CompTIA SY0-701: Segurança de Endpoint, Móvel e Física — Guia de estudos

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Faz parte do CompTIA Security+ SY0-701 — Guia de estudos. Pratique com respostas verificadas no centro de exames da CompTIA, ou faça testes cronometrados no ExamRoll.io.

A segurança dos sistemas de informação depende, em última análise, da segurança dos dispositivos físicos e de endpoint que armazenam e processam dados. Um firewall perfeitamente configurado oferece pouca proteção quando um laptop não criptografado é roubado de uma sala de aeroporto, quando um técnico deixa uma porta de data center aberta por conveniência, ou quando um funcionário instala um APK comprometido em um celular corporativo.

Modelos de Implantação Móvel e Hardening de Dispositivos

A estratégia de gerenciamento de dispositivos móveis começa com os modelos de propriedade e controle. Em um modelo Bring Your Own Device (BYOD), os funcionários usam hardware pessoal para o trabalho. A organização tem autoridade limitada para impor configurações, então os controles se concentram na conteinerização — separando os dados corporativos em um espaço de trabalho criptografado e gerenciável remotamente (como o Android Work Profile ou o iOS User Enrollment), enquanto os dados pessoais permanecem intocados. A limpeza remota (remote wipe) em BYOD geralmente se limita ao contêiner corporativo.

Dispositivos Corporate-Owned, Personally Enabled (COPE) são comprados e pertencem à organização, mas permitem um uso pessoal razoável. Como a empresa é proprietária do hardware, ela pode impor políticas completas no dispositivo: complexidade de PIN obrigatória, opções de desenvolvedor desativadas, versões de SO impostas, lista de permissões de aplicativos (allowlisting) e limpeza remota completa do dispositivo. O modelo COPE estabelece um equilíbrio entre a satisfação do usuário e o controle empresarial.

O modelo Corporate-Owned, Business Only (COBO) restringe os dispositivos a um uso estritamente relacionado ao trabalho. Aplicativos pessoais, câmeras, transferência por USB e lojas de aplicativos são desativados. O COBO é apropriado para ambientes de alta segurança, como saúde, finanças ou governo, onde o risco de vazamento de dados supera a conveniência do funcionário.

Plataformas de Mobile Device Management (MDM) (Jamf, Microsoft Intune, VMware Workspace ONE) impõem políticas, distribuem configurações, implantam aplicativos e permitem a limpeza remota. O Mobile Application Management (MAM) foca especificamente em controles no nível do aplicativo, sem exigir o registro completo do dispositivo — útil em cenários BYOD onde os funcionários resistem ao registro completo no MDM.

Hardening de Endpoints e Baselines de Configuração

O hardening de endpoints reduz a superfície de ataque de estações de trabalho e servidores. Os CIS Benchmarks fornecem orientações de configuração prescritivas e baseadas em consenso para Windows, Linux, macOS e principais aplicações. As principais medidas de hardening incluem desativar serviços e portas desnecessários, habilitar firewalls baseados em host, configurar atualizações automáticas, habilitar criptografia de disco completo, implantar EDR e impor a lista de permissões de aplicativos (allowlisting).

A Group Policy em ambientes Active Directory impõe configurações em escala. Uma GPO pode impor:

Computer Configuration > Windows Settings > Security Settings:
  - Minimum password length: 14 characters
  - Account lockout threshold: 5 invalid attempts
  - Audit logon events: Success and Failure
  - Disable: Guest account, AutoRun/AutoPlay
  - Enable: Windows Firewall (all profiles)

O gerenciamento de patches é a atividade de segurança com o maior retorno para endpoints. A maioria dos exploits bem-sucedidos visa vulnerabilidades conhecidas para as quais os patches estão disponíveis há meses ou anos. Um programa de gerenciamento de patches define SLAs por severidade (patches críticos em até 72 horas, altos em até 14 dias, médios em até 30 dias), monitora a conformidade e escala as exceções.

Controles de Segurança Física

A segurança física é a primeira linha de defesa. Mantraps (também chamadas de eclusas ou vestíbulos de controle de acesso) criam uma entrada de duas portas onde a primeira porta deve se fechar antes que a segunda se abra, impedindo o tailgating (carona). Leitores de crachá, scanners biométricos e teclados de PIN controlam o acesso a áreas sensíveis. CFTV (Circuito Fechado de TV) fornece dissuasão e evidências forenses. Vigilantes fornecem o julgamento humano que sistemas automatizados não conseguem replicar.

Controles ambientais protegem contra ameaças não adversárias. Data centers exigem gerenciamento preciso de temperatura e umidade (classe ASHRAE A1: 15–32°C, 20–80% UR), refrigeração redundante, supressão de incêndio (sistemas de agente limpo como FM-200 ou Novec 1230 que não danificam os equipamentos) e piso elevado para gerenciamento de cabos e fluxo de ar.

Gaiolas de Faraday bloqueiam sinais eletromagnéticos, impedindo a comunicação sem fio para dentro ou para fora de um espaço blindado. Elas são usadas em instalações de alta segurança para prevenir a exfiltração de dados baseada em RF e em investigações forenses para impedir a limpeza remota de dispositivos apreendidos.

Cenário Prático: Tailgating Físico Levando ao Roubo de Dados

O pregão de uma empresa de serviços financeiros tinha acesso controlado por crachá, mas não possuía uma mantrap. Um invasor se passando por um técnico de HVAC (usando uniforme e carregando ferramentas) esperou perto da entrada e seguiu um funcionário legítimo pela porta quando ele passou o crachá — um ataque clássico de tailgating (carona). Uma vez lá dentro, o invasor localizou uma estação de trabalho desacompanhada que havia sido deixada logada, inseriu um pendrive contendo um keylogger e um payload de reverse shell, e saiu em menos de quatro minutos. O keylogger capturou as credenciais dos traders durante a semana seguinte, que foram usadas para acessar a plataforma de negociação a partir de um IP externo. A falha no controle físico — ausência de mantrap, de política de acompanhamento de visitantes e de política para estações de trabalho desacompanhadas — permitiu toda a cadeia de ataque. Uma mantrap teria exigido que o invasor passasse seu próprio crachá, e uma política de bloqueio de tela (timeout de inatividade de 5 minutos) teria impedido o acesso à estação de trabalho desbloqueada.

← Continuidade de Negócios e Recuperação de Desastres · Todos os domínios · Gerenciamento de Vulnerabilidades e de Patches →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →