Capítulo 1 — Raciocínio matemático
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 Três tipos de inferência"]
N1["1.2 Falácias em relatórios"]
N2["1.3 Proporções e razões"]
N3["1.4 Premissas"]
N4["Estimar antes de calcular"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 Três tipos de inferência"]
N1["1.2 Falácias em relatórios"]
N2["1.3 Proporções e razões"]
N3["1.4 Premissas"]
N4["Estimar antes de calcular"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX001"]
[1.1 Três tipos de inferência]
|
v
[1.2 Falácias em relatórios]
|
v
[1.3 Proporções e razões]
|
v
[1.4 Premissas]
|
v
[Estimar antes de calcular]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) distinguir dedução, indução e abdução no trabalho de inteligência; (2) identificar falácias comuns em relatórios de ameaças; (3) usar proporções e razões corretamente; (4) explicitar as premissas por trás de uma conclusão.
1.1 Três tipos de inferência
A dedução vai de regras a conclusões certas: se todo relatório TLP:RED vai apenas para destinatários nomeados e Amara não está entre eles, ela não pode lê-lo. A indução generaliza a partir de casos: cinco relatórios do setor começaram com phishing, então o phishing é uma via de entrada comum. A abdução propõe a melhor explicação para uma observação: uma rajada de logins com falha durante a noite pode ser adivinhação de senhas. A análise de inteligência depende muito da abdução, e é por isso que suas conclusões precisam ser declaradas com incerteza. Amara rotula cada conclusão com a inferência que a produziu.
1.2 Falácias em relatórios
Raciocínio post hoc: uma indisponibilidade veio depois de um e-mail de phishing, então o e-mail a causou. Negligência da taxa-base: um detector com 99% de acerto parece decisivo até você lembrar como ataques reais são raros. Sobrevivência: estudar apenas os incidentes detectados diz pouco sobre os que não foram. Nomear a falácia no rascunho de um colega é uma habilidade útil de revisão. Na primeira revisão que Amara faz de um rascunho do HSSC, ela marca uma frase que atribui um surto de ransomware a um fornecedor porque a atualização do fornecedor chegou na véspera. O rascunho não oferece nenhuma outra ligação. Ela sugere reescrevê-la como hipótese e listar que evidências a confirmariam ou descartariam, o que transforma uma falácia em uma pergunta útil para o próximo analista.
1.3 Proporções e razões
"O phishing apareceu em 3 de 5 relatórios" é uma proporção, 60%. Relatar só "60%" esconde que a amostra é de cinco. Sempre dê o numerador e o denominador, especialmente quando o denominador é pequeno. Amara escreve "3 de 5 relatórios" em suas notas e acrescenta o período que eles cobrem. Quando um trimestre posterior traz vinte relatórios, a proporção pode ser comparada de forma justa, e os leitores veem que o primeiro número se apoiava em pouquíssimos casos. Uma porcentagem tirada de cinco itens pode oscilar vinte pontos com um relatório a mais, então apresentá-la sozinha sugere muito mais precisão do que a evidência tem.
1.4 Premissas
Toda conclusão se apoia em premissas. Escrevê-las — os relatórios são representativos; os carimbos de tempo estão corretos — permite que os leitores julguem quanto confiar no resultado. Amara mantém uma lista curta de premissas no fim de cada nota que escreve para a equipe de segurança do HCHT. Quando uma delas se revela errada, como um feed cujos carimbos de tempo usam outro fuso horário, ela vê na hora quais conclusões dependiam dela e revisa só essas. Premissas não declaradas são os erros mais difíceis de encontrar, porque ninguém sabe que precisa conferi-las.
Estimar antes de calcular
Antes de rodar números, Amara escreve uma expectativa grosseira: cerca de metade dos relatórios do setor vai mencionar phishing. Se o valor calculado for muito diferente, ela confere os dados e o código antes de acreditar na surpresa. Estimativas grosseiras pegam cedo erros de planilha, linhas duplicadas e colunas mal lidas.
Exemplo resolvido
Um blog de fornecedor afirma que "os ataques de ransomware a hospitais subiram 300%". Amara pergunta: 300% sobre qual linha de base, em que período, contados como? O blog conta incidentes relatados publicamente, que podem subir porque as regras de notificação mudaram. Ela registra a alegação como "os incidentes relatados aumentaram; taxa subjacente desconhecida".
Caso sintético. A alegação do blog é inventada; o HCHT é fictício.
Erros e limites
A lógica organiza o raciocínio, mas não substitui a evidência. Porcentagens de amostras minúsculas enganam mesmo quando a aritmética está certa.
Exercícios
- EX001 — Tipo de inferência. Que tipo de inferência é "logins com falha durante a noite sugerem adivinhação de senhas"? Rubrica: 3 = abdução (melhor explicação), com justificativa; 2 = só o nome; 1 = dedução; 0 = nenhuma.
- EX002 — Encontre a falácia. "A indisponibilidade aconteceu depois do e-mail de phishing, então o e-mail a causou." Nomeie a falácia. Rubrica: 3 = post hoc ergo propter hoc, com o porquê; 2 = só o nome; 1 = falácia errada; 0 = nenhuma.
- EX003 — Pergunta de linha de base. Liste três perguntas a fazer sobre "os ataques subiram 300%". Rubrica: 3 = linha de base, período, método de contagem (ou mudança nas regras de notificação); 2 = duas; 1 = uma; 0 = nenhuma.
Síntese
Nomeie o tipo de inferência, pegue as falácias, dê os numeradores junto com as porcentagens e escreva as premissas.
Continue estudando — capítulo 01 de 40
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →