Capítulo 18 — Métodos de pesquisa I | Graduação Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 18 publicada. Mapa, exemplo, EX052.

flowchart TD
  N0["18.1 Perguntas de pesquisa"]
  N1["18.2 Métodos"]
  N2["18.3 Esquema de codificação"]
  N3["18.4 Amostragem"]
  N4["18.5 Ética"]
  N5["18.6 Busca na literatura"]
  N6["Confiabilidade entre codificadores"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX052"]

Desenho lógico

flowchart LR
  N0["18.1 Perguntas de pesquisa"]
  N1["18.2 Métodos"]
  N2["18.3 Esquema de codificação"]
  N3["18.4 Amostragem"]
  N4["18.5 Ética"]
  N5["18.6 Busca na literatura"]
  N6["Confiabilidade entre codificadores"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX052"]

[18.1 Perguntas de pesquisa]
    |
    v
[18.2 Métodos]
    |
    v
[18.3 Esquema de codificação]
    |
    v
[18.4 Amostragem]
    |
    v
[18.5 Ética]
    |
    v
[18.6 Busca na literatura]
    |
    v
[Confiabilidade entre codificadores]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX052]

Objetivos de aprendizagem

Você vai (1) formular uma pergunta pesquisável; (2) escolher métodos qualitativos ou quantitativos; (3) desenhar um pequeno esquema de codificação para relatórios; (4) considerar a aprovação ética para pesquisas com pessoas.

18.1 Perguntas de pesquisa

"A CTI é útil?" é amplo demais. "Quais tipos de relatório do HSSC levaram os membros a tomar uma ação defensiva em 2026?" nomeia uma população, um período e um desfecho. Boas perguntas podem ser respondidas com dados disponíveis e lícitos. Amara refina a própria pergunta várias vezes com a orientadora até que fique estreita o bastante. Cada versão é anotada, para que ela possa mostrar como a pergunta evoluiu e por que algumas versões mais amplas foram abandonadas. A pergunta final pode ser respondida com os formulários de retorno do HSSC, que os membros concordaram que fossem usados em pesquisa.

18.2 Métodos

Métodos quantitativos contam — quantos relatórios mencionam phishing. Métodos qualitativos interpretam — como os analistas descrevem a confiança. Muitos estudos de CTI combinam os dois: codificam relatórios, contam os códigos e depois entrevistam analistas. Amara planeja um estudo misto: contar os tipos de relatório e as ações a partir dos formulários de retorno e depois entrevistar alguns analistas para entender por que alguns tipos levaram a ações. Cada método cobre uma fraqueza do outro: as contagens mostram padrões, as entrevistas os explicam. Amara explica a escolha no seu plano de pesquisa e lista o que cada método não consegue mostrar.

18.3 Esquema de codificação

Defina as categorias de antemão, com exemplos: "rota de entrada: phishing (T1566), aplicação pública explorada (T1190), conta válida (T1078), desconhecida". Dois codificadores rotulam os mesmos relatórios e comparam; as divergências refinam as definições. Amara escreve o esquema de codificação com definições e um exemplo por código, e os dois codificadores praticam antes em relatórios de fora do estudo. A concordância é medida antes da discussão, para que mostre o quanto as definições são claras. Códigos que causam divergência repetida são reescritos ou fundidos, e as mudanças são registradas com o motivo.

18.4 Amostragem

Relatórios públicos são uma amostra enviesada — os fornecedores publicam o que é interessante ou vendável. Declare o viés em vez de fingir que a amostra representa todos os incidentes. O estudo de Amara usa os formulários de retorno do HSSC, que têm o seu próprio viés: os membros que os preenchem podem ser mais engajados que os outros. Ela declara isso e compara o número de membros que responderam com o total. Os leitores podem então julgar até onde os resultados se aplicam à comunidade inteira e a outros setores com práticas de compartilhamento diferentes.

18.5 Ética

Entrevistas com analistas exigem consentimento informado e, numa universidade, revisão ética. Não peça aos participantes que revelem conteúdo restrito por TLP. O roteiro de entrevista de Amara pergunta sobre a prática em termos gerais, como o modo pelo qual os analistas julgam se um relatório é relevante, sem pedir o conteúdo dos relatórios. Os participantes podem parar a qualquer momento. As notas são anonimizadas e guardadas em sistemas da universidade, e o comitê de ética aprova o plano antes de qualquer entrevista. O coordenador do HSSC é informado, mas não vê as respostas individuais.

18.6 Busca na literatura

Antes de coletar dados, busque trabalhos anteriores: artigos revisados por pares, normas e relatórios de praticantes respeitados. Registre os termos de busca e as bases para que a revisão possa ser repetida, e anote quando uma fonte é um blog de fornecedor e não uma pesquisa revisada. A busca de Amara encontra poucos estudos sobre pequenas comunidades setoriais. Ela registra cada busca com a data, os termos e as bases, e lista as fontes incluídas e excluídas, com os motivos. Os relatórios de praticantes são mantidos, mas rotulados, e as suas afirmações são conferidas com trabalhos revisados sempre que possível. A lacuna que ela encontra na pesquisa sobre pequenas comunidades passa a fazer parte da justificativa do seu estudo.

Confiabilidade entre codificadores

Quando dois codificadores rotulam vinte relatórios, conte quantas vezes concordam e discuta cada divergência. Uma divergência persistente numa categoria costuma indicar que a sua definição é vaga — por exemplo, se um link malicioso numa mensagem de texto conta como phishing. Aperte a definição, acrescente um exemplo e recodifique uma amostra nova para conferir se a concordância melhorou antes de analisar o conjunto completo.

Exemplo resolvido

A primeira pergunta de Amara, "O que os hackers fazem com os hospitais?", é refinada com a tutora para "Quais técnicas de acesso inicial aparecem em relatórios públicos de incidentes de 2025–2026 sobre prestadores de saúde europeus?". Ela esboça um esquema de codificação de quatro categorias e o testa em cinco relatórios sintéticos.

Caso sintético. Os relatórios do piloto são inventados.

Erros e limites

Amostras pequenas não sustentam afirmações fortes. Relate os limites do método junto com os achados.

Exercícios

EX052 — Afiar uma pergunta. Reescreva "A CTI é útil?" como uma pergunta pesquisável.
Mostrar critérios de avaliação
Rubrica: 3 = população, período, desfecho mensurável; 2 = dois deles; 1 = ainda vaga; 0 = nenhuma.
EX053 — Viés público. Descreva um viés dos relatórios públicos de incidentes.
Mostrar critérios de avaliação
Rubrica: 3 = seleção — os fornecedores publicam casos notáveis ou vendáveis, então as contagens se distorcem; 2 = vago; 1 = tentativa mínima; 0 = nenhuma.
EX054 — Regra das entrevistas. O que Amara precisa obter antes de entrevistar analistas?
Mostrar critérios de avaliação
Rubrica: 3 = consentimento informado e revisão ética; evitar conteúdo restrito; 2 = só o consentimento; 1 = vago; 0 = nenhuma.

Síntese

Faça perguntas estreitas, combine métodos com bom senso, codifique de forma consistente, admita o viés de amostragem e respeite a ética da pesquisa.

Continue estudando — capítulo 18 de 40

← Capítulo 17 (rascunho) · Índice de capítulos do curso · Capítulo 19 (rascunho) →