Um compartilhamento Samba exposto no host file1 (endereço 10.0.0.30) pode revelar arquivos a quem acessar o serviço, sem a necessidade de quebrar senhas ou instalar malware. Esse cenário é útil em nosso laboratório, pois demonstra por que testes de segurança exigem limites definidos antes de seu início. Inspecionaremos apenas sistemas de nossa propriedade ou aqueles para os quais tenhamos autorização formal (por escrito) para testar, registrando o que foi exposto pelo serviço para que o proprietário possa corrigir a vulnerabilidade.
Nosso ambiente fixo é a rede privada 10.0.0.0/24. O Kali, no endereço 10.0.0.10, atua como a estação de trabalho de testes. O host web1 (10.0.0.20) é um alvo Metasploitable 2 com serviços nas portas 21, 22 e 80, enquanto o file1 (10.0.0.30) expõe o Samba nas portas 139 e 445. Nenhum endereço fora dessa sub-rede faz parte do exercício, e o laboratório não possui alvos expostos à internet. Demonstramos a natureza de uma vulnerabilidade e seu efeito observável, e não etapas de exploração maliciosa que poderiam ser reutilizadas contra outros sistemas. Vamos examinar os limites que mantêm contidos todos os exercícios subsequentes:
Este diagrama estabelece uma direção permitida: do Kali em direção aos dois alvos do laboratório especificados. Uma solicitação para 10.0.0.30 está dentro do escopo porque file1 é um alvo designado; a mesma solicitação para um endereço desconhecido é proibida, mesmo que o serviço pareça idêntico.
Como os limites da rede, por si só, não definem o comportamento aceitável, precisamos de um acordo de Regras de Engajamento — um contrato por escrito que delimita quem pode realizar testes, quais ativos podem ser testados, quando os testes podem ocorrer e quais métodos são permitidos. Para este curso, o acordo especifica web1 e file1, restringe a atividade à faixa 10.0.0.0/24 e estabelece o Kali como a única origem dos testes. A autorização por escrito diferencia uma avaliação controlada de um acesso não autorizado, conforme leis como o Computer Fraud and Abuse Act dos Estados Unidos e o Computer Misuse Act 1990 do Reino Unido. Este curso oferece instrução técnica, não aconselhamento jurídico.
O acordo também evita que um exercício para iniciantes se torne prejudicial. Podemos identificar serviços expostos e observar, com segurança, se uma listagem anônima do Samba revela o nome de um arquivo. Não ajustamos payloads, não tentamos burlar o monitoramento, não criamos persistência, não comprometemos a disponibilidade, não realizamos tentativas massivas de adivinhação de senhas nem incluímos credenciais reais em nossas anotações. Um teste deve gerar evidências que um defensor possa verificar, e não causar uma alteração descontrolada que exija ações de recuperação por parte do proprietário do laboratório.
Limite de segurança
Se uma ação alterar o acesso, a disponibilidade ou a persistência além do escopo de observação acordado, interrompa a atividade e registre a condição em vez de prosseguir.
Cada etapa permitida gera um pequeno rastro de evidências. O caderno de anotações registra o comando exatamente como foi digitado, o carimbo de data/hora, o endereço de destino e a saída relevante. Se a listagem de um compartilhamento exibir backup.zip, registramos esse nome e a condição de acesso; em seguida, analisamos qual log de defesa registraria a conexão e qual configuração impediria o acesso anônimo. A tabela a seguir diferencia observações úteis de ações que excedem os termos do nosso acordo: