sem fio.
• 3.5.E.3 Ataques de envenenamento ARP podem ser detectados monitorando o tráfego da rede por mensagens ARP incomuns (particularmente pacotes ARP com endereços MAC duplicados) e verificando a tabela ARP no gateway padrão.
• 3.5.E.4 Ataques de inundação de MAC podem ser detectados monitorando o tráfego da rede por um aumento inesperado de quadros Ethernet com diferentes endereços MAC e verificando a tabela de endereços MAC em um switch.
• 3.5.E.5 Ataques de envenenamento DNS são difíceis de detectar. No entanto, se o site de uma organização apresentar uma queda abrupta e inexplicável no tráfego, os registros DNS devem ser examinados como uma possível causa.
• 3.5.E.6 Ataques Smurf podem ser detectados observando o tráfego da rede por um aumento súbito de requisições ICMP enviadas para o endereço de broadcast da rede.
• 3.5.E.7 IOCs baseados em rede são descobertos ao analisar o tráfego da rede, geralmente na forma de arquivos de captura de pacotes. Indicadores podem ser encontrados em endereços IP de origem e destino, portas e protocolos. Estes podem incluir:
  • Conexões com endereços IP maliciosos conhecidos
  • Escaneamentos de rede não autorizados
  • Picos ou lentidões incomuns no tráfego da rede
  • Tráfego incompatível entre porta e aplicação

Objetivo de Aprendizagem 4.1.A: Identificar tipos de dispositivos computacionais.

• 4.1.A.1 Computadores servidores são dispositivos que fornecem um ou mais serviços a outros computadores (ex.: DNS, DHCP, FTP). Qualquer computador pode ser um servidor, e em um ambiente corporativo, os servidores geralmente possuem mais poder de processamento e armazenamento do que um computador pessoal.
• 4.1.A.2 Computadores pessoais são dispositivos projetados para serem usados por uma pessoa para fins de trabalho ou recreação (ex.: processamento de texto, design gráfico, navegação na web e produção ou visualização de mídia). Estes incluem computadores desktop, laptop e notebook.
• 4.1.A.3 Computadores portáteis (também chamados de computadores móveis ou aparelhos de informação) são menores que os computadores pessoais e funcionam com bateria. Estes incluem tablets, smartphones e tecnologia vestível como smartwatches.
• 4.1.A.4 Computadores embutidos são dispositivos que fazem parte de uma máquina. Dispositivos embutidos possuem conjuntos de instruções específicos para interagir com componentes especializados da máquina em que estão embutidos. Computadores embutidos tendem a ser mais lentos e baratos do que outros computadores e possuem armazenamento mínimo.
• 4.1.A.5 Dispositivos cotidianos com computadores embutidos são frequentemente chamados de dispositivos Internet das Coisas (IoT). Computadores embutidos são encontrados em transporte (ex.: carros, trens e aviões), dispositivos que operam infraestrutura crítica (ex.: acionamento de disjuntores em subestações elétricas e bombas em estações de tratamento de água), equipamentos médicos (ex.: bombas de soro, ressonâncias magnéticas, marcapassos e bombas de insulina) e dispositivos cotidianos como máquinas de lavar, cafeteiras e termostatos.

Objetivo de Aprendizagem 4.1.B: Identificar o tipo de malware usado em um ciberataque.

• 4.1.B.1 Malware é software malicioso que pode danificar ou destruir um dispositivo ou rede, ou permitir que um adversário acesse um dispositivo e os dados nele contidos.
• 4.1.B.2 O malware é frequentemente usado como ferramenta para cumprir parte do plano de um adversário para atingir seu(s) objetivo(s) final(is). Existem muitos tipos de malware, tais como:
  • Vírus são malware que precisam ser ativados por um usuário executando ou abrindo um arquivo.
  • Worms se espalham de um computador para outro sem interação humana.
  • Cavalos de Troia são malware embutidos em outro software que parece inofensivo. Cavalos de Troia de acesso remoto (RATs) fornecem a um adversário acesso remoto ao sistema-alvo.
  • Ransomware criptografam os arquivos de um dispositivo, impedindo que o usuário acesse os arquivos nele. O ransomware geralmente apresenta ao usuário uma tela exigindo pagamento e prometendo fornecer uma chave de descriptografia para seus arquivos se o usuário pagar dentro de um prazo fixo.
  • Spyware rastreia as ações de um usuário em um computador e envia informações de volta para um adversário.
  • Um keylogger é software ou hardware que registra as teclas digitadas pelo usuário e envia as informações de volta para o adversário. Adversários podem muitas vezes extrair nomes de usuário e senhas dos dados do keylogger.
  • Bombas lógicas são configuradas para ativar seu efeito apenas quando um conjunto específico de condições é atendido; as condições podem incluir tempo e data, tipo ou versão específica do sistema operacional, conjunto de caracteres que o computador está usando, etc.
  • Um rootkit é malware sofisticado que entra no sistema operacional do computador-alvo e pode controlar quase todos os aspectos do sistema, incluindo tornar o próprio rootkit invisível à detecção.
• 4.1.B.3 Embora a maioria dos malware seja um arquivo ou coleção de arquivos, o malware sem arquivo (fileless) é código malicioso que reside na RAM e usa programas legítimos já instalados em um dispositivo para comprometê-lo.

Objetivo de Aprendizagem 4.1.C: Explicar como adversários podem explorar vulnerabilidades comuns de dispositivos para causar perda, dano, interrupção ou destruição.

• 4.1.C.1 Adversários podem desenvolver exploits para vulnerabilidades conhecidas em softwares (incluindo sistemas operacionais). Dispositivos com software não atualizado são vulneráveis a esses exploits, que poderiam permitir que um adversário travasse um sistema, visualizasse ações do usuário, habilitasse ou desabilitasse vários serviços ou componentes no dispositivo (ex.: ligar uma câmera web ou microfone), ou até mesmo assumisse o controle do dispositivo para emitir seus próprios comandos, incluindo comandos para roubar ou destruir informações no dispositivo.
• 4.1.C.2 Adversários podem aproveitar requisitos de autenticação fracos adivinhando a senha de um usuário ou usando engenharia social para fazer com que um usuário revele sua senha.
• 4.1.C.3 Quando sistemas não possuem senha no basic input output system (BIOS) ou unified extensible firmware interface (UEFI), um adversário pode inicializar um computador em um modo especial (ex.: “modo de recuperação”) que lhes confere privilégios de nível superior. Sem proteção BIOS ou UEFI, adversários podem carregar seu próprio sistema operacional em um dispositivo a partir de uma unidade externa e usar ferramentas especializadas para alterar ou criar perfis de usuário, incluindo alterando senhas de usuários.
• 4.1.C.4 Adversários podem carregar malware em uma unidade externa e, se o autorun estiver habilitado, o dispositivo executará o malware quando a unidade externa for inserida.
• 4.1.C.5 Adversários podem aproveitar portas abertas para se conectar a um dispositivo.
• 4.1.C.6 Adversários podem enviar dados maliciosos para dispositivos para interrompê-los ou tentar assumir o controle deles. Dispositivos que não possuem firewall (ou possuem um firewall mal configurado) não conseguem filtrar esses dados maliciosos.
• 4.1.C.7 Adversários frequentemente tentam instalar malware em um dispositivo para interrompê-lo ou controlá-lo. Dispositivos sem software anti-malware são mais vulneráveis a esse tipo de ataque.

Objetivo de Aprendizagem 4.1.D: Avaliar e documentar riscos decorrentes de vulnerabilidades de dispositivos.

