Projeto Integrado DataShield Solutions

Projeto Integrado DataShield Solutions

ORIENTAÇÕES INICIAIS

A partir da análise do contexto inicial apresentado, você, como futuro profissional, deverá

desenvolverá uma atividade fundamentada nas disciplinas estudadas ao longo deste semestre.

Essa atividade visa aprimorar suas habilidades de leitura, interpretação e aplicação dos

conhecimentos adquiridos, proporcionando uma compreensão mais profunda e crítica dos

conteúdos abordados.

A DataShield Solutions é uma empresa de tecnologia que desenvolve uma plataforma integrada para

gestão de dados corporativos, oferecendo módulos web, aplicativos mobile e um conjunto de APIs

consumidos por clientes de médio e grande porte. Com o aumento rápido da base de usuários e a

entrada de novos clientes estratégicos, a empresa acelerou a expansão de sua infraestrutura,

combinando serviços em nuvem com servidores físicos internos.

Nos últimos meses, porém, começaram a surgir sinais preocupantes: acessos suspeitos foram

identificados no painel administrativo, alguns endpoints da API apresentaram comportamento

inconsistente e houve relatos de lentidão e indisponibilidade recorrente nos serviços web. Um red

team contratado pela diretoria realizou testes preliminares e apontou riscos significativos, incluindo

vulnerabilidades em aplicações, falhas nas políticas de acesso, exposição de serviços internos e

configurações inadequadas em servidores e rede.

Paralelamente, análises internas mostraram que parte do ambiente está desatualizado, a empresa

não possui processos formais de auditoria, monitoramento ou resposta a incidentes e que muitos

controles de segurança dependem de configurações manuais feitas pelos próprios desenvolvedores.

Além disso, existe preocupação com a conformidade legal, pois a plataforma armazena informações

sensíveis de clientes e colaboradores.

Diante desse cenário, a diretoria concluiu que a empresa não possui maturidade suficiente para

continuar crescendo sem riscos elevados. Assim, solicitou que uma equipe multidisciplinar —

envolvendo especialistas de redes, segurança ofensiva, segurança defensiva, gestão,

desenvolvimento, infraestrutura e sistemas — realize uma avaliação completa do ambiente e

proponha um plano estratégico de segurança da informação, contemplando:

• identificação de vulnerabilidades e falhas estruturais;

• análise e reforço da segurança de redes e servidores;

• recomendações de defesa, monitoramento, acesso e proteção de dados;

• avaliação da segurança das aplicações web e APIs;

• verificação de conformidade com normas e legislações vigentes;

• propostas de mitigação, resposta a incidentes e continuidade;

• ajustes organizacionais e de governança referentes à segurança.

ATIVIDADE A SER REALIZADA

Passo 1: [Gestão da Segurança da Informação] A DataShield Solutions enfrenta um conjunto de incidentes e fragilidades que revelam falhas

graves de governança, ausência de processos formais e controles inconsistentes em toda a

organização. Os problemas vão desde acessos suspeitos e vulnerabilidades em APIs até inexistência

de práticas consolidadas de auditoria, monitoramento contínuo e segregação apropriada de funções.

Para reduzir riscos e elevar a maturidade da empresa, é necessário adotar uma abordagem de Gestão

da Segurança da Informação sistemática, baseada em políticas, processos e controles estruturados.

Com base no cenário apresentado da DataShield Solutions, crie um modelo resumido de fluxo

de resposta a incidentes, adequado à realidade da DataShield Solutions, contendo:

1. Identificação

2. Contenção

3. Erradicação

4. Recuperação

5. Pós-incidente

Passo 2: [Segurança Defensiva – Blue Team] Com base no cenário da DataShield Solutions:

A) Identifique e classifique os vetores de ataque mais prováveis no ambiente (painel

administrativo, APIs, servidores internos e infraestrutura híbrida), indicando quais representam

maior risco imediato para a disponibilidade, integridade e confidencialidade dos dados.

B) Proponha um plano de monitoramento e detecção (Blue Team) que possa ser

implementado a curto e médio prazo, incluindo:

• quais logs e eventos devem ser coletados,

• quais ferramentas/controles seriam utilizados (SIEM, IDS/IPS, WAF, etc.),

• que tipos de alertas e correlações são prioritários para detectar comportamentos

suspeitos.

