Infraestrutura e arquitetura de sistemas

Você não detecta o que não entende

Se você não sabe como a infraestrutura da sua organização foi construída, não sabe como é o normal. E quem não conhece o normal deixa passar ataque todo santo dia.

Imagine que você está no SOC e chega um alerta de tráfego de saída incomum. É um servidor web fazendo uma chamada de API que ele deve mesmo fazer, ou é um endpoint comprometido conversando com um servidor de command and control? Não dá para responder isso sem conhecer a infraestrutura.

Este é o domínio 1 — operações de segurança — e ele é cobrado com peso na prova, inclusive em questões baseadas em desempenho (performance-based questions), em que você aplica esses conceitos a um cenário concreto.

Arquitetura on-premise

O modelo tradicional: servidores, equipamento de rede e armazenamento fisicamente no seu data center ou sala de servidores. Você controla tudo, do hardware para cima.

Do ponto de vista de segurança, on-premise dá visibilidade total: seus logs, seu tráfego de rede, seus endpoints. Mas também joga em cima de você toda a responsabilidade: patching, hardening, monitoramento, o pacote completo.

A maioria das organizações ainda tem alguma pegada on-premise, mesmo tendo levado muita coisa para a nuvem. Você precisa estar confortável nesse ambiente.

Arquitetura em nuvem

Nuvem — AWS, Azure ou GCP — transfere boa parte da responsabilidade de infraestrutura para o provedor. Você trabalha com máquinas virtuais, serviços gerenciados e infraestrutura compartilhada, e o modelo de segurança muda bastante.

O conceito central aqui é o modelo de responsabilidade compartilhada (shared responsibility model): o provedor protege a infraestrutura física e a plataforma subjacente; você protege o que constrói em cima dela — suas cargas de trabalho, seus dados, suas configurações de identidade e acesso e seu monitoramento de segurança.

Essa é uma pegadinha clássica de prova. Na nuvem, segurança é responsabilidade compartilhada, nunca só do provedor.

Para a prova, saiba as fontes de log de nuvem que você consulta primeiro:

Elas substituem ou complementam as fontes on-premise que você consultaria no Splunk.

Arquitetura híbrida

No mundo real, quase ninguém é 100% on-premise nem 100% nuvem. Roda-se os dois. Isso é híbrido, e é o modelo dominante hoje.

Como analista num ambiente híbrido, você precisa:

• monitorar dois conjuntos completamente diferentes de fontes de log
• correlacionar eventos entre os dois ambientes
• entender como o atacante se move entre eles

Esse último ponto é o crítico. Quem compromete um sistema on-premise pode pivotar para recursos de nuvem se as relações de confiança não estiverem bem controladas — e o caminho inverso também existe.

É aqui que entra segmentação de rede, que limita até onde o atacante consegue ir depois que já está dentro. Temos uma seção inteira sobre isso mais à frente; por ora, guarde que segmentação é uma das defesas mais poderosas que você tem.

Software defined networking (SDN)

SDN separa o control plane — onde as decisões são tomadas — do data plane, que é o encaminhamento efetivo do tráfego. Isso permite gerenciar a rede por software e APIs em vez de configurar cada equipamento individualmente.

Para segurança, SDN dá visibilidade centralizada e a capacidade de empurrar mudanças de política rapidamente por toda a rede. Isso pesa muito em resposta a incidente: se você precisa isolar um segmento comprometido agora, SDN deixa fazer isso programaticamente, em vez de reconfigurar switches na mão.

Decore os três planos: control (decisão), data (encaminhamento) e management (administração). A prova adora testar isso.

Identity and access management (IAM)

IAM é o arcabouço que controla quem acessa o quê no seu ambiente — usuários, serviços e aplicações; tudo que precisa se autenticar e ser autorizado.

Os conceitos de IAM que a prova cobra:

• MFA — autenticação multifator
• SSO — single sign-on
• Federação — confiança entre domínios de identidade distintos
• PAM — privileged access management
• CASB — cloud access security broker

E aqui está o ponto que muda tudo:

Na nuvem, a identidade é o perímetro.

Se um atacante compromete um papel IAM privilegiado na AWS, ele sobe recursos, exfiltra dados e destrói evidência sem jamais encostar na sua rede on-premise. Por isso você usa o AWS CloudTrail e os logs de sign-in do Azure Active Directory para caçar eventos de impossible travel, escalonamento de privilégio e chamadas de API anômalas.

Vamos muito mais fundo em IAM numa lição dedicada mais adiante no curso.

O que a prova está realmente perguntando

Questões costumam apresentar um cenário com sistemas on-premise e de nuvem misturados e pedir a abordagem correta de monitoramento ou o vetor de ataque mais provável. A resposta quase sempre depende de você entender as fronteiras arquiteturais entre os ambientes.

Não olhe a tecnologia isolada. Pergunte sempre: onde está a superfície de ataque nesta arquitetura?