• 4.1.D.1 O risco decorrente de vulnerabilidades de dispositivos pode vir de acesso não autorizado ou malware que permitem que um adversário se faça passar por um usuário autorizado, controle remotamente um dispositivo, cripte a unidade de um dispositivo para resgatar os dados, ou apague a memória de um dispositivo, destruindo dados ou tornando o dispositivo inoperante. O nível de risco varia dependendo da criticidade do dispositivo, dos serviços que ele fornece ou dos dados que armazena.
• 4.1.D.2 Alto risco decorrente de vulnerabilidades de dispositivos envolve potencialmente comprometer dados sensíveis ou operações críticas.
  • Exemplos ilustrativos para 4.1.D.2:
    • Uma organização não instalou a atualização mais recente para seu servidor de e-mail, que incluía um patch para uma vulnerabilidade crítica conhecida.
• 4.1.D.3 Risco moderado decorrente de vulnerabilidades de dispositivos pode surgir de requisitos de autenticação fracos ou de vulnerabilidades que seriam menos propensas a serem exploradas.
  • Exemplos ilustrativos para 4.1.D.3:
    • Uma estação de tratamento de água possui sistemas embutidos controlando bombas. As bombas podem ser acessadas remotamente via nome de usuário e senha para gerenciamento remoto da planta, mas os dispositivos não exigem autenticação multifator (MFA).
• 4.1.D.4 Baixo risco decorrente de vulnerabilidades de dispositivos geralmente está relacionado a vulnerabilidades que, se exploradas, teriam pouco impacto.
  • Exemplos ilustrativos para 4.1.D.4:
    • O laptop de um funcionário tem a porta telnet 23 aberta.

Objetivo de Aprendizagem 4.2.A: Explicar por que hashes (também chamados de saídas de hash, checksums, message digests ou digestos) são usados para armazenar senhas.

• 4.2.A.1 Uma função de hash criptográfica (também chamada de função de message digest) é um algoritmo matemático que recebe dados binários de comprimento arbitrário, processa-os de acordo com um conjunto de instruções e produz uma string binária de comprimento fixo chamada hash (ou checksum ou message digest). Hashes criptográficos bem conhecidos incluem:
  • MD5
  • SHA-1, SHA-256, SHA-512 (SHA significa Secure Hash Algorithm)
  • NTHash
  • RIPEMD-160
• 4.2.A.2 Um hash de n bits tem $2^n$ saídas possíveis. O número de entradas é infinito, e portanto inevitavelmente duas entradas diferentes produzirão o mesmo hash. Isso é chamado de colisão.
• 4.2.A.3 Funções de hash criptográficas possuem as seguintes propriedades:
  • Hashes são resistentes a colisões; é difícil encontrar duas entradas diferentes para a mesma função de hash que produzam a mesma saída.
  • Hashes têm resistência à imagem prévia; dado um hash, é inviável descobrir a entrada que o gerou.
  • Hashes são repetíveis; a mesma entrada sempre produzirá o mesmo hash.
  • Hashes têm comprimento fixo; o comprimento em bits do hash para uma função de hash específica é constante, independentemente do tamanho da entrada.
• 4.2.A.4 Adversários tentam comprometer funções de hash forçando colisões em suas saídas. Se existir um algoritmo eficiente para forçar uma colisão para uma função de hash específica, então essa função de hash será descontinuada (não mais usada em ambientes seguros). MD5 e SHA1 são exemplos de funções de hash descontinuadas.
• 4.2.A.5 Os serviços de autenticação baseados em senha não devem armazenar senhas em texto claro, para que, se um adversário tiver acesso ao diretório user:password, ele não saiba imediatamente as senhas de todos os usuários. Em vez disso, as senhas dos usuários devem ser hashadas e o hash armazenado em um banco de dados. Quando um usuário digita sua senha, ela é hashada e o hash é comparado com o hash armazenado no arquivo. Se os hashes coincidirem, o usuário é autenticado.
• 4.2.A.6 Se dois usuários tivessem a mesma senha, seus passwords teriam hashes idênticos no diretório user:password. Para evitar isso, alguns bits aleatórios (chamados de salt) são hashados junto com a senha do usuário para gerar o hash. O salt de cada usuário é único, então, mesmo que dois usuários tenham a mesma senha, eles terão um hash de senha diferente porque possuem salts diferentes.

Objetivo de Aprendizagem 4.2.B: Explicar como ataques de senha exploram vulnerabilidades.

• 4.2.B.1 Se um adversário puder comprometer a senha de um usuário legítimo, e a organização desse usuário não tiver ativado MFA ou outras proteções de autenticação, então o adversário pode agir dentro daquela organização com todo o acesso e direitos disponíveis para o usuário.
• 4.2.B.2 Ataques de senha podem ser classificados como online ou offline.
  • Ataques de senha online tentam combinações de user:password em um portal de autenticação ativo.
  • Ataques de senha offline capturaram um banco de dados de user:password e podem executar ataques de senha contra o banco de dados em seu próprio computador. Este método contorna qualquer proteção de bloqueio de conta que possa estar em vigor.
• 4.2.B.3 Muitos usuários reutilizam as mesmas senhas (ou variações da mesma senha) para todos os serviços e contas que possuem, apesar dos avisos para não fazê-lo. Quando o banco de dados de usuários de uma organização é roubado, os nomes de usuário, e-mails e senhas são vendidos a adversários ou postados na internet. Adversários frequentemente começam a tentativa de comprometer uma conta tentando credenciais roubadas ou vazadas para um indivíduo-alvo.
• 4.2.B.4 Muitos usuários definem senhas fáceis de adivinhar, e adversários tentarão adivinhar senhas comuns para a conta de um usuário. A pulverização de senhas (Password spraying) é um ataque em que um adversário tenta uma senha comum contra muitas contas de usuários diferentes.
• 4.2.B.5 Alguns serviços e dispositivos (ex.: switches, roteadores e dispositivos IoT) são pré-configurados com um usuário administrativo padrão e senha. O preenchimento de credenciais (Credential stuffing) é um ataque em que um adversário tenta acessar esses serviços ou dispositivos usando credenciais padrão comuns ou credenciais de conta que foram roubadas.
• 4.2.B.6 Ataques de senha offline usam ferramentas automatizadas de quebra de hash para hashear senhas possíveis e compará-las com um hash capturado. Embora os hashes não possam ser revertidos, um adversário pode usar essas ferramentas para hashear muitas senhas potenciais e compará-las com o hash-alvo. Se um adversário encontrar um hash que coincida, ele poderá usar a senha que gerou o hash para fazer login na conta do usuário. Ataques offline incluem:
  • Ataques de força bruta, onde um adversário usa uma ferramenta automatizada para testar todas as senhas potenciais que um usuário poderia ter
  • Ataques de dicionário, onde um adversário usa uma ferramenta automatizada para testar uma lista de senhas comuns
• 4.2.B.7 Um ataque de tabela arco-íris usa uma lista de senhas comuns para gerar uma tabela arco-íris. Uma tabela arco-íris é uma tabela que contém cada senha potencial e seu hash. A tabela é então ordenada pelos hashes, e o adversário usa uma ferramenta automatizada para pesquisar a lista de hashes em busca do hash capturado. Se os hashes coincidirem, então o adversário encontrou uma senha que gera o mesmo hash, e a senha permitirá que o adversário faça login na conta do usuário.

Objetivo de Aprendizagem 4.2.C: Determinar o tipo de autenticação usado para verificar a identidade de um usuário.

• 4.2.C.1 Mecanismos de autenticação são controles técnicos que verificam a identidade de um usuário para garantir que apenas usuários autorizados acessem um sistema. A prova que o usuário fornece para se identificar é chamada de fator. Fatores de autenticação comuns incluem:
  • Algo que o usuário sabe (fator de conhecimento)
  • Algo que o usuário tem (fator de posse)
  • Algo que o usuário é (fator biométrico)
  • Onde o usuário está (fator de localização)
• 4.2.C.2 Fatores de conhecimento podem ser senhas, PINs ou respostas a perguntas de desafio pré-selecionadas. Para que um fator de conhecimento seja eficaz, ele precisa ser algo que um adversário não possa adivinhar facilmente; no entanto, fatores de conhecimento que são difíceis para um adversário descobrir também podem ser mais difíceis para um usuário lembrar.
• 4.2.C.3 Um fator de posse é um objeto que o usuário possui e que é exclusivo dele, como um cartão de acesso, um cartão bancário, um celular ou um token de autenticação. Quanto mais difícil for para um adversário obter o objeto (ou uma cópia dele), mais seguro é o fator de posse.
• 4.2.C.4 Fatores biométricos medem características do corpo humano e podem incluir impressões digitais, impressões de palma, reconhecimento facial, exames de íris ou retina, ou identificação por voz. Fatores biométricos são difíceis para um adversário duplicar porque são exclusivos de um indivíduo.
• 4.2.C.5 Fatores de localização usam informações sobre sinais Wi-Fi, dados GPS, configurações de fuso horário e até mesmo informações de endereço IP para tomar decisões sobre a localização. Regras podem ser estabelecidas para permitir ou negar acesso com base em um fator de localização.
• 4.2.C.6 Autenticação multifatorial (MFA) ocorre quando um sistema utiliza mais de um fator para autenticar um usuário. A MFA é mais segura do que a autenticação de fator único porque requer que o usuário forneça pelo menos dois fatores de autenticação separados.

Objetivo de Aprendizagem 4.2.D: Configurar definições de login para tornar um dispositivo mais seguro.

• 4.2.D.1 Exigir complexidade em senhas é uma configuração de login que pode ser configurada. Quando ativado, os usuários ao definir uma nova senha devem incluir pelo menos um caractere de cada conjunto de caracteres. Senhas com caracteres de cada conjunto de caracteres são significativamente mais difíceis para um adversário quebrar do que senhas que usam caracteres de apenas um ou dois conjuntos de caracteres. Os principais conjuntos de caracteres geralmente exigidos são:
  • Letras maiúsculas (A–Z)
  • Letras minúsculas (a–z)
  • Dígitos numéricos (0–9)
  • Caracteres especiais (!”#$%&’()*+,-./:;<=>?@ [ \ ] ^_`{|}~)
• 4.2.D.2 Exigir um comprimento mínimo de senha é uma configuração de login que pode ser configurada. Isso significa que os usuários devem ter pelo menos um certo número de caracteres em sua senha. Quanto maior e mais complexa for uma senha, mais tempo levará para uma ferramenta digital quebrar a senha.
• 4.2.D.3 Exigir uma idade máxima de senha é uma configuração de login que pode ser configurada. Quando configurado, os usuários receberão um prompt para alterar sua senha após um determinado número de dias desde a última alteração de senha, geralmente a cada 90 ou 120 dias. Se a senha de um usuário foi comprometida, alterá-la pode impedir que um adversário obtenha acesso à conta do usuário. No entanto, algumas normas nacionais recomendam que organizações não exijam que usuários alterem suas senhas em intervalos predefinidos para desencorajar o desenvolvimento de padrões de senha pelos usuários (ex.: PasswordFall2028).
• 4.2.D.4 Exigir que o sistema armazene um determinado número de senhas anteriores de usuário é uma configuração de login que pode ser configurada. Isso impede que um usuário reutilize uma senha. Muitas organizações armazenam os hashes das 5–10 senhas anteriores dos usuários para evitar reutilização.
• 4.2.D.5 Exigir um período de bloqueio após um determinado número de tentativas de login inválidas é uma configuração de login que pode ser configurada. Isso impede que um adversário tente continuamente senhas erradas aleatoriamente. Muitas organizações bloqueiam a conta de um usuário após 3–5 tentativas de login inválidas. O período de bloqueio varia.

Objetivo de Aprendizagem 4.3.A: Identificar controles gerenciais relacionados à segurança de dispositivos.

• 4.3.A.1 Uma política de uso aceitável descreverá a gama de atividades que são permitidas, proibidas ou obrigatórias para usuários em dispositivos pertencentes a uma organização e pode incluir:
  • Proibir usuários de acessar sites específicos ou tipos de sites (ex.: redes sociais ou jogos)
  • Exigir que usuários mantenham o software atualizado
  • Permitir que usuários conectem dispositivos periféricos
  • Proibir usuários de conectar unidades externas ou mídias
• 4.3.A.2 Uma política de senhas detalhará os requisitos para senhas de usuários dentro de uma organização e pode incluir:
  • Um comprimento mínimo ou máximo de senha
  • Um período mínimo ou máximo que um usuário pode manter a mesma senha
  • Uma proibição de reutilização de senha
  • Regras para construção de senha (ex.: nenhuma palavra de dicionário e requisitos de conjunto de caracteres)
  • Uma sugestão para usar ferramentas seguras de gerenciamento de senhas em vez de anotar senhas
• 4.3.A.3 Uma política de instalação de software descreverá o que (se houver) software os usuários têm permissão para instalar em seus dispositivos e geralmente também inclui um processo para que usuários solicitem software especializado que possam precisar para desempenhar seu papel, e pode incluir:
  • Uma proibição contra usuários instalarem software em seus dispositivos
  • Um processo para usuários solicitarem novo software necessário para seu papel
  • Uma lista de software aprovado para usuários

Objetivo de Aprendizagem 4.3.B: Explicar como o software anti-malware pode tornar um dispositivo mais seguro.

• 4.3.B.1 Software anti-malware (às vezes chamado de software antivírus) possui ferramentas para isolar e remover malware que pode corromper, espionar ou destruir um sistema. O malware contém indicadores que o tornam detectável; esses indicadores são chamados de assinaturas.
• 4.3.B.2 Software anti-malware possui um banco de dados de assinaturas de malware. Ele escaneia periodicamente os arquivos de um dispositivo e verifica se algum dos arquivos corresponde a alguma das assinaturas em seu banco de dados. Se houver correspondência, o software isola e remove os arquivos maliciosos.

Objetivo de Aprendizagem 4.3.C: Explicar por que manter o sistema operacional e o software de um dispositivo atualizados torna-o mais seguro.

• 4.3.C.1 Quando vulnerabilidades em sistemas operacionais e softwares são encontradas, o fornecedor ou a organização que mantém o software do sistema operacional o corrigirá e enviará uma atualização. Uma pequena atualização é chamada de patch (correção/ajuste).
• 4.3.C.2 Garantir que o sistema operacional e os aplicativos de software de um computador estejam atualizados para a versão mais recente impede que adversários aproveitem-se de uma vulnerabilidade conhecida.

Objetivo de Aprendizagem 4.3.D: Configurar um firewall baseado em host.

• 4.3.D.1 Firewalls baseados em host permitem ou bloqueiam tráfego entrante ou saiente de um único dispositivo. Isso fornece uma camada extra de segurança no caso de um host estar conectado a uma rede comprometida.
• 4.3.D.2 Um firewall baseado em host é um software que executa em um dispositivo e segue um conjunto de regras (uma ACL) como um firewall baseado em rede. As regras do firewall são implementadas em ordem, aplicando a primeira regra que corresponder.
• 4.3.D.3 Um firewall baseado em host também pode bloquear tipos específicos de tráfego saiente. Os firewalls baseados em host devem sempre bloquear portas ou serviços que não sejam necessários para um dispositivo específico.
  • Exemplos ilustrativos para 4.3.D.3:
    • Um firewall baseado em host é configurado para bloquear o tráfego FTP saiente. Isso impede que um adversário com acesso remoto ao host use o FTP para exfiltrar um arquivo para o servidor do adversário.
• 4.3.D.4 As regras de um firewall baseado em host podem permitir ou bloquear tráfego com base na porta de origem ou destino, endereço IP, serviço, protocolo ou aplicativo.

Objetivo de Aprendizagem 4.4.A: Explicar como detectar ataques contra dispositivos.

• 4.4.A.1 Processos e configurações do sistema, tentativas de login, tentativas de download de arquivos e ações do usuário são registrados por sistemas computacionais. Esses logs podem ser usados para reconstruir as circunstâncias que antecederam e ocorreram durante um incidente cibernético.
• 4.4.A.2 Um indicador de comprometimento (IoC) é evidência de que um adversário comprometeu um dispositivo ou rede.
• 4.4.A.3 Logs de autenticação (ou auth logs) registram toda tentativa de login em um sistema. A análise de logs de autenticação pode revelar tentativas de ataque.
• 4.4.A.4 IoCs baseados em host são descobertos ao analisar logs e configurações do sistema. Indicadores, como os seguintes, podem ser encontrados em logs de autenticação, logs de atividade do usuário e arquivos de configuração do sistema:
  • Arquivos incomuns sendo criados ou modificados
  • Processos ou serviços inesperados
  • Alterações não autorizadas nas configurações do sistema
  • Instalação ou atualização de software não autorizada
• 4.4.A.5 IoCs baseados em arquivos são descobertos ao analisar arquivos em um dispositivo. Os indicadores geralmente são encontrados em arquivos executáveis e podem incluir:
  • Arquivos cujo hash corresponde a malware conhecido
  • Nomes de arquivos conhecidos por serem criados por um determinado malware
  • Caminhos de arquivos associados a atividades maliciosas
• 4.4.A.6 IoCs baseados em comportamento são descobertos ao analisar logs. Os indicadores podem ser encontrados em logs de autenticação e logs de acesso e podem incluir:
  • Múltiplas tentativas de login falhadas
  • Horários ou locais de login incomuns
  • Tentativas não autorizadas de acessar dados sensíveis
  • Tentativas de elevar privilégios de usuário em um sistema

Objetivo de Aprendizagem 4.4.B: Determinar controles para detectar ataques contra um dispositivo.

• 4.4.B.1 O desempenho é um critério para determinar um método de detecção. Ferramentas de detecção usam memória do sistema e poder de processamento e podem impactar o desempenho de um dispositivo. Ferramentas de detecção baseadas em anomalias usam mais recursos do sistema do que ferramentas baseadas em assinaturas. A detecção baseada em assinatura é uma melhor opção para dispositivos com recursos de sistema menos potentes. Muitos dispositivos embutidos não possuem recursos de sistema suficientes para executar qualquer ferramenta de detecção no dispositivo.
• 4.4.B.2 O custo é um critério para determinar um método de detecção. Organizações que compram software de detecção precisam considerar o custo de comprar licenças de software suficientes para o número de dispositivos que precisam monitorar. Algumas organizações compram um serviço de detecção e resposta em endpoint (EDR) de um fornecedor terceirizado. Embora esses serviços sejam caros, eles oferecem uma abordagem holística e unificada para a detecção de ameaças dos dispositivos da organização; eles tipicamente incluem uma plataforma centralizada de alertas para monitorar possíveis ataques aos dispositivos.
• 4.4.B.3 A sensibilidade ou criticidade do dispositivo é um critério para determinar um método de detecção. Dispositivos que armazenam ou processam informações sensíveis ou fornecem serviços críticos são mais propensos a serem alvo de adversários e se beneficiam de um modelo de detecção híbrido para oferecer proteção máxima, quando possível.

Objetivo de Aprendizagem 4.4.C: Avaliar o impacto de um método de detecção de dispositivo.

• 4.4.C.1 Velocidade e desempenho são fatores na avaliação do impacto de um método de detecção. A detecção baseada em assinatura é mais rápida do que a detecção baseada em anomalias em geral, e esse efeito é amplificado em dispositivos, que frequentemente carecem de poder de processamento para executar efetivamente ferramentas de detecção baseadas em anomalias. Implementar ferramentas de detecção intensivas em recursos em dispositivos pode degradar o desempenho do dispositivo.
• 4.4.C.2 A fase do ataque é um fator na avaliação do impacto de um método de detecção. Para realizar ações em um dispositivo, os adversários devem primeiro contornar uma combinação de controles de segurança físicos ou de camada de rede protetores, dissuasores e detetivos. Detectar e parar um ataque no nível do dispositivo pode impedir que adversários acessem dados sensíveis ou interrompam serviços críticos.
• 4.4.C.3 Falsos positivos versus facilidade de contorno da detecção é um fator na avaliação do impacto de um método de detecção. A maioria das ferramentas de detecção no nível do dispositivo é baseada em assinatura, e a detecção baseada em assinatura tem uma baixa taxa de falsos positivos. No entanto, a detecção baseada em assinatura é mais fácil para os adversários contornarem.

Objetivo de Aprendizagem 4.4.D: Aplicar técnicas de detecção para identificar indicadores de ataques de senha analisando arquivos de log.

• 4.4.D.1 Ataques online de senha podem ser detectados em logs de autenticação. Um único usuário tentando muitas senhas erradas é um indicador de um ataque online de senha. Se um banco de dados de hashes de usuário:senha foi comprometido, todas as senhas de usuário no banco de dados devem ser consideradas inseguras e todos os usuários devem ser forçados a redefinir suas senhas.
• 4.4.D.2 Se um usuário autorizado está fazendo login de um local diferente ou endereço IP do esperado, ou em um horário diferente do normal, isso pode ser um indicador de que a senha do usuário foi comprometida.
• 4.4.D.3 Um indicador de password spraying são muitos usuários tentando fazer login dentro de segundos uns dos outros de um único endereço IP ou de endereços IP incomuns.
• 4.4.D.4 Um indicador de credential stuffing é uma série de combinações padrão de usuário:senha sendo tentadas em um dispositivo em rápida sucessão, muitas vezes do mesmo endereço IP.
• 4.4.D.5 Ataques offline de senha não podem ser detectados, porque o ataque ocorre no computador do adversário.

Objetivo de Aprendizagem 5.1.A: Explicar como adversários podem explorar vulnerabilidades de aplicativos e arquivos para causar perda, danos, interrupção ou destruição.

• 5.1.A.1 Um adversário pode ler quaisquer arquivos não criptografizados se tiver acesso ao dispositivo ou drive que armazena os arquivos.
• 5.1.A.2 Computadores têm usuários padrão e usuários administrativos. Usuários administrativos têm acesso para controlar configurações do sistema e podem normalmente acessar qualquer arquivo ou aplicativo em um sistema. Se usuários regulares forem concedidos privilégios administrativos em um computador, e um adversário puder comprometer a conta de um usuário, então o adversário terá privilégios elevados no sistema.
• 5.1.A.3 Quando as configurações de controle de acesso são fracas, muitos usuários frequentemente têm permissão para visualizar e às vezes até editar arquivos em um sistema. Adversários podem aproveitar configurações fracas de controle de acesso para roubar ou destruir arquivos ou interromper um aplicativo.

Objetivo de Aprendizagem 5.1.B: Explicar como ataques de aplicativo exploram vulnerabilidades.

• 5.1.B.1 Aplicativos são programas que executam instruções em computadores; são dados executáveis. Alguns aplicativos rocam localmente no computador do usuário, enquanto outros aplicativos, como aplicativos web, rocam em um servidor e são acessados por usuários através de uma rede.
• 5.1.B.2 Muitos aplicativos aceitam entrada de usuário através de campos de entrada abertos onde usuários podem digitar caracteres (ex.: letras, números, pontuação). Desenvolvedores devem incluir verificações de entrada de usuário em seu aplicativo, como entrada numérica quando solicitado um número de itens, para garantir que a entrada do usuário corresponda ao que é esperado; o aplicativo deve rejeitar entradas fora dos parâmetros esperados. Esse processo de verificar se a entrada do usuário atende aos critérios esperados antes de processá-la é chamado de validação de dados. Aplicativos que falham em validar a entrada do usuário são vulneráveis a ataques do tipo injeção, onde adversários inserem strings de caracteres inesperadas em campos de entrada para alterar o comportamento de um programa.
• 5.1.B.3 Linguagem SQL (Structured Query Language) é uma linguagem de computador usada para solicitar informações de bancos de dados e fazer alterações em bancos de dados ou entradas em bancos de dados. Aplicativos que consultam um banco de dados usando entrada não validada ou não limpa dos usuários são vulneráveis.
• 5.1.B.4 Um ataque de injeção SQL coloca comandos SQL e caracteres de controle em um campo de entrada de usuário em um aplicativo, o que pode levar a uma violação de confidencialidade causando o retorno de mais informações do que deveria, ou uma violação de integridade modificando ou excluindo dados no banco de dados.
• 5.1.B.5 Sites são escritos usando HTML (Hypertext Markup Language), e muitos sites usam Javascript para criar conteúdo dinâmico em sites ou aplicativos web. Como os comandos Javascript rocam no navegador do usuário que visita o site, esses comandos podem acessar dados sensíveis armazenados no navegador como nomes de usuário, senhas e chaves criptográficas.
• 5.1.B.6 Um ataque XSS (Cross Site Scripting) injeta código malicioso em um site que o navegador do usuário então executa. O código malicioso pode ser embutido em um link que o usuário clica (um ataque XSS Tipo I ou Refletido) ou pode ser inserido em um site através de um campo de comentário, post de fórum ou log de visitante, o que afetaria qualquer usuário visitando aquele site (um ataque XSS Tipo II ou Armazenado).
• 5.1.B.7 Quando aplicativos aceitam entrada de usuário, essa entrada é escrita em um buffer. Um buffer é uma seção designada de memória do computador com tamanho fixo. Se a quantidade de dados que o usuário entra excede o tamanho do buffer, ela pode transbordar para locais de memória adjacentes e sobrescrever outras partes da memória do computador.
• 5.1.B.8 Um ataque de overflow de buffer envia mais dados para a memória do que foi alocado, o que pode causar um travamento do sistema ou a execução de código fora do escopo da política de segurança de um programa, permitindo efetivamente que o adversário realize ações não autorizadas em um computador, como acessar, modificar ou excluir arquivos.
• 5.1.B.9 Os arquivos que executam aplicações web são armazenados em diretórios em servidores. Quando usuários acessam aplicações web, seus navegadores enviam solicitações GET usando o protocolo de transferência de hipertexto (HTTP). Uma solicitação GET acessa um arquivo em qualquer lugar no sistema de arquivos do servidor.
• 5.1.B.10 Em um ataque de travessia de diretório, adversários modificam URLs e solicitações GET para tentar acessar dados sensíveis (p. ex., nomes de usuário e senhas) no sistema de arquivos de um servidor.
  • Exemplos ilustrativos para 5.1.B.10:
    • Um servidor web armazena imagens para um site que ele hospeda no diretório /var/www/images/. Um adversário modifica uma URL solicitando uma imagem para ../../../etc/passwd. O .. move um diretório acima no sistema de arquivos; assim, os três .. consecutivos retornam o caminho para a raiz, e a partir daí o adversário está tentando acessar o arquivo passwd que retornaria uma lista de todos os usernames autorizados no dispositivo.

Objetivo de Aprendizagem 5.1.C: Avaliar e documentar riscos decorrentes de vulnerabilidades de aplicativos e dados.

• 5.1.C.1 Riscos de segurança de dados podem envolver a violação da confidencialidade quando pessoas não autorizadas podem acessar dados sensíveis, integridade quando os dados podem ser manipulados ou alterados em relação ao seu estado pretendido, e disponibilidade quando os dados podem ser destruídos ou criptografados para impedir que outros os acessem.
• 5.1.C.2 Riscos elevados decorrentes de vulnerabilidades de dados frequentemente envolvem dados altamente sensíveis (p. ex., dados regidos por leis ou regulamentos) que poderiam ser comprometidos através de uma exploração altamente provável.
  • Exemplos ilustrativos para 5.1.C.2:
    • A empresa desenvolvendo o próximo motor a jato que será usado pela Força Aérea em seus aviões está armazenando as especificações técnicas do motor em uma unidade sem criptografia.
• 5.1.C.3 Riscos moderados decorrentes de vulnerabilidades de dados frequentemente envolvem dados sensíveis que não possuem criptografia forte ou controles de acesso estritos o suficiente.
  • Exemplos ilustrativos para 5.1.C.3:
    • Uma empresa armazena os PII (Informações Pessoais Identificáveis) de seus clientes em uma planilha, e a planilha é criptografada usando uma chave pequena.
• 5.1.C.4 Riscos baixos decorrentes de vulnerabilidades de dados frequentemente envolvem informações menos sensíveis sendo criptografadas com chaves menores ou tendo controles de acesso que não são estritos o suficiente.
  • Exemplos ilustrativos para 5.1.C.4:
    • O CEO de uma organização armazena seus memos privados para sua equipe executiva em uma pasta compartilhada da empresa que é descriptografada e não possui controles de acesso.

Objetivo de Aprendizagem 5.2.A: Explicar como o estado ou a classificação de dados impacta o tipo e o grau de segurança aplicado a esses dados.

• 5.2.A.1 Organizações implementam controles de segurança específicos para cumprir requisitos legais baseados nos tipos de dados que coletam, armazenam, processam e transmitem.
• 5.2.A.2 Os dados podem ser classificados por seu estado.
  • Dados em repouso estão armazenados em um disco. É importante proteger o disco físico que armazena os dados contra destruição ou roubo. Dados em repouso também podem ser criptografados para que, se um adversário os roubar, ele não possa ler imediatamente os dados.
  • Dados em trânsito estão sendo enviados de um dispositivo para outro. Se os dados estiverem sendo transferidos por meio de mídia física (p. ex., cabos), é importante proteger a mídia. Dados em trânsito também podem ser criptografados para que, se um adversário interceptá-los, ele não possa ler imediatamente os dados.
  • Dados em uso estão sendo processados por software ou uma pessoa. Controles de acesso podem ser usados para limitar quem ou o quê tem a capacidade de usar dados de diferentes maneiras (p. ex., visualizar ou editar). Os dados devem estar descriptografados para serem usados.
• 5.2.A.3 As organizações frequentemente categorizam dados de acordo com sua sensibilidade e priorizam um maior grau de segurança para informações mais sensíveis.
• 5.2.A.4 Leis e regulamentos podem exigir que certos tipos de dados sejam armazenados, transmitidos e manuseados de acordo com regras específicas.
  • Informações pessoais identificáveis (PII) são quaisquer dados que permitem que alguém seja identificado e incluem (mas não se limitam a): nome, assinatura, número de telefone, endereço, dados biométricos (p. ex., impressões digitais), número de seguro social, data de nascimento e endereço de e-mail. A proteção desses dados é coberta por muitas leis, mas mais notavelmente pelo Privacy Act de 1974 e, para crianças abaixo dos 13 anos, pelo Children’s Online Privacy Protection Act de 1998.
  • Informações de saúde protegidas (PHI) são quaisquer dados relacionados à saúde, tratamento, pagamento por cuidados de saúde a qualquer momento e incluem (mas não se limitam a): resultados de exames, registros de tratamento, registros hospitalares, anotações de consulta médica e registros de pagamento de provedores de saúde. A proteção do PHI está incluída na Health Insurance Portability and Accountability Act de 1996.
  • Informações de cartão de pagamento (PCI) são os dados coletados por organizações para processar pagamentos via cartões (p. ex., cartões de crédito) e incluem os seguintes: nome, número da conta, data de vencimento, endereço e código CVV. A proteção desses dados é regulamentada pelo Payment Card Industry Data Security Standard (PCI-DSS).
• 5.2.A.5 Organizações que coletam dados regulamentados os rotularão e terão políticas que cumprem os requisitos legais ou regulatórios para o armazenamento seguro, transmissão e manuseio desses dados.

Objetivo de Aprendizagem 5.2.B: Identificar controles gerenciais relacionados à segurança de aplicativos e dados.

• 5.2.B.1 Uma política de criptografia descreverá os protocolos de criptografia e parâmetros de chave aceitáveis para uma organização e pode incluir:
  • Uma lista de algoritmos de criptografia aprovados para usos específicos
  • Comprimentos mínimos ou máximos de chave
  • Requisitos e parâmetros de geração de chaves criptográficas
  • Requisitos de armazenamento de chaves criptográficas
• 5.2.B.2 Uma política de segurança de aplicativo web delineará os requisitos e parâmetros para testar e mitigar vulnerabilidades de aplicativos web em uma organização, e pode incluir:
  • Parâmetros sobre quando um aplicativo está sujeito a uma avaliação de segurança
  • Prazos para remediação de vulnerabilidades com base no nível de risco
  • Parâmetros sobre como uma avaliação de segurança de aplicativo deve ser realizada (p. ex., usando ferramentas específicas ou de acordo com frameworks específicos)

Objetivo de Aprendizagem 5.2.C: Determinar um modelo de controle de acesso apropriado para proteger aplicativos e dados.

• 5.2.C.1 O controle de acesso impõe quais usuários ou aplicativos (chamados sujeitos) podem acessar, modificar, adicionar ou remover (chamadas operações) quais arquivos ou aplicativos (chamados objetos). Os modelos de controle de acesso descrevem como determinar quais subjects têm que tipo de acesso a quais objetos.
• 5.2.C.2 O controle de acesso baseado em funções (RBAC) atribui cada subject a uma função e define quais funções têm que tipo de acesso a quais objetos.
  • Exemplos ilustrativos para 5.2.C.2:
    • Um exemplo de uma função em uma empresa pode ser "contador", e um tipo de objeto pode ser o software de folha de pagamento. O controle de acesso baseado em funções pode ser usado para garantir que apenas subjects atribuídos à função de "contador" tenham acesso ao objeto de software de folha de pagamento.
• 5.2.C.3 O controle de acesso baseado em regras (RuBAC) verifica um conjunto de regras para determinar que tipo de acesso um subject deve ter para um objeto específico e, em seguida, permite ou nega tipos de acesso com base nas regras. Este modelo de controle de acesso geralmente é camado sobre outro modelo de controle de acesso.
  • Exemplos ilustrativos para 5.2.C.3:
    • Existe uma regra que proíbe subjects (mesmo aqueles que normalmente teriam acesso) de acessar um determinado banco de dados (o objeto) fora do horário comercial local. Quando um subject tenta acessar o banco de dados, mesmo que esteja autorizado a acessá-lo, ele será negado o acesso se for fora do tempo designado pela regra.
• 5.2.C.4 O controle de acesso discricionário (DAC) dá aos subjects individuais a capacidade de definir o tipo de acesso que outros subjects têm em objetos que eles possuem. Nos modelos DAC, alguns subjects são designados como administradores ou superusuários, e eles têm a capacidade de sobrescrever os controles de acesso estabelecidos por outros subjects.
  • Exemplos ilustrativos para 5.2.C.4:
    • Bob cria um arquivo (um objeto) e decide dar a Alice permissão para editar o arquivo, dar a Frank permissão para visualizar o arquivo apenas, e negar a todos os demais acesso ao arquivo completamente.
• 5.2.C.5 O controle de acesso obrigatório (MAC) segue regras estritas sobre que tipos de acesso cada nível de subject tem para objetos que estão acima, no mesmo nível ou abaixo de seu nível. Os níveis de subject e objeto são atribuídos por um administrador externo.
• 5.2.C.6 O modelo Bell-LaPadula é um modelo MAC que é frequentemente usado por governos e organizações militares para controlar a segurança das informações. Este modelo tem as seguintes duas propriedades importantes:
  • i. A Propriedade de Segurança Simples afirma que subjects não podem ler objetos que estão acima de seu nível.
  • ii. A Propriedade de Segurança * (Estrela) afirma que subjects não podem escrever em objetos abaixo de seu nível.
  • Essas regras tomadas em conjunto são frequentemente resumidas como "escreva cima, leia baixo" (WURD).
• 5.2.C.7 O princípio do menor privilégio é a ideia de que entidades devem receber exatamente tanto acesso quanto precisam para realizar sua função e nada mais.

Objetivo de Aprendizagem 5.2.D: Configurar configurações de controle de acesso em um sistema baseado em Linux.

• 5.2.D.1 Autorização é quando uma entidade é concedida permissão para ter um certo tipo de acesso a um recurso. Os controles de acesso são implantados para controlar quais usuários têm que tipos de acesso a quais dados.
• 5.2.D.2 Existem três tipos de acesso a um arquivo no Linux que podem ser definidos, e eles sempre vêm na seguinte ordem:
  • i. O acesso de leitura permite a um usuário visualizar o conteúdo de um arquivo.
  • ii. O acesso de escrita permite a um usuário fazer alterações em um arquivo.
  • iii. O acesso de execução permite a um usuário executar um arquivo binário, como um programa.
  • Eles são abreviados rwx, respectivamente. Se um usuário tiver apenas permissões de leitura e execução (não de escrita), isso seria exibido como r-x. O símbolo - indica a ausência dessa permissão.
• 5.2.D.3 Existem três entidades padrão para as quais as permissões são definidas e sempre nesta ordem: (1) o proprietário do arquivo, (2) o grupo do arquivo e (3) todos os outros usuários. Os três conjuntos são exibidos sem espaços (p. ex., rwxrwxrwx).
• 5.2.D.4 Para visualizar as configurações de permissão atuais de um arquivo, use o comando ls -l, que mostrará as configurações atuais para as entidades padrão. Se houver um símbolo + no final das permissões, isso significa que outras permissões foram definidas para esse arquivo e podem ser visualizadas com o comando getfacl.
• 5.2.D.5 Para modificar as configurações de permissão de um arquivo, use o comando chmod. Este comando pode ser usado com o método numérico ou o método simbólico.
• 5.2.D.6 Para usar chmod no método numérico, a sintaxe é chmod ### filename. Cada um dos três ### representa uma das três entidades mencionadas acima (o proprietário, o grupo, outros usuários não pertencentes ao grupo).
  • O primeiro # = o proprietário
  • O segundo # = o grupo
  • O terceiro # = outros usuários não do grupo
  • A permissão para cada entidade é determinada somando-se os valores dos tipos de acesso a serem concedidos:
  • 0 = sem permissões
  • 1 = executar
  • 2 = escrever
  • 4 = ler
  • Portanto, 3 define permissão para escrever e executar, 5 define permissão para ler e executar, 6 define permissão para ler e escrever, e 7 define permissão para ler, escrever e executar.
  • Exemplos ilustrativos para 5.2.D.6:
    • O comando chmod 750 test definiria as permissões para o proprietário como leitura, gravação e execução, para o grupo como leitura e execução, e para todos os outros como nenhum acesso.
    • O comando chmod 543 test definiria as permissões para o proprietário como leitura e execução, para o grupo apenas leitura, e para todos os outros como gravação e execução.
    • O comando chmod 777 test definiria as permissões para todas as três entidades como leitura, gravação e execução para o arquivo test.
• 5.2.D.7 Para usar chmod no método simbólico, a sintaxe é chmod entity +(or –) permission filename. As entidades são o proprietário do usuário, o grupo e outros usuários não pertencentes ao grupo. Cada entidade é representada por uma única letra.
  • u = usuário proprietário
  • g = grupo
  • o = outros
  • a = todos
  • A permissão pode ser adicionada ou removida a qualquer combinação de entidades.
  • • = adicionar a permissão
  • – = remover a permissão
  • As permissões que podem ser definidas são ler, escrever e executar.
  • r = ler
  • w = escrever
  • x = executar
  • Entidades e permissões podem ser combinadas em um único comando. Para adicionar as permissões de leitura e execução para o grupo e proprietário do usuário para um arquivo chamado testfile, o comando seria chmod ug+rx testfile.

Objetivo de Aprendizagem 5.3.A: Explicar como a criptografia pode ser usada para proteger arquivos.

