Projeto Integrado Interdisciplinar Segurança da informação – DataShield Solutions

PROJETO INTEGRADO INTERDISCIPLINAR – SEGURANÇA DA INFORMAÇÃO

ORIENTAÇÕES INICIAIS

A partir da análise do contexto inicial apresentado, você, como futuro profissional, deverá desenvolver uma atividade fundamentada nas disciplinas estudadas ao longo deste semestre. Essa atividade visa aprimorar suas habilidades de leitura, interpretação e aplicação dos conhecimentos adquiridos, proporcionando uma compreensão mais profunda e crítica dos conteúdos abordados.

A DataShield Solutions é uma empresa de tecnologia que desenvolve uma plataforma integrada para gestão de dados corporativos, oferecendo módulos web, aplicativos mobile e um conjunto de APIs consumidos por clientes de médio e grande porte. Com o aumento rápido da base de usuários e a entrada de novos clientes estratégicos, a empresa acelerou a expansão de sua infraestrutura, combinando serviços em nuvem com servidores físicos internos.

Nos últimos meses, porém, começaram a surgir sinais preocupantes: acessos suspeitos foram identificados no painel administrativo, alguns endpoints da API apresentaram comportamento inconsistente e houve relatos de lentidão e indisponibilidade recorrente nos serviços web. Um red team contratado pela diretoria realizou testes preliminares e apontou riscos significativos, incluindo vulnerabilidades em aplicações, falhas nas políticas de acesso, exposição de serviços internos e configurações inadequadas em servidores e rede.

Paralelamente, análises internas mostraram que parte do ambiente está desatualizado, a empresa não possui processos formais de auditoria, monitoramento ou resposta a incidentes e que muitos controles de segurança dependem de configurações manuais feitas pelos próprios desenvolvedores. Além disso, existe preocupação com a conformidade legal, pois a plataforma armazena informações sensíveis de clientes e colaboradores.

Diante desse cenário, a diretoria concluiu que a empresa não possui maturidade suficiente para continuar crescendo sem riscos elevados. Assim, solicitou que uma equipe multidisciplinar — envolvendo especialistas de redes, segurança ofensiva, segurança defensiva, gestão, desenvolvimento, infraestrutura e sistemas — realize uma avaliação completa do ambiente e proponha um plano estratégico de segurança da informação, contemplando:

• identificação de vulnerabilidades e falhas estruturais;
• análise e reforço da segurança de redes e servidores;
• recomendações de defesa, monitoramento, acesso e proteção de dados;
• avaliação da segurança das aplicações web e APIs;
• verificação de conformidade com normas e legislações vigentes;
• propostas de mitigação, resposta a incidentes e continuidade;
• ajustes organizacionais e de governança referentes à segurança.

ATIVIDADE A SER REALIZADA

Passo 1: Gestão da Segurança da Informação

A DataShield Solutions enfrenta um conjunto de incidentes e fragilidades que revelam falhas graves de governança, ausência de processos formais e controles inconsistentes em toda a organização. Os problemas vão desde acessos suspeitos e vulnerabilidades em APIs até inexistência de práticas consolidadas de auditoria, monitoramento contínuo e segregação apropriada de funções.

Para reduzir riscos e elevar a maturidade da empresa, é necessário adotar uma abordagem de Gestão da Segurança da Informação sistemática, baseada em políticas, processos e controles estruturados.

Com base no cenário apresentado da DataShield Solutions, crie um modelo resumido de fluxo de resposta a incidentes, adequado à realidade da DataShield Solutions, contendo:

1. Identificação

2. Contenção

3. Erradicação

4. Recuperação

5. Pós-incidente

Passo 2: Segurança Defensiva – Blue Team

Com base no cenário da DataShield Solutions:

A) Identifique e classifique os vetores de ataque mais prováveis no ambiente (painel administrativo, APIs, servidores internos e infraestrutura híbrida), indicando quais representam maior risco imediato para a disponibilidade, integridade e confidencialidade dos dados.

B) Proponha um plano de monitoramento e detecção (Blue Team) que possa ser implementado a curto e médio prazo, incluindo:

• quais logs e eventos devem ser coletados;
• quais ferramentas/controles seriam utilizados (SIEM, IDS/IPS, WAF, etc.);
• que tipos de alertas e correlações são prioritários para detectar comportamentos suspeitos.

