Capítulo 19 — Inteligência de ameaças e OSINT: escopo e teoria | Graduação Inteligência de ameaças e OSINT

Mapa da aula

Aula 19 publicada. Mapa, exemplo, EX055.

flowchart TD
  N0["19.1 Definições"]
  N1["19.2 Modelos"]
  N2["19.3 Padrões de compartilhamento"]
  N3["19.4 CTI e risco"]
  N4["19.5 Teoria e prática"]
  N5["19.6 Escolher um modelo"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX055"]

Desenho lógico

flowchart LR
  N0["19.1 Definições"]
  N1["19.2 Modelos"]
  N2["19.3 Padrões de compartilhamento"]
  N3["19.4 CTI e risco"]
  N4["19.5 Teoria e prática"]
  N5["19.6 Escolher um modelo"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX055"]

[19.1 Definições]
    |
    v
[19.2 Modelos]
    |
    v
[19.3 Padrões de compartilhamento]
    |
    v
[19.4 CTI e risco]
    |
    v
[19.5 Teoria e prática]
    |
    v
[19.6 Escolher um modelo]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX055]

Objetivos de aprendizagem

Você vai (1) definir CTI e OSINT; (2) explicar o papel de modelos como a cadeia de intrusão (kill chain) e o Modelo Diamante; (3) descrever os padrões de compartilhamento — STIX, TAXII, TLP; (4) situar a CTI na gestão de riscos.

19.1 Definições

A inteligência de ameaças cibernéticas é o conhecimento analisado sobre a intenção, a capacidade e a atividade dos adversários que apoia decisões defensivas. A OSINT é a inteligência derivada de fontes publicamente disponíveis, coletadas de forma lícita. A NIST SP 800-150 apresenta o compartilhamento de informações sobre ameaças como um modo de as organizações melhorarem as defesas coletivamente. Para o HCHT, a palavra que define é "apoia": um item que não ajuda numa decisão sobre a defesa do trust é informação, por mais interessante que seja. Amara mantém as definições na primeira página do caderno e as usa para triar o que chega a cada dia, para que o tempo de análise vá para itens capazes de mudar o que o HCHT faz.

19.2 Modelos

A cadeia de intrusão de Hutchins, Cloppert e Amin (2011) divide as intrusões em fases, do reconhecimento às ações sobre os objetivos, mostrando que os defensores podem agir em qualquer fase. O Modelo Diamante (Caltagirone et al., 2013) descreve cada evento por adversário, capacidade, infraestrutura e vítima. O MITRE ATT&CK cataloga técnicas observadas em intrusões reais. Cada modelo destaca coisas diferentes, por isso Amara aplica os três a um relatório do HSSC e compara os resultados. A cadeia de intrusão mostra que o ataque foi detido na entrega; o Modelo Diamante liga a sua infraestrutura a um evento anterior; o ATT&CK lista as técnicas para o trabalho de detecção.

19.3 Padrões de compartilhamento

O STIX 2.1 define um vocabulário JSON para indicadores, agentes de ameaça, padrões de ataque e relações. O TAXII 2.1 define como trocar STIX sobre HTTPS. Os rótulos FIRST TLP 2.0 dizem aos destinatários com que amplitude podem compartilhar. O HCHT recebe o material do HSSC por TAXII e o guarda no seu próprio banco de dados, mapeado para campos STIX sempre que possível. Amara aprende que a marcação TLP acompanha cada objeto, de modo que um script pode conferir se um objeto pode ser compartilhado antes de sair do HCHT. Seguir os padrões significa que as ferramentas do HCHT leem o que os outros membros enviam sem conversão sob medida, o que poupa tempo numa equipe pequena.

19.4 CTI e risco

A CTI muda as estimativas de probabilidade nas avaliações de risco e indica quais controles priorizar. Sem vínculo com decisões de risco, a CTI vira um serviço de notícias. As notas de Amara sobre cada item terminam com o risco que ele afeta: qual sistema, qual consequência e como a probabilidade pode ter mudado. Quando o líder de segurança atualiza o registro de riscos do HCHT, essas notas são a evidência de cada mudança. Itens que não mudam nenhum risco são arquivados para buscas futuras, o que mantém os relatórios da equipe focados em decisões, não em notícias.

19.5 Teoria e prática

Modelos são lentes, não leis. Cada um simplifica; os analistas escolhem o que responde à pergunta em questão. Amara aprende isso quando um relatório do HSSC se encaixa mal na cadeia de intrusão: o atacante usou uma conta roubada de fornecedor e pulou a entrega por completo. O modelo ainda ajuda, mostrando quais fases foram puladas, mas não força o evento a uma forma que ele não tem. Ela anota o descompasso na sua análise, o que é mais honesto do que forçar cada fase a ter uma entrada, e explica em qual modelo se apoiou no lugar.

19.6 Escolher um modelo

Use a cadeia de intrusão quando a pergunta for onde interromper uma intrusão, o Modelo Diamante quando for como os eventos se conectam por infraestrutura ou capacidade compartilhadas, e o ATT&CK quando for quais comportamentos detectar. Misturá-los não é problema se o relatório disser qual lente produziu cada conclusão. Amara acrescenta a cada relatório uma linha que nomeia o modelo usado em cada conclusão. Os leitores podem então julgar cada conclusão pelas forças e limites da lente por trás dela, e um revisor pode perguntar se outro modelo teria levado a outro lugar. A linha custa poucas palavras e evita uma confusão comum.

Exemplo resolvido

Amara descreve um evento de phishing com o Modelo Diamante: adversário desconhecido; capacidade, uma página de coleta de credenciais; infraestrutura, portal-login.example; vítima, um auxiliar financeiro do HCHT. Depois o situa na cadeia de intrusão, na entrega, e o mapeia para T1566. Cada lente responde a uma pergunta diferente.

Caso sintético. O evento é inventado.

Erros e limites

A linearidade da cadeia de intrusão falha em ataques internos ou na nuvem. O ATT&CK reflete o comportamento relatado, não a população inteira.

Exercícios

EX055 — Escolha do modelo. Que modelo você usaria para perguntar "onde poderíamos ter detido esta intrusão"?
Mostrar critérios de avaliação
Rubrica: 3 = cadeia de intrusão, com justificativa; 2 = o nome; 1 = TLP; 0 = nenhuma.
EX056 — STIX vs TAXII. Diferencie o STIX 2.1 do TAXII 2.1.
Mostrar critérios de avaliação
Rubrica: 3 = STIX é o formato de dados; TAXII é o protocolo de transporte sobre HTTPS; 2 = parcial; 1 = são a mesma coisa; 0 = nenhuma.
EX057 — Sem risco. O que acontece quando a CTI não está ligada a decisões de risco?
Mostrar critérios de avaliação
Rubrica: 3 = vira notícia sem ação nem prioridade; 2 = parcial; 1 = vago; 0 = nenhuma.

Síntese

A CTI é apoio à decisão construído sobre modelos e compartilhado por meio de padrões; escolha a lente certa e ligue-a ao risco.

Continue estudando — capítulo 19 de 40

← Capítulo 18 (rascunho) · Índice de capítulos do curso · Capítulo 20 (rascunho) →