📋 Resumo — Capítulo 10

Virtualização, Cloud, Mobile, IoT e Email Security

🎯 Pontos-Chave para a Prova

Type 1 (bare metal) = direto no hardware | Type 2 (hosted) = sobre SO existente
VM Escape = VM compromete o hypervisor (crítico) | VM Sprawl = proliferação descontrolada
Container compartilha kernel do host — mais leve que VM, menos isolado
SDN Control Plane = decisões | Data Plane = encaminhamento
SaaS = provider gerencia tudo | PaaS = provider gerencia plataforma | IaaS = provider gerencia hardware
CASB = proxy de segurança entre usuários e provedores cloud
Shared Responsibility: em IaaS o cliente é responsável pelo SO e acima
MDM = gerencia dispositivo | MAM = gerencia apenas apps
BYOD = maior risco | COPE = empresa controla tudo | CYOD = lista aprovada
SPF = DNS lista IPs autorizados | DKIM = assinatura digital | DMARC = política de falha
SCADA/ICS: isolamento (air gap) é a principal proteção
IoT: segmentar em VLAN separada, trocar senhas padrão

1️⃣ Virtualização

🖥️ Hypervisor Type 1 (Bare Metal)

Executa diretamente no hardware
Melhor performance e segurança
Usado em produção/datacenter
Exemplos: VMware ESXi, Hyper-V, Xen, KVM

💻 Hypervisor Type 2 (Hosted)

Executa sobre um SO existente
Menor performance, mais simples
Usado em dev, teste, workstations
Exemplos: VMware Workstation, VirtualBox, Parallels

Ameaças em Virtualização

Ameaça	Descrição	Impacto
VM Escape	VM compromete o hypervisor ou host	Crítico — acesso a todas as VMs
VM Sprawl	Proliferação descontrolada de VMs	Patches não aplicados, inventário perdido
Hyperjacking	Atacante instala hypervisor rogue abaixo do legítimo	Controle total e invisível do sistema
Live VM Migration	Migração de VM por canal não criptografado	Interceptação de dados em trânsito
Resource Reuse	Dados residuais de VM desativada em memória/disco	Exposição de dados de outra VM

Containers vs VMs

Característica	VM	Container
Isolamento	✅ Completo (SO próprio)	⚠️ Compartilha kernel do host
Leveza	Pesado (GB)	Leve (MB)
Boot	Minutos	Segundos
Exemplo	VMware ESXi, Hyper-V	Docker, Kubernetes
Risco	VM Escape	Container Escape (kernel compartilhado)

2️⃣ Redes Virtuais e SDN

Componentes de Rede Virtual

vSwitch: Switch virtual que conecta VMs entre si e à rede física
NIC Teaming (Bonding): Agrupa múltiplas NICs para balanceamento de carga e failover
VLAN: Segmentação lógica — separa domínios de broadcast sem hardware adicional
Microsegmentação: VLANs granulares no nível de workload, não apenas de subnet

SDN — Software-Defined Networking

Plano	Função	Implementação
Control Plane	Toma decisões de roteamento/encaminhamento	Software centralizado (SDN Controller)
Data Plane	Executa o encaminhamento de pacotes	Hardware (switches, roteadores)
Management Plane	Configuração e monitoramento	Interface de gerenciamento

APIs Northbound: Control Plane ↔ Aplicações (automação, orquestração) — geralmente REST
APIs Southbound: Control Plane ↔ Dispositivos de rede — ex: OpenFlow, NETCONF

3️⃣ Cloud Computing

Modelos de Serviço (XaaS)

Modelo	Cliente gerencia	Provider gerencia	Exemplos
SaaS	Apenas uso	Tudo	Gmail, Office 365, Salesforce
PaaS	App + Dados	Runtime, SO, Infra	Heroku, Google App Engine
IaaS	SO, App, Dados	Virtualização, Hardware	AWS EC2, Azure VMs, GCP
FaaS	Funções/código	Infra completa	AWS Lambda, Azure Functions

Modelos de Implantação

Modelo	Descrição	Segurança
Public Cloud	Multi-tenant, internet, pay-per-use	Menor controle
Private Cloud	Dedicado a uma organização	Maior controle
Hybrid Cloud	Pública + Privada com portabilidade	Balanceia custo/controle
Community Cloud	Compartilhado por organizações similares	Custos e políticas compartilhados

⚠️ Shared Responsibility Model

SaaS: Provider responsável por quase tudo. Cliente: dados e acesso
PaaS: Cliente: aplicação e dados. Provider: todo o resto
IaaS: Cliente: SO, middleware, apps, dados. Provider: hardware e virtualização
Segurança é SEMPRE responsabilidade compartilhada — o cliente NUNCA está isento

Segurança em Cloud

CASB (Cloud Access Security Broker): Proxy entre usuários e provedores cloud — aplica políticas, detecta shadow IT, DLP
CSPM (Cloud Security Posture Management): Identifica misconfigurações em ambientes cloud
CWPP (Cloud Workload Protection Platform): Proteção de workloads em runtime
Serverless Security: Funções efêmeras com superfície de ataque reduzida mas sem visibilidade tradicional
API Gateway: Ponto central de controle para APIs cloud — autenticação, rate limiting, logging

4️⃣ Segurança Mobile

Políticas de Dispositivo

Política	Quem é dono	Controle empresa	Risco
BYOD	Funcionário	Limitado	Alto
COPE	Empresa	Total	Baixo
CYOD	Empresa	Alto	Baixo/Médio
COBO	Empresa	Total (só trabalho)	Mínimo

