Segurança de Espaços

Objetivo de Aprendizagem 2.1.A: Identificar ataques de engenharia social.

• 2.1.A.1 Engenheiros sociais usam táticas psicológicas para manipular alvos a tomar uma ação desejada.
• 2.1.A.2 Pretexting é quando adversários criam uma razão credível para entrar em contato com um alvo.
• 2.1.A.3 Autoridade é quando adversários se passam por alguém com poder sobre um alvo ou fingem transmitir instruções dessa pessoa.
• 2.1.A.4 Intimidação é quando adversários declaram consequências negativas se demandas não forem atendidas.
• 2.1.A.5 Consenso é quando adversários criam pressão social fazendo um alvo acreditar que todos os outros estão realizando uma ação desejada.
• 2.1.A.6 Escassez é quando adversários criam uma sensação de disponibilidade limitada.
• 2.1.A.7 Familiaridade é quando adversários fingem ser ou conhecer alguém próximo a um alvo para estabelecer confiança.
• 2.1.A.8 Urgência é quando adversários criam um prazo que requer ação rápida por parte de um alvo para evitar consequências negativas.

Objetivo de Aprendizagem 2.1.B: Identificar tipos de adversários.

• 2.1.B.1 Script kiddies são adversários de baixa habilidade que usam ferramentas desenvolvidas por outros sem entender como as ferramentas funcionam. Eles são frequentemente motivados pela ganância ou pelo desejo de reconhecimento.
• 2.1.B.2 Hacktivistas são motivados por causas sociais, políticas ou pessoais. Eles comprometem computadores e redes para apoiar sua causa ou impedir danos percebidos, acreditando que seus objetivos justificam métodos ilegais.
• 2.1.B.3 Adversários internos são ameaças únicas porque possuem credenciais legítimas e acesso a sistemas e dados. Eles podem ser recrutados por terceiros maliciosos e podem ser motivados pela ganância ou vingança.
• 2.1.B.4 Ciberterroristas são motivados por política ou crenças e buscam perturbar comunidades inteiras, regiões ou nações através de ataques cibernéticos (ex.: atacar uma rede elétrica, planta de tratamento de água ou outra infraestrutura civil). Eles podem atuar independentemente ou em nome de governos ou organizações criminosas.
• 2.1.B.5 Organizações criminosas transnacionais buscam lucro financeiro principalmente implantando ransomware e roubando propriedade intelectual corporativa (PI) para vender em mercados ilegais.

Objetivo de Aprendizagem 2.1.C: Descrever as fases de um ataque cibernético.

• 2.1.C.1 Ataques cibernéticos visam perturbar, prejudicar, roubar ou destruir dispositivos, redes ou dados. Os adversários atuam em fases, que nem sempre são usadas em cada ataque. As fases são:
  • i. Reconhecimento
  • ii. Acesso inicial
  • iii. Persistência
  • iv. Movimento lateral
  • v. Tomada de ação
  • vi. Evitação de detecção
• 2.1.C.2 Na fase de reconhecimento de um ataque, os adversários coletam o máximo de informações possível sobre seu alvo, muitas vezes usando inteligência de fontes abertas (OSINT), que é informação livremente disponível.
• 2.1.C.3 Na fase de acesso inicial de um ataque, os adversários estabelecem uma base no computador do alvo, geralmente através de engenharia social ou credenciais comprometidas ou fracas.
• 2.1.C.4 Após ganhar acesso durante um ataque, os adversários estabelecem persistência para manter o acesso sem precisar recuperá-lo. Eles podem usar um protocolo de comando e controle (C2) para enviar comandos ao dispositivo e receber saídas, frequentemente através de malware como um trojan de acesso remoto (RAT) ou rootkit.
• 2.1.C.5 Na fase de movimento lateral de um ataque, os adversários tentam escalar seus privilégios acessando computadores e contas de usuário com permissões elevadas para serviços e dados.
• 2.1.C.6 Na fase de tomada de ação de um ataque, os adversários agem conforme seus objetivos coletando dados direcionados, extraindo-os e perturbando serviços ou destruindo dados.
• 2.1.C.7 Na fase final de um ataque, muitos adversários tentam evitar a detecção removendo ou editando arquivos de log e apagando outros arquivos que possam ter plantado nos dispositivos (ex.: malware).

Objetivo de Aprendizagem 2.1.D: Descrever o processo de avaliação de riscos.

