Revisão de controles
Avaliação de controles existentes, lacunas e adequação aos cenários e prioridades acordados.
Segurança defensiva / ABEL
A.B.E.L.Fortalecer controles.Reduzir exposição.
ABEL é a identidade da frente defensiva EWQS. Orientação técnica para transformar cenários de risco em controles implementáveis, critérios de validação e decisões sobre risco residual.
ABEL / BLUE TEAM
O que entra no trabalho
Profundidade proporcional ao ambiente, com prioridades úteis para quem decide e para quem implementa.
Hardening prático
Orientação para configurações de aplicação, infraestrutura e transporte, considerando compatibilidade e mudança segura.
IAM e autorização
Revisão de permissões, menor privilégio, isolamento entre contas e políticas de acesso a ações e recursos.
Orientação ao time SOC
Apoio à análise de eventos, ajuste de hipóteses de detecção e preparação de procedimentos com o time responsável.
Monitoramento conforme contrato
Fontes de eventos, cobertura, horários e responsabilidades definidos na proposta. Sem promessa de SOC 24/7 ou detecção garantida.
Validação e risco residual
Critérios de aceite, apoio ao reteste e documentação do que permanece fora da cobertura ou exige decisão.
Da hipótese ao controle validado
Uma passagem de contexto entre avaliação ofensiva e melhoria defensiva, com revisão técnica e responsabilidade humana.
Definir
Acordar escopo, regras de execução e objetivos de negócio.
Avaliar
Testar hipóteses e revisar evidências com seus limites explícitos.
Corrigir
Priorizar controles, responsáveis e critérios de aceite.
Retestar
Verificar correções no escopo e registrar o risco residual.
A leitura defensiva
Da recomendação ao controle
Achados ofensivos orientam melhorias defensivas. Evidências da defesa refinam os próximos testes.
EXEMPLOS DIDÁTICOS · SEM DADOS REAIS
Exemplos de como uma entrega pode ser estruturada, com informações fictícias e sem dados de clientes. Os achados de cada projeto dependem do ambiente avaliado e do escopo contratado.
Crítica, Alta, Média e Baixa são classificações ilustrativas destes cenários. CVSS v4.0 exige um vetor fundamentado e contexto técnico, de ameaça e do ambiente; a prioridade de negócio também deve ser avaliada. Não há pontuação calculada nestes exemplos.
CríticaABEL / EX-01 / CWE-862
Operação administrativa sem autorização
EXEMPLOS DIDÁTICOS · SEM DADOS REAIS
- Controle proposto
- Autorização por ação e menor privilégio
- Mitigação prática
- Centralizar políticas de autorização; bloquear a operação para papéis comuns; exigir aprovação para mudanças sensíveis e registrar autor, alvo e resultado sem segredos.
- Responsável sugerido
- Liderança de backend e responsável por IAM.
- Critério de reteste
- Contas comuns recebem 403 sem alteração de estado; contas autorizadas executam apenas ações permitidas. Testar revogação de papel e revisar o registro de auditoria.
- Risco residual
- Uma conta administrativa comprometida ainda pode abusar de acessos legítimos. Separação de funções, revisão de privilégios e alertas precisam de validação própria.
AltaABEL / EX-02 / CWE-639
Acesso a objeto de outra conta
EXEMPLOS DIDÁTICOS · SEM DADOS REAIS
- Controle proposto
- Isolamento entre contas e autorização por objeto
- Mitigação prática
- Validar organização, proprietário e permissão em leitura e escrita; aplicar filtros de escopo nas consultas e testes negativos entre contas. Revisar caminhos de exportação.
- Responsável sugerido
- Equipe de aplicação, arquitetura e responsável pelos dados.
- Critério de reteste
- Conta A não lê nem altera objetos da conta B; validar listagens, acesso direto e exportações. Respostas de bloqueio não revelam conteúdo protegido.
- Risco residual
- Outras rotas, caches ou tarefas assíncronas podem manter falhas de isolamento. O reteste cobre apenas os recursos acordados.
MédiaABEL / EX-03 / CWE-614
Cookie de sessão sem atributo Secure
EXEMPLOS DIDÁTICOS · SEM DADOS REAIS
- Controle proposto
- Hardening de sessão e transporte
- Mitigação prática
- Configurar Secure no emissor do cookie; validar terminação TLS e encaminhamento do proxy; eliminar rotas HTTP inseguras e planejar HSTS com os responsáveis pelos domínios.
- Responsável sugerido
- Backend e plataforma/infraestrutura.
- Critério de reteste
- Cookies de autenticação incluem Secure em login e renovação; navegador não os envia por HTTP. Fluxos legítimos continuam funcionando e a política HTTPS foi verificada.
- Risco residual
- Secure não impede roubo de sessão por todas as técnicas. XSS, expiração e revogação de sessão exigem avaliações separadas.
BaixaABEL / EX-04 / CWE-200
Versão detalhada em resposta pública
EXEMPLOS DIDÁTICOS · SEM DADOS REAIS
- Controle proposto
- Minimização de informação e gestão de componentes
- Mitigação prática
- Remover a versão do cabeçalho na aplicação ou proxy; padronizar erros públicos. Manter versões e dependências no inventário interno e revisar atualizações aplicáveis.
- Responsável sugerido
- Plataforma e equipe responsável pela aplicação.
- Critério de reteste
- Respostas normais e de erro não expõem a versão detalhada nos pontos acordados. Confirmar que suporte e diagnóstico internos permanecem disponíveis.
- Risco residual
- Fingerprinting pode continuar possível por comportamento. Remover banners reduz informação, mas não substitui atualização ou hardening.
EWQS / ENTREGAS
Uma entrega para decidir. Outra para executar.
O resumo executivo traduz exposição e impacto. O material técnico registra escopo, evidências, limitações, recomendações e condições de validação.
- Resumo executivo e priorização contextual
- Registro técnico com evidências tratadas e limitações
- Plano de correção com responsáveis a acordar
- Registro de reteste e risco residual, quando contratado
Comece pelo escopo certo.
Conte quais aplicações, controles ou objetivos precisam de avaliação. A proposta define profundidade, entregas e condições de execução.