C) Defina um conjunto de medidas técnicas de hardening e segmentação de rede para reduzir a superfície de ataque e dificultar movimentos laterais, contemplando servidores on-premises, serviços em nuvem, painéis administrativos e APIs.

Passo 3: Segurança Ofensiva – Ethical Hacking – Red Team

Com base no cenário da DataShield Solutions, responda:

A) Durante a fase preliminar do red team, foram identificados acessos suspeitos ao painel administrativo, serviços internos expostos e APIs apresentando comportamento inconsistente. Explique quais técnicas de reconhecimento ativo e passivo o time de Ethical Hacking poderia utilizar para identificar vulnerabilidades, mapeando superfícies de ataque relevantes, e descreva como esses achados contribuem para a construção do plano ofensivo e para o relatório de riscos da DataShield Solutions.

B) Após os testes, o red team concluiu que a DataShield não possui um processo estruturado de auditoria de aplicações, nem prática de análise de superfície de ataque ou pentests frequentes. Proponha os elementos essenciais que devem compor um plano de recuperação pós-engajamento ofensivo, levando em conta os problemas identificados (ambiente desatualizado, falta de hardening, serviços expostos e APIs vulneráveis).

Passo 4: Sistemas de Computação e de Informação

A) A DataShield combina infraestrutura em nuvem com servidores físicos internos, e parte desse ambiente está desatualizada, com configurações manuais feitas por desenvolvedores. Sistemas operacionais são a base para o funcionamento dos serviços, gerenciando processos, memória, armazenamento, dispositivos e a comunicação com o hardware, além de prover mecanismos de segurança e isolamento entre aplicações.

Pergunta:

Como deve ser considerado o aspecto de Segurança e Proteção em Sistemas Operacionais no contexto da DataShield Solutions, levando em conta o ambiente híbrido (nuvem + on-premises) e as falhas descritas no cenário?

B) O cenário mostra que a DataShield não possui processos formais de auditoria, monitoramento ou resposta a incidentes e que muitos controles de segurança são improvisados. O red team já identificou vulnerabilidades significativas, e análises internas revelaram diversas fragilidades.

Como a implementação de um modelo de gestão do conhecimento poderia ajudar a DataShield a transformar o conhecimento explícito (relatórios, logs, achados de pentest) em aprendizado organizacional (conhecimento tácito) para prevenir futuras falhas? Cite um exemplo prático.

C) A diretoria está preocupada com a conformidade legal, especialmente porque a plataforma armazena informações sensíveis, e não há processos claros de auditoria, rastreabilidade, classificação da informação ou tratamento de incidentes.

Pergunta:

Analise o cenário e identifique dois desafios principais na gestão da informação que a DataShield enfrenta para atender requisitos regulatórios (como LGPD) e auditorias. Explique como cada um desses desafios pode ser superado com o uso adequado de sistemas de informação.

Passo 5: Segurança da Informação e de Redes

A DataShield Solutions é uma empresa de tecnologia que desenvolve uma plataforma integrada para gestão de dados corporativos, com módulos web, aplicativos mobile e APIs consumidas por clientes de médio e grande porte. A infraestrutura cresceu de forma acelerada, combinando serviços em nuvem com servidores físicos internos.

Foram identificados problemas como:

• acessos suspeitos ao painel administrativo;
• endpoints de API com comportamento inconsistente;
• lentidão e indisponibilidade recorrente nos serviços web;
• exposição de serviços internos e configurações inadequadas em servidores e rede;
• ausência de processos formais de auditoria, monitoramento e resposta a incidentes;
• preocupação com a conformidade legal, devido ao armazenamento de dados sensíveis de clientes e colaboradores.

Com base nesse cenário, responda:

A) Considerando os princípios de segurança da informação (Confidencialidade, Integridade, Disponibilidade e Autenticidade), identifique ao menos três riscos relevantes relacionados à infraestrutura de redes da DataShield (incluindo nuvem + on-premises) e explique como cada risco impacta esses princípios.

B) A DataShield precisa garantir proteção dos dados em trânsito entre:

• usuários (web/mobile) e a plataforma;
• comunicação entre módulos da aplicação e APIs;
• comunicação entre nuvem e servidores internos (site-to-site, acesso remoto de administradores).