• 2.1.D.1 Risco ocorre quando uma ameaça pode explorar uma vulnerabilidade para comprometer um ativo.
• 2.1.D.2 Um ativo é qualquer coisa valiosa. Ativos incluem recursos financeiros, propriedade intelectual, dados, infraestrutura digital, bens físicos e reputação.
• 2.1.D.3 A avaliação de risco considera dois fatores:
  • A probabilidade de um ataque contra uma vulnerabilidade específica
  • A severidade dos danos projetados de um ataque contra uma vulnerabilidade específica
• 2.1.D.4 A probabilidade de uma vulnerabilidade ser explorada depende de muitos fatores, incluindo:
  • O valor do alvo: Os adversários são mais propensos a atacar alvos que consideram valiosos.
  • O nível de habilidade necessário para explorar a vulnerabilidade (ou seja, a dificuldade): Vulnerabilidades com exploits bem documentados geralmente exigem menos habilidade e podem ser executadas por mais adversários.
  • A motivação e as capacidades dos prováveis adversários: Adversários altamente motivados e habilidosos são mais propensos a serem capazes de realizar exploits mais complexos.
• 2.1.D.5 A severidade de um ataque é frequentemente medida pelo custo financeiro, que também pode incluir impactos reputacionais e operacionais.
  • Exemplos ilustrativos para 2.1.D.5:
    • Um hacktivista é apaixonado por práticas ilegais de pesca apoiadas por uma empresa local de produção de alimentos. A página principal dessa empresa de produção de alimentos seria um alvo de alto valor para esse hacktivista; desfigurar a página da web para expor o apoio da empresa à pesca ilegal não traria ganho financeiro ao adversário, mas permitiria que ele levantasse consciência sobre uma questão que o motiva.
• 2.1.D.6 O resultado de uma avaliação de risco pode ser quantitativo ou qualitativo.
  • A avaliação quantitativa de riscos atribui um valor numérico a uma vulnerabilidade com base em uma escala numérica (por exemplo, 1–10) ou impacto quantificável, que pode ser financeiro (por exemplo, um risco anual de $10,000).
  • Exemplos ilustrativos para 2.1.D.6:
    • Baixo, médio, alto, severo
    • Provável baixo impacto, improvável baixo impacto, improvável alto impacto, provável alto impacto
• 2.1.D.7 A documentação da avaliação de risco deve incluir:
  • Ativos vulneráveis e seu valor
  • Descrições das prováveis ameaças aos ativos
  • Detalhes de vulnerabilidades específicas para ativos específicos e como seriam exploradas
  • Uma explicação da severidade dos danos (financeiros, operacionais, reputacionais, etc.) se um ativo específico fosse comprometido, e a probabilidade desse comprometimento ocorrer
  • Uma classificação final, quantitativa ou qualitativa, para cada risco identificado
  • Exemplos ilustrativos para 2.1.D.7:
    • Pontuação escalonada (ex.: 1–10)
    • Valor monetário (por exemplo, um risco de $10,000 risk vs. a$100,000)

Objetivo de Aprendizagem 2.1.E: Identificar estratégias para gerenciar riscos.

• 2.1.E.1 Uma vez que um risco tenha sido identificado e avaliado, uma organização tem quatro opções para gerenciar esse risco:
  • i. Evitar
  • ii. Transferir
  • iii. Mitigar
  • iv. Aceitar
• 2.1.E.2 A evitação de risco interrompe a atividade que está gerando o risco. Se a atividade for uma parte crítica da missão ou propósito de uma organização, então a evitação não é possível.
• 2.1.E.3 A transferência de risco coloca o ônus do risco em outra entidade, como uma seguradora, um governo ou consumidores.
• 2.1.E.4 A mitigação de risco implementa controles de segurança para reduzir a probabilidade ou o impacto de um risco.
• 2.1.E.5 Risco residual é o risco que permanece após uma organização ter passado pela evitação, transferência e mitigação. O risco residual é o nível de risco que uma organização está disposta a aceitar. A aceitação de risco reconhece o fato de que a segurança absoluta é inatingível.
• 2.1.E.6 Para conservar recursos financeiros e capacidade de funcionários, uma organização frequentemente favorecerá soluções que sejam rentáveis e fáceis de implementar e manter. Soluções rentáveis custam menos para instalar e manter do que a perda esperada de um ataque.

Objetivo de Aprendizagem 2.1.F: Identificar tipos de controles de segurança.

• 2.1.F.1 Controles de segurança abordam pelo menos um dos seguintes princípios:
  • Confidencialidade garante que apenas pessoas autorizadas, sistemas ou processos possam acessar dados. Sistemas sem confidencialidade são vulneráveis a roubo ou destruição de dados.
  • Integridade garante que os dados sejam precisos e confiáveis. Sistemas sem integridade são vulneráveis a manipulação de dados.
  • Disponibilidade garante que dados e serviços estejam acessíveis a pessoas autorizadas quando necessários. Sistemas sem disponibilidade podem experimentar tempos de inatividade inesperados.
• 2.1.F.2 Controles de segurança podem ser classificados por tipo.
  • Controles físicos fornecem segurança no espaço físico e incluem fechaduras, cercas e câmeras, bollards e guardas de segurança.
  • Controles técnicos fornecem segurança no espaço digital e incluem firewalls, software anti-malware e criptografia.
  • Controles gerenciais fornecem regras, diretrizes, políticas e procedimentos que especificam o que a segurança deve estar em lugar e incluem políticas de senhas, revisões regulares de acesso e planos de resposta a incidentes (IRPs).
• 2.1.F.3 Controles de segurança podem ser classificados por função.
  • Controles preventivos abordam vulnerabilidades potenciais com o objetivo de impedir que um adversário ataque e incluem fechaduras e criptografia.
  • Controles detectores ajudam a identificar ataques quando ocorrem e incluem sistemas de detecção de intrusão (IDSs), câmeras e sistemas de gerenciamento de eventos e incidentes de segurança (SIEM).
  • Controles corretivos corrigem problemas e ajudam a restaurar sistemas para um estado operacional e incluem correção de vulnerabilidades, reparo de leitores de cartão quebrados e sistemas de prevenção de intrusão (IPSs).

Objetivo de Aprendizagem 2.1.G: Explicar por que uma estratégia de segurança em profundidade é necessária para proteger optimalmente uma organização.

• 2.1.G.1 Uma estratégia de defesa em profundidade, ou defesa em camadas, usa múltiplos tipos de controles de segurança para proteger dados e sistemas sensíveis.
• 2.1.G.2 Uma estratégia de defesa em profundidade permite que uma organização aborde diferentes tipos de ameaças, cada uma com um controle de segurança mais adequado para mitigá-la.
• 2.1.G.3 Uma estratégia de defesa em profundidade permite resiliência na proteção de dados para que, quando um controle de segurança for contornado por um adversário, outro controle de segurança ainda possa impedir o acesso aos dados ou sistema ou limitar os danos causados aos dados ou sistema.
• 2.1.G.4 Camadas em uma estratégia de defesa em profundidade podem incluir humano, físico, rede, dispositivo, aplicativo e dados.

Objetivo de Aprendizagem 2.2.A: Identificar ataques físicos comuns.

• 2.2.A.1 Adversários frequentemente usam engenharia social ao conduzir um ataque físico.
• 2.2.A.2 Piggybacking é o nome de um ataque em que um adversário usa engenharia social para manipular uma pessoa autorizada a conceder acesso ao adversário em uma área restrita. Táticas comuns de piggybacking incluem carregar algo grande para incentivar uma pessoa autorizada a segurar a porta aberta, fingir ser uma pessoa autorizada que esqueceu seu token de acesso ou fingir ser um técnico de manutenção que precisa entrar em uma determinada área para realizar uma inspeção ou reparo.
• 2.2.A.3 Tailgating é o nome de um ataque em que um adversário obtém acesso não autorizado a uma área restrita seguindo de perto uma pessoa autorizada sem o conhecimento ou consciência dessa pessoa.
• 2.2.A.4 Shoulder surfing é o nome de um ataque em que um adversário observa enquanto um usuário acessa informações sensíveis para que o adversário possa usá-las posteriormente. Às vezes, os adversários usam uma câmera para gravar o alvo acessando as informações sensíveis para análise posterior.
• 2.2.A.5 Dumpster diving é o nome de um ataque em que um adversário revira o lixo físico de um alvo em busca de informações que poderiam ser usadas para ajudar o adversário a atingir seu objetivo.
• 2.2.A.6 Card cloning é o nome de um ataque em que um adversário faz uma cópia do cartão de acesso de um usuário autorizado para que possa acessar todos os recursos aos quais o usuário está autorizado.

Objetivo de Aprendizagem 2.2.B: Explicar como ameaças podem explorar vulnerabilidades físicas comuns para causar perda, danos, interrupção ou destruição de ativos.

• 2.2.B.1 As ameaças incluem adversários humanos que buscam causar danos ou interrupções, bem como desastres naturais. Desastres naturais podem causar danos físicos ou destruição a computadores e dados, além de interromper serviços digitais fornecidos por computadores.
• 2.2.B.2 Vulnerabilidades são fraquezas ou falhas que poderiam permitir que um ativo fosse comprometido. Comprometimentos comuns incluem:
  • Acesso não autorizado a dados sensíveis ou espaços físicos restritos
  • Interrupção de serviços
  • Roubo ou destruição de recursos digitais ou físicos
  • Modificação não autorizada de dados
• 2.2.B.3 Quando adversários interrompem a alimentação elétrica de um dispositivo, o dispositivo e quaisquer serviços que ele fornece tornam-se indisponíveis. Para interromper a energia, os adversários podem danificar fusíveis ou disjuntores em uma caixa elétrica, desconectar ou cortar fios elétricos, ou danificar sistemas de distribuição de energia como subestações e transformadores.
• 2.2.B.4 Quando adversários ganham acesso a uma área com informações sensíveis, eles podem roubar ou copiar essas informações sensíveis.
• 2.2.B.5 Quando adversários ganham acesso físico a um dispositivo e suas portas, podem conectar um keylogger ou unidade externa contendo malware, o que poderia permitir que coletassem dados de um usuário ou até mesmo controlassem o dispositivo. Com acesso físico direto, os adversários também podem destruir fisicamente um dispositivo, tornando o próprio dispositivo, quaisquer dados armazenados nele e quaisquer serviços que forneça indisponíveis.

Objetivo de Aprendizagem 2.2.C: Avaliar e documentar riscos decorrentes de vulnerabilidades físicas.

• 2.2.C.1 O acesso físico a dispositivos pode permitir que adversários contornem muitos controles técnicos e camadas de segurança.
• 2.2.C.2 Riscos elevados decorrentes de vulnerabilidades físicas surgem quando informações ou sistemas sensíveis estão expostos em espaços físicos sem acesso suficientemente restrito e controlado.
  • Exemplos ilustrativos para 2.2.C.2:
    • Um servidor que armazena dados de clientes está em uma sala sem fechadura, acessada por um corredor não monitorado.
• 2.2.C.3 Riscos moderados decorrentes de vulnerabilidades físicas surgem quando uma parte não crítica ou não sensível de uma organização fica desprotegida de forma que possa atuar como ponto de apoio para um adversário obter acesso inicial a outros recursos.
  • Exemplos ilustrativos para 2.2.C.3:
    • Um escritório tem uma área de recepção onde o acesso é controlado; o recepcionista possui um computador conectado à rede sem fio interna do escritório, e o computador possui portas USB expostas.
• 2.2.C.4 Riscos baixos decorrentes de vulnerabilidades físicas surgem quando um ativo vulnerável tem baixo valor e a vulnerabilidade é pouco propensa a ser explorada.
  • Exemplos ilustrativos para 2.2.C.4:
    • Funcionários em um escritório que requer acesso por crachá deixam seus computadores portáteis sobre as mesas sem supervisão quando todos saem juntos para o almoço. Os computadores não contêm informações sensíveis, mas não há cabos prendendo os dispositivos às mesas.

Objetivo de Aprendizagem 2.3.A: Identificar controles gerenciais relacionados à segurança física.

• 2.3.A.1 As organizações devem realizar treinamento de conscientização sobre segurança para funcionários, a fim de educá-los sobre como podem contribuir para a segurança da organização por meio de:
  • Detectar tentativas de engenharia social, como phishing
  • Não badear outras pessoas em áreas restritas
  • Prevenir o furto de dispositivos
• 2.3.A.2 As organizações devem ter uma política de segurança de estações de trabalho que detalhe as medidas necessárias para proteger um ambiente físico de trabalho. A política pode ter níveis de segurança de estação de trabalho baseados no tipo de dado manuseado em uma estação. Políticas de estação de trabalho frequentemente exigem:
  • Trancar dispositivos antes de deixar estações de trabalho desatendidas para prevenir acesso não autorizado
  • Limpar documentos sensíveis das estações de trabalho antes de deixá-las desatendidas (às vezes chamada de política de mesa limpa)
  • Usar filtros de privacidade na tela ou outra barreira física para impedir que outros vejam informações na tela
  • Conectar dispositivos a protetores de surto ou fontes de alimentação ininterruptas (UPS)

Objetivo de Aprendizagem 2.3.B: Determinar estratégias de mitigação para riscos decorrentes de vulnerabilidades físicas.