Gerenciamento Mobile

MDM (Mobile Device Management): Gerencia o dispositivo inteiro — políticas, remote wipe, apps, inventário
MAM (Mobile Application Management): Gerencia apenas aplicações específicas — sem controle do dispositivo pessoal
UEM (Unified Endpoint Management): MDM estendido para todos endpoints (mobile, desktop, IoT)
Containerização: Separa ambiente corporativo do pessoal em BYOD

Ameaças Mobile

Jailbreaking (iOS) / Rooting (Android): Remove restrições do SO — expõe a malware
Sideloading: Instalar apps fora da loja oficial — risco de malware
Rogue App: App malicioso na loja ou fora dela
SMS Phishing (Smishing): Phishing via SMS
Baseband Attack: Exploração do processador de rádio (modem)
Evil Twin Wi-Fi: Redes falsas para interceptar tráfego mobile

5️⃣ IoT e Sistemas Embarcados

Sistema	Descrição	Proteção Principal
IoT	Dispositivos conectados — câmeras, sensores, smart devices	Segmentar em VLAN, trocar senhas padrão
SCADA/ICS	Controle industrial (energia, água, manufatura)	Air gap, monitoramento dedicado
RTOS	SO de tempo real — determinismo > performance	Patches rígidos, isolamento
SoC	Processador+memória+periféricos em 1 chip	Secure boot, firmware signing
ICS	Industrial Control System — supervisão de processos	Protocolo OT separado de IT
HVAC	Controle de temperatura/ambiente em datacenters	Segmentar da rede principal

🏭 Por que SCADA/ICS é crítico?

Sistemas SCADA controlam infraestrutura crítica nacional (energia elétrica, água, oleodutos). Um ataque bem-sucedido pode ter impacto físico real. Protocolo Modbus/DNP3 são legados e sem segurança nativa.

6️⃣ Email Security

Autenticação de Email (SPF, DKIM, DMARC)

Protocolo	Mecanismo	O que previne
SPF	Registro DNS TXT com IPs autorizados a enviar	Spoofing de envelope (Return-Path)
DKIM	Assinatura criptográfica no header do email	Spoofing + adulteração em trânsito
DMARC	Política de o que fazer quando SPF/DKIM falham	Phishing — define: none, quarantine, reject

Outros Controles de Email

S/MIME: Criptografia e assinatura digital de email ponta a ponta (certificados PKI)
PGP/GPG: Criptografia de email com web of trust (sem CA central)
Email Gateway: Filtra spam, malware e phishing antes de chegar ao usuário
Anti-Spam: Filtragem por reputação, conteúdo, SPF/DKIM/DMARC
Email DLP: Previne vazamento de dados via email
MX Record: Registro DNS que define os servidores de email do domínio

🎯 Dicas Finais para a Prova

Type 1 vs Type 2: Type 1 = datacenter (bare metal). Type 2 = dev (sobre SO)
VM Escape ≠ VM Sprawl: Escape = ataque ao hypervisor. Sprawl = gestão inadequada
Container ≠ VM: Container compartilha kernel — menos isolado mas mais eficiente
CASB é o controle de segurança específico para cloud (não confundir com firewall)
Northbound = apps (REST) | Southbound = dispositivos (OpenFlow)
SPF = DNS | DKIM = assinatura | DMARC = política
MDM gerencia dispositivo inteiro | MAM gerencia apenas apps específicas
BYOD = maior risco | COBO = menor risco
Air gap é a proteção mais forte para SCADA/ICS

☁️ Capítulo 10

📋 Resumo — Capítulo 10

🎯 Pontos-Chave para a Prova

1️⃣ Virtualização

🖥️ Hypervisor Type 1 (Bare Metal)

💻 Hypervisor Type 2 (Hosted)

Ameaças em Virtualização

Containers vs VMs

2️⃣ Redes Virtuais e SDN

Componentes de Rede Virtual

SDN — Software-Defined Networking

3️⃣ Cloud Computing

Modelos de Serviço (XaaS)

Modelos de Implantação

⚠️ Shared Responsibility Model

Segurança em Cloud

4️⃣ Segurança Mobile

Políticas de Dispositivo

Gerenciamento Mobile

Ameaças Mobile

5️⃣ IoT e Sistemas Embarcados

🏭 Por que SCADA/ICS é crítico?

6️⃣ Email Security

Autenticação de Email (SPF, DKIM, DMARC)

Outros Controles de Email

🎯 Dicas Finais para a Prova

❓ Quiz — Capítulo 10

☁️ Capítulo 10

📋 Resumo — Capítulo 10

🎯 Pontos-Chave para a Prova

1️⃣ Virtualização

🖥️ Hypervisor Type 1 (Bare Metal)

💻 Hypervisor Type 2 (Hosted)

Ameaças em Virtualização

Containers vs VMs

2️⃣ Redes Virtuais e SDN

Componentes de Rede Virtual

SDN — Software-Defined Networking

3️⃣ Cloud Computing

Modelos de Serviço (XaaS)

Modelos de Implantação

⚠️ Shared Responsibility Model

Segurança em Cloud

4️⃣ Segurança Mobile

Políticas de Dispositivo

Gerenciamento Mobile

Ameaças Mobile

5️⃣ IoT e Sistemas Embarcados

🏭 Por que SCADA/ICS é crítico?

6️⃣ Email Security

Autenticação de Email (SPF, DKIM, DMARC)

Outros Controles de Email

🎯 Dicas Finais para a Prova

❓ Quiz — Capítulo 10

APROVADO!