## Capítulo 20 — Inteligência de ameaças e OSINT: casos fundadores ### Mapa da aula Aula 20 publicada. Mapa, exemplo, EX058. ```mermaid flowchart TD N0["20.1 O artigo da cadeia de intrusão"] N1["20.2 Relatos sobre grupos"] N2["20.3 Ransomware contra a saúde"] N3["20.4 Cadeia de suprimentos"] N4["20.5 Ler casos com ética"] N5["20.6 Comparar casos"] N6["Do caso à pergunta local"] N7["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 N7 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX058"] ``` ### Desenho lógico ```mermaid flowchart LR N0["20.1 O artigo da cadeia de intrusão"] N1["20.2 Relatos sobre grupos"] N2["20.3 Ransomware contra a saúde"] N3["20.4 Cadeia de suprimentos"] N4["20.5 Ler casos com ética"] N5["20.6 Comparar casos"] N6["Do caso à pergunta local"] N7["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX058"] ``` ```text [20.1 O artigo da cadeia de intrusão] | v [20.2 Relatos sobre grupos] | v [20.3 Ransomware contra a saúde] | v [20.4 Cadeia de suprimentos] | v [20.5 Ler casos com ética] | v [20.6 Comparar casos] | v [Do caso à pergunta local] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX058] ``` ### Objetivos de aprendizagem Você vai (1) analisar casos publicados que moldaram a prática de CTI; (2) extrair lições sem repetir detalhes de ataque; (3) comparar casos usando modelos; (4) relacionar as lições ao HCHT. ### 20.1 O artigo da cadeia de intrusão Hutchins et al. descreveram defensores que acompanhavam um adversário persistente ao longo de intrusões repetidas, usando indicadores de fases anteriores para bloquear tentativas posteriores. A lição: a inteligência de uma intrusão protege contra a próxima, e os defensores ganham quando analisam também as tentativas que falharam. Amara aplica isso no HCHT registrando as tentativas de phishing bloqueadas com o mesmo cuidado que as bem-sucedidas. Padrões nas tentativas que falharam, como a mesma infraestrutura de envio, costumam aparecer antes que um ataque tenha sucesso. Ela também anota que fase cada tentativa alcançou. ### 20.2 Relatos sobre grupos Relatos públicos sobre grupos de longa atuação, catalogados em entradas de grupo do ATT&CK como G0016 (APT29), mostraram que os adversários reutilizam técnicas de forma mais estável que a infraestrutura. A lição: a detecção por comportamento dura mais que as listas de indicadores. Amara usa essa lição ao decidir como gastar o tempo limitado da equipe: uma detecção para uma técnica vista em muitos relatórios do setor vale mais esforço que atualizar uma longa lista de endereços que podem mudar na semana seguinte. Os indicadores ainda importam para bloqueios rápidos, mas espera-se que envelheçam, enquanto as detecções por comportamento são revistas com menos frequência e continuam úteis por mais tempo. ### 20.3 Ransomware contra a saúde Muitos alertas públicos descrevem ransomware interrompendo hospitais. Lições comuns: phishing ou serviços expostos como entrada, abuso de contas válidas, cifragem para impacto (T1486) e o papel decisivo de backups isolados e testados. Amara lê vários alertas públicos e lista as lições recorrentes numa tabela curta para a equipe de infraestrutura do HCHT. A tabela sustenta o pedido de verba da equipe para isolar os backups e testar restaurações com mais frequência. Ela cita cada alerta, para que a evidência possa ser conferida e atualizada quando surgirem alertas novos, e indica sobre quais lições o HCHT já agiu. ### 20.4 Cadeia de suprimentos Comprometimentos de atualizações de software confiáveis (Supply Chain Compromise, T1195) mostraram que canais confiáveis podem entregar código malicioso. A lição para o HCHT: a inteligência sobre fornecedores e o monitoramento de atualizações importam. O HCHT depende de muitos fornecedores de software clínico e administrativo, e alguns enviam atualizações automaticamente. Amara ajuda a compilar uma lista desses fornecedores e dos sistemas que eles atualizam, para que a inteligência sobre o comprometimento de um fornecedor possa ser conferida com ela em minutos. A equipe de infraestrutura acrescenta monitoramento de mudanças inesperadas após atualizações nos sistemas mais críticos, e a lista é revista a cada trimestre. ### 20.5 Ler casos com ética Estudos de caso ensinam padrões; reproduzir malware ou procedimentos passo a passo é desnecessário e inadequado nos trabalhos do curso. Os trabalhos de Amara descrevem os casos no nível das técnicas e das lições, citando fontes públicas. Ela não baixa amostras nem repete passos de ataque, nem mesmo em laboratório, porque o curso pede compreensão defensiva. Se um caso parece exigir detalhe técnico mais profundo, ela pergunta à orientadora se é necessário e como obtê-lo com segurança, e registra a resposta com as suas notas. ### 20.6 Comparar casos Uma tabela de comparação ajuda: para cada caso, liste a técnica de entrada, a abordagem de persistência, o impacto e a lição defensiva. Padrões entre as linhas — as credenciais aparecem de novo e de novo — são mais úteis que qualquer história dramática isolada, e a tabela mantém a atenção na defesa, e não na mística do adversário. Amara monta uma tabela assim a partir de cinco casos públicos. Duas linhas compartilham o uso de credenciais roubadas, e três terminam em cifragem e numa recuperação longa. Ela apresenta a tabela à equipe de segurança como um resumo das defesas que mais importaram, com cada linha citando a sua fonte pública, e acrescenta casos novos a cada trimestre. ### Do caso à pergunta local Cada caso deve terminar com uma pergunta para o HCHT: monitoramos as atualizações dos fornecedores, os backups estão isolados, perceberíamos o abuso de uma conta válida à noite? Escrever essa pergunta transforma a história numa verificação concreta que um responsável pode responder em uma semana. ### Exemplo resolvido Amara monta uma tabela com três casos públicos de ransomware no setor de saúde: rota de entrada, tempo até o impacto, situação dos backups, tempo de recuperação. Dois se recuperaram mais rápido porque os backups estavam offline. Ela apresenta a tabela, com as fontes, numa sessão de aprendizagem da equipe. > **Caso sintético.** A tabela e a sessão de Amara são inventadas; casos reais seriam citados a partir de fontes públicas. ### Erros e limites Os casos publicados privilegiam eventos dramáticos. Evite generalizar demais a partir deles. ### Exercícios - **EX058 — Lição da cadeia de intrusão.** Enuncie a principal lição do artigo de Hutchins et al. para os defensores. *Rubrica:* 3 = a inteligência de cada intrusão (inclusive as que falharam) bloqueia fases/tentativas posteriores; 2 = parcial; 1 = vago; 0 = nenhuma. - **EX059 — Comportamento vs infraestrutura.** Por que a detecção por comportamento dura mais que as listas de indicadores? *Rubrica:* 3 = as técnicas mudam menos que domínios/endereços; 2 = parcial; 1 = o contrário; 0 = nenhuma. - **EX060 — Padrão dos backups.** Que padrão a tabela de ransomware de Amara revelou? *Rubrica:* 3 = backups offline → recuperação mais rápida; 2 = parcial; 1 = vago; 0 = nenhuma. ### Síntese Os casos fundadores ensinam lições duradouras: reutilize a inteligência entre intrusões, detecte comportamento, proteja os backups, vigie os fornecedores. ### Continue estudando — capítulo 20 de 40 [← Capítulo 19 (rascunho)](#ch-19) · [Índice de capítulos do curso](../SUBJECTS.md) · [Capítulo 21 (rascunho) →](#ch-21) ## Worked answers **EX058.** Os defensores podem usar o que aprendem com cada tentativa de intrusão, mesmo as que falharam, para deter o mesmo adversário em fases anteriores da próxima vez. **EX059.** Os adversários mudam domínios e endereços a baixo custo, mas as suas técnicas e hábitos mudam devagar. **EX060.** As organizações com backups offline se recuperaram mais rápido que as sem eles.