• 5.3.A.1 O propósito da criptografia é ocultar informações. Um algoritmo criptográfico define um processo para criptografar e descriptografar informações. Criptografia é o processo de ocultar a informação, e descriptografia é o processo de reverter a criptografia para recuperar a informação original.
• 5.3.A.2 Um algoritmo de criptografia define um processo para combinar a informação a ser criptografada com uma chave predefinida. A informação a ser criptografada é chamada de texto claro. A saída do algoritmo de criptografia é chamada de texto cifrado.
• 5.3.A.3 O número de chaves possíveis que podem ser usadas em um algoritmo de criptografia é chamado de espaço de chaves. Quanto maior o espaço de chaves, mais tempo levará para um adversário descobrir a chave correta por acaso aleatório.
• 5.3.A.4 Algoritmos criptográficos são classificados quanto ao uso de uma chave ou duas chaves.
  • Algoritmos de criptografia simétrica usam a mesma chave para criptografar e descriptografar informações.
  • Algoritmos de criptografia assimétrica usam duas chaves diferentes — uma para criptografar informações e a outra para descriptografar informações.
• 5.3.A.5 Algoritmos criptográficos também são classificados quanto ao processamento de informações bit a bit ou em blocos de tamanho fixo de bits.
  • A criptografia em bloco lida com informações em blocos de tamanho fixo chamados blocos, produzindo um bloco de saída para cada bloco de entrada.
  • A criptografia em fluxo lida continuamente com informações de entrada, produzindo saída elemento por elemento.

Objetivo de Aprendizagem 5.3.B: Aplicar algoritmos de criptografia simétrica para criptografar e descriptografar dados.

• 5.3.B.1 Algoritmos de criptografia baseados em computador operam sobre dados binários. O algoritmo de criptografia simétrica mais comum é o Advanced Encryption Standard (AES). A criptografia AES é usada para proteger transmissões Wi-Fi, navegação na internet, criptografia de arquivos em discos e criptografia em nível de hardware em processadores.
• 5.3.B.2 O AES é um cipher em bloco de chave simétrica que criptografa dados em blocos de 128 bits (16 bytes). O AES pode operar com chaves de comprimentos variáveis. Chaves mais longas produzem criptografia mais segura, mas exigem mais tempo para criptografar e descriptografar.
• 5.3.B.3 A criptografia e descriptografia simétricas podem ser realizadas usando linha de comando, software especializado ou ferramentas web.
  • Em uma interface de linha de comando, usuários podem criptografar ou descriptografar com OpenSSL.
  • Software especializado como o AES Crypt é uma ferramenta de código aberto que pode criptografar e descriptografar arquivos.
  • Existem muitas ferramentas web para criptografar e descriptografar arquivos.
• 5.3.B.4 Usando o OpenSSL em uma CLI, um usuário pode criptografar e descriptografar um arquivo usando os seguintes comandos (note que a chave de criptografia é derivada da senha fornecida):
  • Para criptografar um arquivo chamado test usando AES com uma chave de 128 bits, use o comando: openssl enc -aes-128-cbc -e -in test -k password -out test.enc
  • Para descriptografar o arquivo criptografado usando a mesma chave, use o comando: openssl enc -aes-128-cbc -d -in test.enc -k password -out text

Objetivo de Aprendizagem 5.4.A: Determinar a chave assimétrica adequada a ser usada ao enviar ou receber dados criptografados.

• 5.4.A.1 A criptografia assimétrica permite que usuários se comuniquem de forma segura sem pré-acordar uma chave secreta compartilhada.
• 5.4.A.2 Ao usar criptografia assimétrica, cada entidade que receber dados deve primeiramente gerar um par de chaves. Pares de chaves são strings binárias de comprimento igual geradas simultaneamente através de um processo matemático. Uma chave é designada como chave pública e a outra como chave privada. As chaves são inversas matemáticas uma da outra — cada chave inverte seu parceiro. Qualquer chave pode ser usada para criptografar informações, mas apenas a outra chave no par de chades será capaz então de descriptografá-la.
• 5.4.A.3 Após o receptor gerar o par de chaves, a chave privada deve ser armazenada com segurança. Se a chave privada for exposta, compartilhada, roubada, corrompida ou comprometida, o par de chaves deve ser excluído e um novo par de chaves deve ser gerado, pois a segurança do algoritmo de criptografia repousa na segurança da chave privada. A chave pública é publicada para qualquer um visualizar e usar.
• 5.4.A.4 Para enviar informações de forma segura a alguém, o remetente usará a chave pública do receptor para criptografar os dados e enviá-los. Apenas o receptor que possui a chave privada poderá descriptografar e ler a informação.

Objetivo de Aprendizagem 5.4.B: Explicar por que o comprimento de uma chave impacta a segurança dos dados criptografados.

• 5.4.B.1 Chaves mais longas resultam em espaços de chaves maiores. Para chaves binárias, uma chave de comprimento n-bits tem um espaço de chaves de $2^n$.
• 5.4.B.2 Usando um aplicativo para adivinhar aleatoriamente uma chave de criptografia de comprimento n-bits significa que, em média, um adversário conseguirá adivinhar a chave correta em $2^n \div 2$ (ou $2^{n-1}$) tentativas.
• 5.4.B.3 Embora chaves mais longas sejam mais seguras, elas também exigem mais tempo para criptografar e descriptografar mensagens.
• 5.4.B.4 O poder computacional e a eficiência continuam melhorando, permitindo que softwares adivinhem chaves mais rapidamente. As recomendações de comprimento de chave para ambos os algoritmos de criptografia simétrica e assimétrica são aumentadas periodicamente para considerar o aumento do poder computacional.
• 5.4.B.5 A comparação de comprimento de chave só é válida ao comparar chaves para o mesmo algoritmo criptográfico.
  • Exemplos ilustrativos para 5.4.B.5:
    • Uma chave AES de 256 bits é mais segura do que uma chave AES de 128 bits.
    • Uma chave RSA de 4096 bits é mais segura do que uma chave RSA de 2048 bits.
    • Chaves RSA e AES não podem ser comparadas diretamente entre si para determinar o nível de segurança.

Objetivo de Aprendizagem 5.4.C: Aplicar algoritmos de criptografia assimétrica para criptografar e descriptografar dados.

• 5.4.C.1 Algoritmos comuns de criptografia assimétrica incluem RSA e criptografia de curva elíptica (ECC). Algoritmos assimétricos são usados em muitas aplicações, incluindo assinaturas digitais e certificados digitais.
• 5.4.C.2 Assim como na criptografia simétrica, a criptografia e descriptografia assimétricas podem ser realizadas usando linha de comando, software especializado ou ferramentas web.
  • Em uma interface de linha de comando, usuários podem criptografar ou descriptografar com OpenSSL.
  • Software especializado como o RSA Encryption Tool é uma ferramenta de código aberto que pode criptografar e descriptografar arquivos.
  • Existem muitas ferramentas web para criptografar e descriptografar arquivos.
• 5.4.C.3 Em uma CLI, um usuário pode gerar um par de chaves assimétrico e criptografar ou descriptografar arquivos conforme necessário.
  • Para gerar um par de chaves RSA de 2048 bits e salvar a chave em um arquivo chamado rsa.pem, use o comando: openssl genrsa -out rsa.pem 2048
  • Para extrair a chave pública de rsa.pem para um arquivo chamado public.pem, use o comando: openssl rsa -pubout -in rsa.pem -outform PEM -out public.pem
  • Para criptografar o arquivo test usando criptografia RSA e o arquivo de chave public.pem, use o comando: openssl pkeyutl -encrypt -pubin -inkey public.pem -in test -out test.enc
  • Para descriptografar o arquivo test.enc usando o arquivo rsa.pem, execute o comando: openssl pkeyutl -decrypt -inkey rsa.pem -in test.enc -out test

Objetivo de Aprendizagem 5.5.A: Identificar os princípios de segurança de aplicações de seguro por projeto e seguro padrão.

• 5.5.A.1 Seguro por projeto é uma iniciativa que incentiva empresas a incluir segurança em todas as fases do desenvolvimento de produtos, incluindo o design. Quando organizações implementam seguro por projeto, a segurança é um princípio de design e não apenas uma característica técnica.
• 5.5.A.2 Seguro por projeto inclui três princípios de design:
  • i. As empresas devem assumir a responsabilidade pelos resultados de segurança dos clientes. As empresas devem construir produtos que atendam às necessidades de segurança de seus clientes.
  • ii. As empresas devem abraçar a transparência radical e a prestação de contas. Compartilhar rapidamente notícias e atualizações relevantes sobre produtos relacionados à segurança aumenta significativamente a segurança para todos.
  • iii. As empresas devem construir estrutura organizacional e liderança para implementar o conceito de 'seguro por design'. As empresas precisam de líderes focados em segurança e com uma postura de prioridade na segurança.
• 5.5.A.3 O conceito de 'seguro por design' inclui a ideia de 'seguro por padrão', que estabelece que os recursos de segurança de software e dispositivos devem estar ativados por padrão. Dispositivos e software devem ser seguros para uso imediato, com recursos de segurança já habilitados.

Objetivo de Aprendizagem 5.5.B: Explicar como a sanitização da entrada do usuário protege aplicações.

• 5.5.B.1 Quando usuários inserem dados em uma aplicação, a aplicação geralmente envolve essa entrada em caracteres especiais para processá-la. Os caracteres que envolvem a entrada do usuário são chamados caracteres de controle e incluem as aspas simples, as aspas duplas e o ponto e vírgula.
• 5.5.B.2 Ao criar um programa que recebe entrada do usuário, programadores devem usar uma função para verificar se a entrada atende aos critérios esperados e não inclui nenhum caractere de controle que possa ser usado para manipular o sistema. Essa função de verificação pode sanitar a entrada do usuário removendo caracteres potencialmente maliciosos, ou pode apresentar um erro ao usuário e forçar a fornecimento de uma entrada diferente. Isso pode proteger contra muitos tipos de ataques a aplicações, incluindo:
  • Ataques de injeção SQL
  • Ataques XSS
  • Ataques de travessia de diretório

Objetivo de Aprendizagem 5.6.A: Explicar como detectar ataques em dados.

• 5.6.A.1 Dispositivos registram e criam logs quando os dados são acessados e por quem. O processo de registrar e monitorar atividades de usuários é chamado de contabilidade (accounting). A análise desses logs pode revelar atividade maliciosa quando um adversário tenta acessar, copiar, mover ou excluir dados. Atividade suspeita pode incluir:
  • Acesso a arquivos que não são tipicamente acessados
  • Acesso a arquivos ou aplicativos fora dos padrões normais do usuário (incluindo horário do dia, localização e tipo de dispositivo)
  • Tentativas de excluir ou copiar arquivos sensíveis
• 5.6.A.2 Uma honeypot (caça-macacos) é um arquivo que aparenta conter dados valiosos (ex.: informações de cartão de crédito, PII, senhas), mas os dados no arquivo são falsos. Um sistema pode alertar os defensores se alguém tentar acessar a honeypot. Como a honeypot é um arquivo falso, não há motivo legítimo para acessá-lo, e qualquer tentativa de acesso seria um indicador de atividade maliciosa.
• 5.6.A.3 Funções de hash criptográficas podem gerar um digest para dados e revelam se os dados foram alterados. Se um arquivo mudou inesperadamente, isso pode ser um sinal de atividade maliciosa.

Objetivo de Aprendizagem 5.6.B: Determinar controles para detectar ataques contra aplicações ou dados.

• 5.6.B.1 O custo é um critério na determinação de controles detectivos. Controles detectivos como honeypots e o uso de valores de hash para verificar a integridade dos dados são de baixo custo. Algumas organizações investem em serviços terceirizados de prevenção à perda de dados (DLP), que monitoram o acesso, uso e transmissão de dados por usuários em toda a organização para detectar atividade suspeita; esses serviços oferecem fortes capacidades de detecção a um custo mais elevado.
• 5.6.B.2 A sensibilidade ou criticidade dos dados ou aplicações é um critério na determinação de controles detectivos. Dados ou aplicações mais sensíveis ou críticos são alvos mais prováveis de um adversário e devem ser monitorados mais de perto.
• 5.6.B.3 A classificação de dados é um critério na determinação de controles detectivos. Dados classificados como privados, educacionais, de saúde ou financeiros frequentemente possuem requisitos legais ou regulatórios de detecção e monitoramento.

Objetivo de Aprendizagem 5.6.C: Avaliar o impacto de um método para detectar ataques contra uma aplicação ou dados.

• 5.6.C.1 Para operar com velocidade eficaz, a análise de logs precisa ser augmentada com alguma automação. Honeypots oferecem capacidades de detecção quase instantâneas.
• 5.6.C.2 Alguns ferramentas DLP, honeypots e análise de logs automatizada em tempo real fornecem alertas enquanto um ataque está ocorrendo. Essas ferramentas permitem uma resposta rápida que pode interromper um ataque antes que cause mais danos. A análise retrospectiva de logs e o uso de hashes criptográficos para verificar a integridade dos dados identificam ataques após eles terem ocorrido.
• 5.6.C.3 Falsos negativos podem ocorrer na detecção de ataques a aplicações e dados. Funções de hash criptográficas apenas detectam se os dados foram alterados. Um adversário poderia visualizar e roubar dados sem alterá-los, e uma função de hash criptográfica não detectaria isso. Honeypots não podem detectar adversários que não tentam acessá-las.

Objetivo de Aprendizagem 5.6.D: Identificar se um arquivo foi alterado verificando seu hash.

• 5.6.D.1 Funções de hash criptográficas podem ajudar a identificar alterações em um arquivo porque são repetíveis: a mesma entrada sempre produz a mesma saída para uma dada função de hash.
• 5.6.D.2 Hashes podem ser calculados usando a linha de comando em um computador, um site ou software especializado.
  • No Windows PowerShell, se um usuário quisesse gerar o hash SHA256 para um arquivo chamado testfile, ele usaria o comando: Get-FileHash testfile -Algorithm SHA256
  • No BASH, o mesmo poderia ser feito com o comando: sha256sum testfile
  • No zsh, terminal comum de linha de comando em computadores Apple, isso poderia ser feito com o comando: shasum -a 256 testfile
• 5.6.D.3 Um arquivo pode ser hashed e sua saída de hash registrada. Em seguida, pode ser hashed novamente mais tarde, e a segunda saída de hash pode ser comparada à saída de hash anterior do mesmo arquivo. Se o hash de um arquivo mudar, então o arquivo foi alterado entre o momento em que o primeiro e o segundo hashes foram gerados.

Objetivo de Aprendizagem 5.6.E: Aplicar técnicas de detecção para identificar e relatar indicadores de ataques a aplicações analisando arquivos de log.

• 5.6.E.1 Ataques de injeção SQL podem ser detectados revisando logs de aplicação e servidor quanto à entrada do usuário para palavras-chave e símbolos de controle SQL, tais como:
  • Um caractere de aspa simples (') ou aspa dupla (")
  • Condições booleanas como OR 1=1
  • Dois traços duplos (que indicam um comentário em SQL): --
  • Palavras-chave de controle SQL (sempre em letras maiúsculas) como WHERE, IN, FROM
• 5.6.E.2 Ataques XSS podem ser detectados revisando a entrada do usuário quanto a tags suspeitas, particularmente a tag .
• 5.6.E.3 Para aplicações web, transbordamentos de buffer (buffer overflows) podem ser detectados verificando a quantidade de dados que o usuário está enviando para a aplicação web em sua solicitação. Os campos comumente verificados são o comprimento da URL, comprimento do cookie, comprimento da string de consulta e comprimento total da solicitação. Cadeias longas em qualquer um desses campos podem ser um indicador de uma tentativa de ataque de transbordamento de buffer.
• 5.6.E.4 Ataques de travessia de diretório podem ser detectados revisando logs de aplicação e servidor. Solicitações HTTP GET que incluem caminhos com sequências de ../ são indicadores de um adversário tentando realizar uma travessia de diretório.