CompTIA Security+ (SY0-701) — Questões de prática e simulado

A confusão aqui é real, e ela vem do fato de o switch usar dois chapéus. No vocabulário do 802.1X existem três papéis: a estação de trabalho é o supplicant, o switch de acesso é o authenticator e o servidor central é o servidor de autenticação. No vocabulário do RADIUS existem apenas dois, e o network access server, que aqui é o switch, opera como cliente do RADIUS. Ele passa as informações do usuário para os servidores designados e depois age conforme a resposta devolvida, o que na prática significa abrir a porta, atribuir uma VLAN ou deixar a porta não autorizada.

Ou seja, o mesmo equipamento é um servidor do ponto de vista da estação de trabalho e um cliente do ponto de vista da infraestrutura de autenticação, e a questão pede especificamente a terminologia do RADIUS.

Os distratores correspondem aos outros papéis. O servidor de autenticação é quem valida as credenciais e devolve atributos de configuração, o que o switch nunca faz. O supplicant é a estação de trabalho que apresenta as credenciais. A autoridade certificadora assina os certificados e atesta por eles com antecedência, e não participa de jeito nenhum da troca ao vivo, mesmo quando a autenticação baseada em certificados está em uso.

Dica de prova: quando uma questão nomeia explicitamente um vocabulário, traduza o dispositivo para esse vocabulário antes de responder. O mesmo equipamento tem nomes diferentes no 802.1X e no RADIUS, e a prova cobra exatamente essa costura.

A Pyramid of Pain, de David Bianco (2013), classifica os indicadores de ameaça pelo tanto de dificuldade que mudá-los causa aos atacantes. De baixo para cima: valores de hash → endereços IP → nomes de domínio → artefatos de rede/host → ferramentas → TTPs. Os valores de hash ficam na base porque alterar até mesmo um único byte de um binário de malware gera um hash completamente diferente. Atacantes podem recompilar, reempacotar ou adicionar dados inúteis para escapar na hora da detecção baseada em hash, o que torna os IOCs de hash extremamente efêmeros. Já as TTPs, no topo, representam comportamentos fundamentais do atacante, e mudá-las exige um retrabalho considerável de ferramental. Uma threat intelligence eficaz direciona a detecção para os níveis mais altos da pirâmide, gerando defesas mais duradouras. Indicadores baseados em hash até servem para bloqueio imediato, mas oferecem valor defensivo mínimo no longo prazo. Ref: Bianco, D. (2013) The Pyramid of Pain; framework MITRE ATT&CK.

O treinamento de conscientização existe para mudar o que uma pessoa faz nos segundos seguintes à chegada de uma mensagem suspeita, então o tema precisa ser um em que o próprio usuário é o controle. Identificação e reporte de phishing é exatamente isso: criminosos enviam mensagens feitas para que alguém abra um link ou anexo malicioso, ou entregue informações pessoais, e nenhum filtro técnico pega todas elas. Ensinar às pessoas os sinais reconhecíveis, como a urgência, um pedido de credenciais ou de dados de pagamento, e um endereço de remetente que é quase, mas não exatamente, o correto, e ensinar onde reportar, dá à equipe de segurança um alerta antecipado em toda a organização.

Os outros três temas cabem em um programa de segurança, mas nenhum deles trata de reconhecer uma mensagem de engenharia social. A complexidade de senha é uma regra de higiene de credenciais, e cada vez mais ela é imposta por política e por gerenciadores de senhas do que pela vigilância do usuário. Uma política de mesa limpa trata da exposição física de informações no escritório. Os procedimentos de crachá tratam do acesso físico e do tailgating. Quem foi treinado só nesses três temas ainda assim clicaria no link.

Dica de prova: associe o controle ao vetor de ataque citado no enunciado. Quando o enunciado fala em engenharia social e pergunta o que os usuários devem aprender, o reporte é a metade que os candidatos esquecem, porque reconhecer sem um caminho de reporte deixa a organização cega.

802.1X define três papéis no controle de acesso à rede baseado em porta: o supplicant é o dispositivo cliente (laptop, celular, dispositivo IoT) executando software que comunica credenciais de autenticação via EAP (Extensible Authentication Protocol). Softwares supplicant comuns incluem os clientes 802.1X integrados no Windows, macOS e Linux. O authenticator é o dispositivo de rede (switch ou wireless access point) que controla o acesso físico ou lógico à rede. Antes da autenticação ser bem-sucedida, a porta permite apenas tráfego EAP. Após a autenticação bem-sucedida, a porta é liberada para tráfego normal. O authentication server (normalmente um servidor RADIUS como FreeRADIUS, Cisco ISE ou Microsoft NPS) recebe as credenciais do authenticator e as verifica em um diretório (Active Directory, LDAP). Ele retorna accept/reject ao authenticator. O authenticator atua como um proxy — ele não avalia as credenciais por conta própria, apenas as encaminha ao authentication server. Dica de prova: papéis do 802.1X: supplicant (cliente solicitando acesso), authenticator (switch/AP controlando a porta), authentication server (RADIUS verificando credenciais).