Defina quais protocolos e mecanismos de criptografia e segurança de rede devem ser utilizados em cada um desses cenários (ex.: TLS, HTTPS, VPN/IPsec, SSH, etc.) e justifique suas escolhas.

Passo 6: Segurança de Tecnologias Web

A DataShield Solutions desenvolve uma plataforma integrada de gestão de dados corporativos, composta por:

• Aplicações web (painel administrativo e módulos para clientes);
• Aplicativos mobile que consomem a plataforma;
• APIs expostas para integração com sistemas de clientes de médio e grande porte.

Nos últimos meses foram identificados:

• Acessos suspeitos ao painel administrativo;
• Endpoints de API com comportamento inconsistente;
• Lentidão e indisponibilidade recorrente dos serviços web;
• Vulnerabilidades em aplicações, falhas nas políticas de acesso e exposição de serviços internos;
• Falta de processos formais de auditoria, monitoramento e resposta a incidentes;
• Preocupação com conformidade legal e proteção de dados sensíveis.

Com base nesse cenário, responda:

A) A partir das informações fornecidas, identifique quatro vulnerabilidades ou riscos específicos relacionados à segurança de tecnologias web (aplicações web e APIs) que podem estar presentes na DataShield. Para cada um, explique:

• o que caracteriza o risco/vulnerabilidade;
• qual é o possível impacto para a empresa e seus clientes.

B) O painel administrativo da DataShield apresenta acessos suspeitos, e muitos controles dependem de configurações manuais feitas por desenvolvedores. Proponha um modelo seguro de autenticação e gerenciamento de sessão para esse painel web, considerando:

• autenticação de usuários;
• proteção de sessões;
• armazenamento de credenciais e tokens.

NORMAS PARA ELABORAÇÃO E ENTREGA DA ATIVIDADE

O trabalho final deverá ser realizado no arquivo denominado Modelo, disponibilizado no AVA, obedecendo os critérios a seguir:

a) Atenção aos prazos de postagens, acompanhe o cronograma das datas de postagem e correção das atividades em seu AVA.

b) A postagem no AVA deve ser em um único arquivo, em formato (Word ou pdf), com tamanho máximo de 10MB, conforme Modelo. O sistema irá disponibilizar para correção apenas o último arquivo postado.

c) O trabalho deverá ser realizado individualmente.

d) O trabalho final deve ser original e, portanto, não poderá haver trabalhos idênticos aos de outros grupos ou com reprodução de materiais extraídos da internet. Os trabalhos plagiados serão invalidados, sendo os alunos reprovados na atividade. Observe que a prática do plágio constitui crime, com pena prevista em lei (Lei n.º 9.610), e deve ser evitada no âmbito acadêmico.

e) Desenvolver o projeto integrado a partir do template disponibilizado no AVA. Para nortear o desenvolvimento do projeto integrado que está sendo proposto, é necessário que sejam apresentados os resultados no template, seguindo as normas da ABNT.

f) Em caso de dúvida para elaboração do trabalho, você deverá buscar orientações com seu tutor a distância.

O Projeto Integrado é sua chance de aplicar a teoria, simular desafios reais e desenvolver habilidades essenciais (solução de problemas, colaboração e pensamento crítico).

Dedique-se, sua construção de conhecimento hoje é a chave para o sucesso profissional amanhã.

CRITÉRIOS DE CORREÇÃO

Critério – Significado – Valor/Peso

Coerência, clareza e coesão
A produção textual apresenta linguagem de fácil compreensão, com argumentos claros e coesos.
10%

Aplicação dos conteúdos interdisciplinares no texto argumentativo
As ideias têm relação direta com a situação descrita e explicitam conteúdos de TODAS as disciplinas do semestre.
50%

Riqueza de argumentação
O conteúdo reflete pensamento crítico e contempla os pontos da proposta.
20%

Organização dos conteúdos
O trabalho segue uma sequência lógica e condizente com os conteúdos apresentados.
10%

Normalização
Respeito às normas da ABNT, ortografia e estrutura solicitada.
10%

Desejamos uma ótima atividade!
Equipe de professores

Como se realizam os envios?