C) Defina um conjunto de medidas técnicas de hardening e segmentação de rede para reduzir

a superfície de ataque e dificultar movimentos laterais, contemplando servidores on-premises,

serviços em nuvem, painéis administrativos e APIs.

Passo 3: [SEGURANÇA OFENSIVA – ETHICAL HACKING – RED TEAM] Com base no cenário da DataShield Solutions, responda:

A) Durante a fase preliminar do red team, foram identificados acessos suspeitos ao painel

administrativo, serviços internos expostos e APIs apresentando comportamento

inconsistente. Explique quais técnicas de reconhecimento ativo e passivo o time de Ethical

Hacking poderia utilizar para identificar vulnerabilidades, mapeando superfícies de ataque

relevantes, e descreva como esses achados contribuem para a construção do plano

ofensivo e para o relatório de riscos da DataShield Solutions.

B) Após os testes, o red team concluiu que a DataShield não possui um processo estruturado

de auditoria de aplicações, nem prática de análise de superfície de ataque ou pentests

frequentes. Proponha os elementos essenciais que devem compor um plano de

recuperação pós-engajamento ofensivo, levando em conta os problemas identificados

(ambiente desatualizado, falta de hardening, serviços expostos e APIs vulneráveis).

Passo 4: [SISTEMAS DE COMPUTAÇÃO E DE INFORMAÇÃO] A) A DataShield combina infraestrutura em nuvem com servidores físicos internos, e parte

desse ambiente está desatualizada, com configurações manuais feitas por desenvolvedores.

Sistemas operacionais são a base para o funcionamento dos serviços, gerenciando processos,

memória, armazenamento, dispositivos e a comunicação com o hardware, além de prover

mecanismos de segurança e isolamento entre aplicações.

Pergunta:

Como deve ser considerado o aspecto de Segurança e Proteção em Sistemas Operacionais no

contexto da DataShield Solutions, levando em conta o ambiente híbrido (nuvem + onpremises) e as falhas descritas no cenário?

B) O cenário mostra que a DataShield não possui processos formais de auditoria,

monitoramento ou resposta a incidentes e que muitos controles de segurança são

improvisados. O red team já identificou vulnerabilidades significativas, e análises internas

revelaram diversas fragilidades.

Como a implementação de um modelo de gestão do conhecimento poderia ajudar a

DataShield a transformar o conhecimento explícito (relatórios, logs, achados de pentest) em

aprendizado organizacional (conhecimento tácito) para prevenir futuras falhas? Cite um

exemplo prático.

C) A diretoria está preocupada com a conformidade legal, especialmente porque a plataforma

armazena informações sensíveis, e não há processos claros de auditoria, rastreabilidade,

classificação da informação ou tratamento de incidentes.

Pergunta:

Analise o cenário e identifique dois desafios principais na gestão da informação que a

DataShield enfrenta para atender requisitos regulatórios (como LGPD) e auditorias. Explique

como cada um desses desafios pode ser superado com o uso adequado de sistemas de

informação.

Passo 5: [SEGURANÇA DA INFORMAÇÃO E DE REDES] A DataShield Solutions é uma empresa de tecnologia que desenvolve uma plataforma

integrada para gestão de dados corporativos, com módulos web, aplicativos mobile e APIs

consumidas por clientes de médio e grande porte. A infraestrutura cresceu de forma acelerada,

combinando serviços em nuvem com servidores físicos internos.

• Foram identificados problemas como:

• acessos suspeitos ao painel administrativo;

• endpoints de API com comportamento inconsistente;

• lentidão e indisponibilidade recorrente nos serviços web;

• exposição de serviços internos e configurações inadequadas em servidores e rede;

• ausência de processos formais de auditoria, monitoramento e resposta a incidentes;

• preocupação com a conformidade legal, devido ao armazenamento de dados sensíveis

de clientes e colaboradores.

Com base nesse cenário, responda:

A) Considerando os princípios de segurança da informação (Confidencialidade, Integridade,

Disponibilidade e Autenticidade), identifique ao menos três riscos relevantes relacionados à

infraestrutura de redes da DataShield (incluindo nuvem + on-premises) e explique como cada risco

impacta esses princípios.

B) A DataShield precisa garantir proteção dos dados em trânsito entre:

• usuários (web/mobile) e a plataforma;

• comunicação entre módulos da aplicação e APIs;

• comunicação entre nuvem e servidores internos (site-to-site, acesso remoto de

administradores).

