Jorge Pinto

Início / Projetos / Empresa Escola de Cibersegurança

CASE STUDY / 02

Empresa Escola de Cibersegurança

Uma organização de laboratório, não um conjunto de ferramentas isoladas

Ambiente empresarial controlado que junta diretório, IAM, aplicações, endpoints e SIEM para estudar identidade, acesso, monitorização e resposta a incidentes de ponta a ponta.

Samba ADKeycloakWazuhWindowsLinuxSSOMFARBAC
Samba AD
↓
Keycloak
↓
Apps
↓
Endpoints
↓
Wazuh
↓
Incidente

PROBLEMA

Aprender componentes isolados cria uma visão incompleta

Domínio, IAM, MFA, aplicações, endpoints e SIEM são frequentemente praticados em laboratórios diferentes. Isso esconde as dependências que aparecem numa organização real. Este projeto aproxima essas camadas num único cenário para que uma alteração de identidade possa ser seguida até ao acesso à aplicação e ao evento observado no SIEM.

OBJETIVOS

Competências que o ambiente deve permitir praticar

  • Criar utilizadores, grupos e políticas num domínio Samba AD.
  • Federar identidade no Keycloak.
  • Aplicar SSO, MFA e RBAC a aplicações de laboratório.
  • Gerar e observar falhas de autenticação.
  • Recolher eventos de endpoints e aplicações no Wazuh.
  • Correlacionar identidade, origem, cliente e timestamp durante uma investigação.

ARQUITETURA

Identidade como eixo central

Samba AD
→
LDAP / Kerberos
→
Keycloak
→
OIDC Apps
→
Eventos
→
Wazuh
→
SOC

O Samba AD mantém utilizadores e grupos. O Keycloak acrescenta federação, SSO, MFA e autorização por perfis. As aplicações consomem identidade via OIDC. Os eventos de autenticação e endpoint convergem no Wazuh para investigação.

DECISÕES TÉCNICAS

Separar responsabilidades

DIRECTORYSAMBA AD

O diretório é a fonte de utilizadores e grupos. Evita duplicar identidade dentro de cada aplicação.

IAMKEYCLOAK

O Keycloak trata autenticação moderna, OIDC, SSO, MFA e mapeamento de grupos para roles, sem transformar o controlador de domínio num servidor de aplicações.

Produção: LDAPS, conta de bind com privilégio mínimo, clientes OIDC com redirect URIs restritos e MFA testado antes de aplicação generalizada.

CENÁRIO DE PONTA A PONTA

Um exercício que atravessa todas as camadas

  1. Criar lab.user no Samba AD e adicioná-lo ao grupo adequado.
  2. Sincronizar ou federar o utilizador no Keycloak.
  3. Mapear o grupo para uma role da aplicação.
  4. Autenticar na aplicação através de OIDC e validar o acesso esperado.
  5. Gerar uma falha de login controlada.
  6. Recolher o evento do Keycloak e correlacioná-lo no Wazuh com utilizador, cliente, origem e timestamp.
  7. Registar a investigação como incidente de laboratório.
Guias associados: Identity Lab, Wazuh SIEM, Microsoft Security e Endpoint Security.

VALIDAÇÃO

Critérios de sucesso do laboratório

  • O utilizador criado no diretório é reconhecido pelo IAM.
  • O acesso à aplicação depende do grupo ou role esperado.
  • MFA pode ser aplicado sem quebrar o fluxo base de autenticação.
  • Eventos LOGIN, LOGIN_ERROR e alterações administrativas ficam observáveis.
  • O Wazuh permite investigar um evento com contexto suficiente para reconstruir o percurso.
DirectorySSORBACEventosIncidentes compostos

EVIDÊNCIA TÉCNICA

Cadeia de prova do cenário empresarial

Critério: um cenário só é marcado como validado quando existe observação técnica do percurso completo. Configuração documentada e evidência operacional são tratadas separadamente.

Samba AD

Criação de utilizadores, grupos, DNS e dependências de Kerberos estão documentadas no Identity Lab.

Documentado
Keycloak

Federação LDAP, OIDC, SSO, MFA, RBAC e eventos de autenticação estão descritos de forma reproduzível.

Documentado
Keycloak → Wazuh

Fluxo de recolha e correlação está definido. A V13.1 não inventa um screenshot ou resultado de correlação que não tenha sido fornecido.

A evidenciar
Cenário de incidente

Sequência de falha de login, correlação e investigação está preparada para execução controlada.

A executar
IdentidadeSamba AD, utilizadores, grupos e DNS.
AcessoKeycloak, SSO, MFA, RBAC e aplicações.
OperaçãoEndpoints, logs, Wazuh e investigação.

EVIDÊNCIA VISUAL

Plano de recolha de evidência

A documentação já descreve o percurso técnico. A V13.2 prepara a página para receber provas reais desse percurso sem apresentar screenshots artificiais.

Samba ADPendente

Utilizador e grupo de laboratório, com domínio e dados identificativos anonimizados quando necessário.

Prova da origem da identidade corporativa.
KeycloakPendente

Federação LDAP ou configuração do cliente OIDC sem bind password, client secret ou tokens.

Prova da federação e camada de IAM.
SSO e MFAPendente

Autenticação numa aplicação de laboratório e desafio MFA, evitando informação pessoal.

Prova do percurso de autenticação.
WazuhPendente

Evento LOGIN_ERROR ou equivalente recolhido e correlacionado no SIEM.

Prova da ligação entre identidade e operação de segurança.
Critério de publicação: uma imagem só entra no case study quando for reproduzível, relevante para a narrativa e suficientemente anonimizada.

LIMITAÇÕES

Um laboratório não é produção

O ambiente serve para reproduzir relações técnicas e operacionais. Não são apresentadas garantias de disponibilidade, escala, desempenho ou conformidade sem testes específicos. Alta disponibilidade, PKI completa, segregação de redes e recuperação de desastre pertencem a uma fase posterior.

EVOLUÇÃO

Transformar o laboratório numa pequena empresa técnica

  • Adicionar aplicações com diferentes perfis OIDC.
  • Introduzir Kubernetes para workloads internos.
  • Centralizar mais fontes no SIEM.
  • Criar playbooks de incidentes de identidade.
  • Adicionar automações com aprovação e registo.
  • Documentar evidências reais e resultados de cada exercício.
← Voltar a Projetos