• 2.3.B.1 Para determinar um controle relevante, um defensor cibernético considera como um adversário poderia aproveitar uma vulnerabilidade para atacar um sistema e como prevenir, detectar ou corrigir o ataque.
• 2.3.B.2 Instalar controles físicos, como cercas, portões e bollards, ao redor de um edifício pode dissuadir adversários de tentar acessar fisicamente os prédios de uma organização.
• 2.3.B.3 Cadeados em portas, armários de servidores e computadores podem impedir que dispositivos sejam acessados ou roubados.
• 2.3.B.4 Leitores de cartões podem registrar quais crachás de funcionários estão sendo usados para acessar diferentes entradas em horários específicos e negar o acesso a crachás não autorizados.
• 2.3.B.5 Vestíbulos de controle de acesso e catracas podem impedir que uma pessoa autorizada admita intencional ou acidentalmente uma pessoa não autorizada em uma área restrita.
• 2.3.B.6 Organizações podem desativar portas USB para impedir que unidades externas carreguem malware em um computador.
• 2.3.B.7 Uma fonte de alimentação ininterrupta (UPS) fornece uma fonte de energia reserva para um dispositivo em caso de falta de energia. Organizações também podem usar geradores de energia para fornecer energia em maior escala a um prédio ou conjunto de dispositivos críticos.
• 2.3.B.8 As organizações priorizam as mitigações de risco com base na severidade dos riscos e no custo das mitigações recomendadas.

Objetivo de Aprendizagem 2.4.A: Identificar maneiras pelas quais controles de segurança podem detectar ataques físicos.

• 2.4.A.1 Câmeras podem capturar um registro visual da atividade maliciosa de um adversário. A transmissão de uma câmera deve ser gravada e monitorada para máximo efeito. Gravações podem ser especialmente úteis em investigações pós-incidente.
• 2.4.A.2 Guardas de segurança podem monitorar a atividade em uma área e responder a atividades suspeitas assim que detectadas.
• 2.4.A.3 Sensores de movimento podem alertar a segurança sobre movimentos em uma área.
• 2.4.A.4 Funcionários que trabalham em um espaço físico muitas vezes são os primeiros a notar a presença de uma pessoa não autorizada e podem alertar a segurança.

Objetivo de Aprendizagem 2.4.B: Determinar a colocação eficaz de controles de segurança para detectar ataques físicos.

• 2.4.B.1 Ao posicionar câmeras, deve-se considerar a cobertura visual, o ângulo e a capacidade de serem manipuladas por um adversário. Também deve-se considerar o que uma câmera em uma área específica poderia capturar um adversário fazendo e como essa informação seria útil. Pontos de entrada e saída são frequentemente monitorados por câmeras.
• 2.4.B.2 Sensores de movimento devem ser posicionados em áreas com tráfego inesperado, como salas de servidores, ou áreas onde materiais sensíveis são armazenados e poucas pessoas têm acesso. Sensores de movimento em áreas de alto tráfego criam muitos falsos alarmes, tornando-os menos prováveis de serem levados a sério quando ocorre um evento de segurança real.
• 2.4.B.3 Cadeados devem ser instalados em todas as entradas de áreas contendo informações ou sistemas sensíveis. Para áreas com informações ou sistemas particularmente sensíveis, uma organização pode usar um vestíbulo de controle de acesso no ponto de entrada para evitar piggybacking ou tailgating.
• 2.4.B.4 Guardas de segurança podem ser estacionários ou patrulhando. Guardas estacionários podem oferecer proteção constante para uma área específica, entrada ou item de alto valor. Guardas patrulhantes são mais difíceis para um adversário planejar em torno e podem criar pressão temporal para um adversário. Colocar guardas estacionários em locais que canalizam o tráfego (ex.: portões de entrada, entradas principais ou saguões, e entradas para áreas de acesso mais seguras) pode ser altamente efetivo, enquanto guardas patrulhantes são melhores adequados para perímetros e áreas externas.

Objetivo de Aprendizagem 2.4.C: Aplicar técnicas de detecção para identificar ataques físicos.

• 2.4.C.1 Câmeras fornecem monitoramento visual e um registro visual da atividade dentro de um espaço designado. Câmeras podem ser combinadas com software de reconhecimento facial que pode emitir alertas quando indivíduos não autorizados entram em áreas controladas. Após a detecção de uma violação física, os defensores podem usar imagens de vídeo ao vivo e gravadas para rastrear o caminho e as ações de um adversário.
• 2.4.C.2 Detectores de movimento funcionam melhor quando combinados com câmeras. Quando um alerta de segurança é disparado porque um detector de movimento foi ativado, os defensores podem usar câmeras para verificar o espaço visualmente e confirmar uma violação de segurança física.
• 2.4.C.3 Quando os funcionários são obrigados a usar um crachá eletrônico para destravar uma porta de uma área restrita, um sensor pode registrar quanto tempo a porta permaneceu aberta. Ao revisar os registros de entrada da porta, é possível detectar possível piggybacking ou tailgating quando as portas ficam abertas por períodos mais longos do que o normal.