Defina quais protocolos e mecanismos de criptografia e segurança de rede devem ser

utilizados em cada um desses cenários (ex.: TLS, HTTPS, VPN/IPsec, SSH, etc.) e justifique suas

escolhas.

Passo 6: [SEGURANÇA DE TECNOLOGIAS WEB] A DataShield Solutions desenvolve uma plataforma integrada de gestão de dados

corporativos, composta por:

• Aplicações web (painel administrativo e módulos para clientes);

• Aplicativos mobile que consomem a plataforma;

• APIs expostas para integração com sistemas de clientes de médio e grande porte.

Nos últimos meses foram identificados:

• Acessos suspeitos ao painel administrativo;

• Endpoints de API com comportamento inconsistente;

• Lentidão e indisponibilidade recorrente dos serviços web;

• Vulnerabilidades em aplicações, falhas nas políticas de acesso e exposição de serviços

internos;

• Falta de processos formais de auditoria, monitoramento e resposta a incidentes;

• Preocupação com conformidade legal e proteção de dados sensíveis.

Com base nesse cenário, responda:

A) A partir das informações fornecidas, identifique quatro vulnerabilidades ou riscos

específicos relacionados à segurança de tecnologias web (aplicações web e APIs) que podem estar

presentes na DataShield. Para cada um, explique:

• o que caracteriza o risco/vulnerabilidade;

• qual é o possível impacto para a empresa e seus clientes.

B) O painel administrativo da DataShield apresenta acessos suspeitos, e muitos controles

dependem de configurações manuais feitas por desenvolvedores. Proponha um modelo seguro de

autenticação e gerenciamento de sessão para esse painel web, considerando:

• autenticação de usuários;

• proteção de sessões;

• armazenamento de credenciais e tokens;

NORMAS PARA ELABORAÇÃO E ENTREGA DA ATIVIDADE

O trabalho final deverá ser realizado no arquivo denominado Modelo, disponibilizado no AVA,

obedecendo os critérios a seguir:

a) Atenção aos prazos de postagens, acompanhe o cronograma das datas de postagem e

correção das atividades em seu AVA.

b) A postagem no AVA deve ser em um único arquivo, em formato (Word ou pdf), com tamanho

máximo de 10MB, conforme Modelo. O sistema irá disponibilizar para correção apenas o

último arquivo postado.

c) O trabalho deverá ser realizado individualmente.

d) O trabalho final deve ser original e, portanto, não poderá haver trabalhos idênticos aos de

outros grupos ou com reprodução de materiais extraídos da internet. Os trabalhos plagiados

serão invalidados, sendo os alunos reprovados na atividade. Observe que a prática do plágio

constitui crime, com pena prevista em lei (Lei n.º 9.610), e deve ser evitada no âmbito

acadêmico.

e) Desenvolver o projeto integrado a partir do template disponibilizado no AVA. Para nortear o

desenvolvimento do projeto integrado que está sendo proposto, é necessário que sejam

apresentados os resultados no template, seguindo as normas da ABNT.

f) Em caso de dúvida para elaboração do trabalho, você deverá buscar orientações com seu

tutor a distância.

O Projeto Integrado é sua chance de aplicar a teoria, simular desafios reais e desenvolver habilidades

essenciais (solução de problemas, colaboração e pensamento crítico).

Dedique-se, sua construção de conhecimento hoje é a chave para o sucesso profissional amanhã.

CRITÉRIOS DE CORREÇÃO

Critério Significado Valor/Peso

Coerência, clareza e coesão

A produção textual apresenta linguagem de

fácil compreensão, com argumentos claros e

coesos.

10%

Aplicação dos conteúdos

interdisciplinares no texto

argumenta@vo

As ideias têm relação direta com a situação

descrita e explicitam conteúdos de TODAS as

disciplinas do semestre.

50%

Riqueza de argumentação O conteúdo reflete pensamento crí_co e

contempla os pontos da proposta,

20%

Organização dos conteúdos O trabalho segue uma sequência lógica e

condizente com os conteúdos apresentados.

10%

Normalização Respeito às normas da ABNT, ortografia e

estrutura solicitada.

10%

Desejamos uma ótima atividade!

Equipe de professores