◇ OpenCyber Academy
Graduação · Capítulo 21 · Português

Capítulo 21 — Inteligência de ameaças e OSINT: modelos de sistema

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 21 — Inteligência de ameaças e OSINT: modelos de sistema

Mapa da aula

Aula 21 publicada. Mapa, exemplo, EX061.

flowchart TD
  N0["21.1 A inteligência como sistema"]
  N1["21.2 Gargalos"]
  N2["21.3 Ciclos de retroalimentação"]
  N3["21.4 O STIX como modelo de dados"]
  N4["21.5 Fronteiras"]
  N5["21.6 Aritmética da capacidade"]
  N6["Níveis de serviço"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX061"]

Desenho lógico

flowchart LR
  N0["21.1 A inteligência como sistema"]
  N1["21.2 Gargalos"]
  N2["21.3 Ciclos de retroalimentação"]
  N3["21.4 O STIX como modelo de dados"]
  N4["21.5 Fronteiras"]
  N5["21.6 Aritmética da capacidade"]
  N6["Níveis de serviço"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX061"]

[21.1 A inteligência como sistema]
    |
    v
[21.2 Gargalos]
    |
    v
[21.3 Ciclos de retroalimentação]
    |
    v
[21.4 O STIX como modelo de dados]
    |
    v
[21.5 Fronteiras]
    |
    v
[21.6 Aritmética da capacidade]
    |
    v
[Níveis de serviço]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX061]

Objetivos de aprendizagem

Você vai (1) modelar o sistema de inteligência do HCHT como entradas, processos e saídas; (2) identificar ciclos de retroalimentação; (3) encontrar gargalos; (4) expressar o modelo em termos de objetos STIX.

21.1 A inteligência como sistema

Entradas: relatórios do HSSC, alertas públicos, feeds de fornecedores, incidentes internos. Processos: triagem, validação, enriquecimento, análise, armazenamento. Saídas: bloqueios, buscas, briefings, relatórios compartilhados. Retroalimentação: os consumidores relatam o que ajudou. Desenhar esse fluxo mostra onde o trabalho se acumula. Amara desenha o fluxo do HCHT numa página e conta o que passa por cada etapa numa semana típica. O desenho deixa claro que a análise é o ponto mais estreito, o que explica por que os relatórios costumam chegar atrasados. Ele também mostra que a retroalimentação raramente chega ao início do fluxo, então a direção é fraca, e a equipe concorda em acrescentar uma revisão mensal do que os consumidores pediram.

21.2 Gargalos

No HCHT, a análise é feita por uma supervisora e uma estagiária. Se a triagem passa todos os itens para a análise, a fila cresce mais rápido do que diminui. Uma regra de triagem — só seguem os itens que correspondem a ativos do HCHT ou ao setor — mantém o sistema estável. Amara testa a regra num mês de itens passados e descobre que cerca de um terço passaria, o que a equipe consegue atender. Os itens retidos ficam guardados e pesquisáveis, então nada se perde se depois se tornarem relevantes. A regra é revista a cada trimestre em comparação com o que deixou de ser visto.

21.3 Ciclos de retroalimentação

Ciclo positivo: briefings úteis trazem mais perguntas, que afiam a direção. Ciclo negativo: bloqueios demais por falso positivo fazem a equipe de rede ignorar os pedidos da CTI. Sistemas saudáveis monitoram os dois. Amara vigia o ciclo negativo acompanhando quantos bloqueios foram revertidos depois de reclamações. Quando as reversões aumentam, ela confere a fonte dos indicadores bloqueados e eleva o limiar de confiança para essa fonte. O ciclo positivo é sustentado respondendo às perguntas com rapidez e anotando em cada briefing o que a equipe de segurança pediu e o que mudou em consequência.

21.4 O STIX como modelo de dados

O STIX 2.1 representa a inteligência como objetos: indicator, malware, threat-actor, attack-pattern, campaign, identity, report e objetos relationship que os ligam. Cada objeto tem um identificador, carimbos de tempo e definições de marcação opcionais, como o TLP. Mapear as colunas do banco de dados do HCHT para o STIX facilita o compartilhamento posterior. Amara mapeia as próprias colunas para propriedades STIX. A coluna value vira o padrão do indicador, first_seen e last_seen viram os tempos de validade do indicador, e a coluna TLP vira uma definição de marcação. Duas colunas, status e outcome, não têm equivalente direto no STIX, então ela as mantém como campos locais e documenta a escolha para analistas futuros.

21.5 Fronteiras

A fronteira do modelo exclui as decisões clínicas; a CTI as informa por meio dos responsáveis, não diretamente. Por exemplo, a inteligência sobre ataques a bombas de infusão vai para a engenharia clínica, que decide quais mudanças são seguras para os pacientes. A equipe de CTI fornece fatos e opções, nunca instruções à equipe clínica. Amara desenha a fronteira no diagrama como uma linha que a inteligência só pode cruzar por meio de um responsável nomeado, o que lembra à equipe onde termina a sua autoridade e onde começa o julgamento clínico. Registrar essa fronteira evita recomendações bem-intencionadas, mas inseguras.

21.6 Aritmética da capacidade

Se chegam quarenta itens por semana e cada um leva trinta minutos para ser analisado, são necessárias vinte horas de analista. Duas pessoas com outras funções talvez forneçam oito. Sem triagem, o acúmulo cresce cerca de vinte e quatro itens por semana; anotar essa aritmética defende, em termos simples, filtros mais rigorosos ou mais pessoal. Amara apresenta esse cálculo ao líder de segurança. O líder concorda com a regra de triagem e pede um relatório mensal da fila, para que o crescimento seja notado cedo. Amara também mede o próprio tempo de análise por item, que fica mais perto de vinte minutos nos itens rotineiros, e atualiza a aritmética.

Níveis de serviço

Combine metas simples com os consumidores: indicadores urgentes revisados em até quatro horas, itens rotineiros em até três dias úteis. As metas transformam o modelo do sistema em compromissos e revelam depressa quando a capacidade deixa de corresponder à demanda.

Exemplo resolvido

Amara mapeia uma semana: chegaram 140 itens; 40 passaram pela triagem; 12 foram analisados; 3 levaram a uma ação. O gargalo é a análise. Ela propõe critérios de triagem mais rigorosos e um modelo de texto que corta pela metade o tempo de redação. A supervisora concorda em testar os dois por um mês.

Caso sintético. As contagens são inventadas.

Erros e limites

Diagramas de sistema simplificam o julgamento humano. Meça antes e depois das mudanças.

Exercícios

Síntese

Modele a CTI como um sistema, administre os gargalos, vigie os ciclos de retroalimentação e mapeie os dados para o STIX.

Continue estudando — capítulo 21 de 40

← Capítulo 20 (rascunho) · Índice de capítulos do curso · Capítulo 22 (rascunho) →