O departamento de TI de um tribunal migrou seu sistema de
consulta processual para um provedor de nuvem pública,
adotando o modelo PaaS (Platform as a Service) por meio de um
serviço de Web App gerenciado. Seis meses após a migração, o
sistema sofreu uma invasão que resultou na exfiltração de dados.
A perícia forense digital concluiu que:
• o código-fonte da aplicação desenvolvido pelo tribunal seguia
as práticas seguras da OWASP;
• as credenciais e o gerenciamento de identidade (IAM) estavam
configurados corretamente pelo Tribunal; e
• a invasão ocorreu estritamente devido à exploração de uma
vulnerabilidade conhecida (CVE) e não corrigida no kernel do
sistema operacional do servidor que hospedava o ambiente de
execução (runtime).
Considerando o Modelo de Responsabilidade Compartilhada
aplicável a serviços PaaS, é correto afirmar que a
responsabilidade pela falha de segurança que permitiu o
incidente é:

Question

O departamento de TI de um tribunal migrou seu sistema de
consulta processual para um provedor de nuvem pública,
adotando o modelo PaaS (Platform as a Service) por meio de um
serviço de Web App gerenciado. Seis meses após a migração, o
sistema sofreu uma invasão que resultou na exfiltração de dados.
A perícia forense digital concluiu que:
• o código-fonte da aplicação desenvolvido pelo tribunal seguia
as práticas seguras da OWASP;
• as credenciais e o gerenciamento de identidade (IAM) estavam
configurados corretamente pelo Tribunal; e
• a invasão ocorreu estritamente devido à exploração de uma
vulnerabilidade conhecida (CVE) e não corrigida no kernel do
sistema operacional do servidor que hospedava o ambiente de
execução (runtime).
Considerando o Modelo de Responsabilidade Compartilhada
aplicável a serviços PaaS, é correto afirmar que a
responsabilidade pela falha de segurança que permitiu o
incidente é:  Alternativa A: do tribunal, pois a segurança dos dados e da aplicação é de
responsabilidade do cliente e, ao escolher um ambiente
compartilhado, o cliente assume o risco residual das
vulnerabilidades do sistema operacional subjacente; Ou Alternativa B: do provedor de nuvem, pois no modelo PaaS a gestão do
sistema operacional, incluindo a aplicação de patches de
segurança e a manutenção do ambiente de execução
(runtime), é de responsabilidade exclusiva do fornecedor da
plataforma;  Ou Alternativa C: compartilhada, pois, embora o provedor gerencie o
hardware, o tribunal tem a obrigação de instalar agentes de
segurança baseados em host (HIDS) para monitorar a
integridade do sistema operacional, mesmo em ambientes
gerenciados; Ou Alternativa D: do tribunal, visto que a aplicação de correções no sistema
operacional convidado (Guest OS) é uma responsabilidade do
cliente em todos os modelos de serviço (IaaS, PaaS e SaaS),
exceto quando contratado um serviço de suporte premium
dedicado; Ou Alternativa E: do provedor de nuvem, apenas se o contrato de nível de
serviço (SLA) especificar explicitamente a versão do kernel a
ser utilizada; caso contrário, a responsabilidade recai sobre o
tribunal por não ter auditado a infraestrutura subjacente
antes do deploy.

Qconcursos · Accepted Answer

Alternativa [B] do provedor de nuvem, pois no modelo PaaS a gestão do
sistema operacional, incluindo a aplicação de patches de
segurança e a manutenção do ambiente de execução
(runtime), é de responsabilidade exclusiva do fornecedor da
plataforma;  Gabarito: BFundamento decisivo: O dado decisivo foi que a invasão ocorreu estritamente por uma CVE não corrigida no kernel do sistema operacional do servidor que hospedava o runtime. Em um Web App gerenciado em PaaS, essa camada integra a plataforma administrada pelo provedor, e não a aplicação do tribunal.Tema central: Responsabilidade em PaaSAnálise das alternativasAErradaEstá errada porque mistura a responsabilidade do cliente sobre aplicação e dados com a responsabilidade sobre o sistema operacional subjacente em PaaS. O problema descrito não surgiu na aplicação nem em IAM, mas no kernel do servidor que hospeda o runtime, camada gerida pelo provedor.BCertaA alternativa B está certa porque aplica corretamente o modelo de responsabilidade compartilhada em PaaS: o cliente gerencia a aplicação e os dados, enquanto o provedor gerencia a plataforma subjacente, inclusive sistema operacional, runtime e respectivas correções de segurança. Como o enunciado delimitou que a causa do incidente foi exclusivamente uma vulnerabilidade conhecida e não corrigida no kernel do servidor que hospeda o ambiente de execução, a falha ocorreu exatamente na camada cuja gestão é do fornecedor da plataforma.CErradaEstá errada porque pressupõe que o tribunal teria obrigação de instalar HIDS no host ou no sistema operacional subjacente. Em um Web App gerenciado em PaaS, o cliente normalmente não administra nem instrumenta esse sistema operacional; logo, a alternativa atribui ao cliente um controle incompatível com a camada efetivamente atingida.DErradaEstá errada porque afirma uma regra absoluta incompatível com o compartilhamento de responsabilidades: dizer que a correção do Guest OS é responsabilidade do cliente em todos os modelos, inclusive PaaS e SaaS. Pela base da questão, em PaaS essa camada é administrada pelo provedor, não pelo cliente.EErradaEstá errada porque faz a responsabilidade depender de cláusula específica de SLA sobre versão de kernel e ainda transfere ao cliente um dever de auditar a infraestrutura subjacente antes do deploy. Na questão, a definição da responsabilidade decorre do modelo PaaS e da camada onde estava a vulnerabilidade, não dessa condição contratual.Pegadinha da questãoA confusão explorada foi tratar PaaS gerenciado como se o cliente também respondesse pelo sistema operacional do host/runtime, misturando responsabilidade sobre aplicação e dados com responsabilidade sobre a plataforma subjacente.Dica para questões semelhantesPrimeiro localize a camada exata da falha; a responsabilidade acompanha a camada atingida.Em PaaS, se o problema está no sistema operacional subjacente ou no runtime gerenciado, a imputação tende ao provedor, não ao cliente.Quando o enunciado exclui aplicação e IAM como causa, não desloque a culpa para o cliente por essas frentes.A matriz técnica de responsabilidade em PaaS decorre do modelo de serviço e do elemento comprometido, não de suposições sobre acesso do cliente ao host.

O departamento de TI de um tribunal migrou seu sistema de c...

Gabarito comentado

Gabarito: B

Clique para visualizar este gabarito

Comentários

Clique para visualizar este comentário

Questões de assuntos semelhantes

Provas relacionadas