CompTIA SecurityX — Questões de prática e simulado

Classifique pelo mecanismo de entrega, não pela história construída em volta dele. Um adversário que envia mensagens para obter acesso aos sistemas das vítimas está fazendo phishing, e a classe cobre explicitamente anexos e links maliciosos, além de se passar por uma fonte confiável. Passar-se por um fornecedor é um refinamento de alvo que torna a mensagem mais convincente, mas não muda qual é a técnica.

Os distratores pertencem a etapas posteriores ou a objetivos diferentes. Abusar de credenciais existentes descreve um adversário que já tem acesso a uma conta válida, que é como uma intrusão continua e não como esta chega. Misturar o tráfego de comando a protocolos comuns de camada de aplicação é um comportamento de comando e controle que só importa depois que existe um ponto de apoio. Executar código dentro de outro processo é uma técnica de execução e evasão em um host que já foi comprometido.

Dica de prova: acertar a classificação importa porque as contramedidas são diferentes. A entrega é combatida com autenticação de mensagens, detonação de anexos e um caminho de denúncia para os usuários, enquanto o abuso de credenciais e a execução de código precisam de controles totalmente diferentes, então rotular a técnica errado te leva para a defesa errada.

Shadow IT é o uso de sistemas, dispositivos, softwares ou serviços em nuvem sem aprovação explícita da organização, criando risco não gerenciado e pontos cegos de governança. Aqui, o departamento de TI usou armazenamento em nuvem não aprovado — a definição de manual. Por que não os outros? Risco residual é o risco que sobra depois que os controles são aplicados, e pressupõe que existam controles. Risco inerente é o risco de base antes de qualquer controle, e não trata de uso não autorizado. Risco transferido envolve passar o risco a um terceiro por meio de seguro ou terceirização. O shadow IT compromete o inventário de ativos, a conformidade, a resposta a incidentes e a proteção de dados, porque as equipes de segurança não conseguem proteger o que não sabem que existe. Ele abre lacunas nas avaliações de risco, na aplicação de políticas e na conformidade regulatória. Ref: NIST CSRC Glossary (shadow_it); NIST SP 800-53 Rev 5 CM-8 (System Component Inventory); NIST CSF Identify function.

No AWS Shared Responsibility Model, a AWS gerencia a segurança “da” nuvem (infraestrutura física, hypervisor, rede global), enquanto os clientes gerenciam a segurança “na” nuvem (AWS Shared Responsibility Model, aws.amazon.com/compliance/shared-responsibility-model). Em implantações de EC2, os security groups (stateful, no nível da instância) e as NACLs (stateless, no nível da sub-rede) são controles de rede que o cliente configura. Por que não as outras? A segurança física do data center é a obrigação central da AWS. A infraestrutura de rede global é gerenciada pela AWS. A aplicação de patches no hypervisor é responsabilidade da AWS, conforme o limite do IaaS. Esse limite muda conforme o modelo de serviço: o EC2 (IaaS) atribui mais responsabilidade ao cliente; o Lambda (serverless), menos. A AWS observa que as responsabilidades do cliente variam conforme os serviços usados, então a parte do trabalho de configuração que cabe ao cliente depende dos serviços escolhidos. Ref.: AWS Shared Responsibility Model; whitepaper AWS Risk and Compliance; NIST SP 800-145.

O certificate pinning vincula um certificado ou uma chave pública específica ao servidor esperado por uma aplicação, complementando a validação padrão da cadeia TLS. O TLS padrão confia em qualquer CA do repositório do dispositivo; uma CA comprometida ou fraudulenta pode emitir certificados falsos que permitem a interceptação MITM. O pinning impede isso verificando se a cadeia de certificados do servidor corresponde a um pin previamente incorporado, como um hash de uma chave da cadeia. Abordagens: pinning do certificado leaf (rigoroso), pinning da CA intermediária (flexível) ou pinning da chave pública (sobrevive à renovação do certificado se o mesmo par de chaves for reutilizado). Por que não as outras? Ataques DoS visam a disponibilidade, não a autenticação. O XSS injeta script malicioso em conteúdo renderizado pelo cliente, sem relação com a segurança do transporte. A injeção de SQL visa o parsing de consultas, não o TLS. Entre os riscos do pinning está a complexidade operacional durante a rotação de certificados; pins de backup são essenciais para evitar bloqueio. Ref.: OWASP Mobile Application Security Testing Guide (MASTG); OWASP Mobile Top 10 2024 M5 (Insecure Communication); RFC 7469 (HTTP Public Key Pinning, agora obsoleto nos navegadores).