Testes de intrusão NCA ECC: controlo 2-11

O que o controlo 2-11 diz realmente

Os Essential Cybersecurity Controls colocam os testes de intrusão no domínio 2, Cybersecurity Defence, no controlo 2-11. O seu propósito é avaliar a eficácia da capacidade defensiva da organização através de ataque simulado, a fim de encontrar na infraestrutura técnica as fragilidades que possam conduzir a uma violação.

O controlo decompõe-se em três obrigações, e as organizações cumprem habitualmente a terceira falhando as duas primeiras:

• Definir, documentar e aprovar os requisitos de cibersegurança para os testes de intrusão. Esta é uma obrigação documental por direito próprio: precisa de uma declaração escrita e aprovada sobre como o âmbito dos testes é definido, com que frequência são executados e quem os autoriza.
• Implementar esses requisitos. Os testes acontecem efetivamente, no ciclo que documentou.
• Definir o âmbito dos testes para cobrir, no mínimo, os serviços expostos à internet e a infraestrutura técnica que os suporta.

A consequência prática: uma entidade que encomenda todos os anos um excelente teste de intrusão mas nunca redigiu e aprovou os seus requisitos de teste continua em incumprimento do 2-11. O avaliador procura a política e o rasto de aprovação tanto quanto o relatório.

A armadilha dos seis meses: o CSCC

Se algum dos seus sistemas estiver classificado como crítico, os Critical Systems Cybersecurity Controls aplicam-se por cima do ECC e elevam o requisito de testes para esses sistemas para pelo menos de seis em seis meses.

É a falha de orçamento e planeamento mais comum nos programas de conformidade sauditas. O pressuposto anual fica fixado nas compras, o exercício de classificação acontece mais tarde ou noutra equipa, e o desencontro surge na avaliação, quando já não há tempo para um segundo teste. Faça primeiro a classificação e depois dimensione o programa de testes em torno da resposta; e se uns sistemas forem críticos e outros não, pode frequentemente executar um trabalho semestral mais reduzido sobre o subconjunto crítico e um trabalho anual completo sobre todo o parque, o que fica consideravelmente mais barato do que testar todo o ambiente duas vezes por ano.

Definir um âmbito que passe a avaliação

O âmbito mínimo do controlo são os serviços expostos à internet mais a infraestrutura técnica por detrás. Isso é um piso. Um âmbito construído apenas até ao piso convida a uma pergunta óbvia do avaliador: se a sua análise de exposição para na fronteira, como sabe que um ponto de apoio no perímetro não leva a lado nenhum?

O âmbito que se aguenta sem discussão:

• Rede externa — todo o parque exposto à internet, incluindo os hosts e serviços publicados há anos e esquecidos. Explicitamente exigido pelo controlo.
• Aplicações web e APIs — autenticação, autorização, lógica de negócio, injeção. Na prática, a infraestrutura técnica por detrás do serviço exposto à internet.
• Rede interna — até onde chega um ponto de apoio e se a segmentação aguenta sob pressão.
• Active Directory — abuso de modelos de certificado do ADCS, Kerberoasting, delegação e caminhos de ACL até Domain Admin. Num parque governamental ou empresarial saudita é quase sempre aqui que um ponto de apoio perimetral se torna um comprometimento total, e é a parte que uma avaliação baseada em scanner nunca encontrará.
• Nuvem — onde as cargas de trabalho migraram, os Cloud Cybersecurity Controls aplicam-se em paralelo e o tenant exige o mesmo tratamento: caminhos de escalada no Entra ID e no Azure RBAC, armazenamento exposto, configuração incorreta de identidades.

O pacote de evidências

Quatro artefactos, e o que mais frequentemente falta é o último:

• O documento de requisitos de teste aprovados — é a parte do 2-11 que não é o teste.
• Um documento de âmbito que mostre o que ficou dentro e fora, e porque era apropriado.
• O relatório: achados, classificações CVSS, passos de reprodução e mapeamento explícito para o controlo 2-11.
• Evidências de remediação e reteste — o que foi corrigido, quando, confirmado por um reteste. Os riscos que decidir aceitar precisam de uma decisão registada e de um motivo; aceitar é permitido, silenciar não.

Uma carta de atestação indicando quem testou, contra que âmbito e em que datas completa o pacote. Todos os trabalhos aqui incluem o relatório, o reteste e a atestação como padrão e não como extras pagos, porque o entregável real é um pacote pronto para a avaliação: o relatório por si só não é.

Porque importa quem testa

O ECC não prescreve uma certificação como a NESA faz nos Emirados, mas a pergunta surge na avaliação e por parte dos clientes públicos que transferem o requisito para baixo: quem fez isto e o que detém?

Detenho a OSCP+, a forma renovada da certificação da OffSec, com eCPPT, eWPT e eCIR ao lado, e AZ-500, SC-200 e SC-300 para a parte Microsoft e Azure do trabalho. Todas verificáveis de forma independente através da credential wallet da OffSec, e esse link pertence ao seu dossiê de evidências ao lado do relatório.

Trabalho a partir de Amã em GMT+3 — horário idêntico ao de Riade — em árabe ou inglês, remotamente. Os testes internos e de Active Directory decorrem sobre uma VPN ou um jump host dentro do seu ambiente, e qualquer restrição quanto ao local onde as evidências são processadas ou armazenadas entra por escrito nas regras de empenhamento antes de os testes começarem.

Próximos passos

Diga-me se o CSCC se aplica a algum dos seus sistemas, como é o ambiente e quando é a sua avaliação. Recebe um orçamento fechado e uma data de início. Se quiser ver primeiro o entregável, há um relatório de exemplo; e se quiser ver a sua exposição externa atual em poucos minutos, a análise de perímetro gratuita fá-lo sem qualquer compromisso.

Mais contexto: testes de intrusão na Arábia Saudita explica como ECC, CSCC e SAMA se encaixam, a página da SAMA cobre o requisito do setor financeiro e a visão geral de conformidade compara todos os referenciais. Entre em contacto — o árabe é bem-vindo.