Capítulo 22 — Inteligência de ameaças e OSINT: dados e dependências
Mapa da aula
Aula 22 publicada. Mapa, exemplo, EX064.
flowchart TD
N0["22.1 Catálogo de fontes"]
N1["22.2 Dependências"]
N2["22.3 Termos e licenças"]
N3["22.4 Pontos únicos de falha"]
N4["22.5 Lacunas de cobertura"]
N5["22.6 Avaliação das fontes ao longo do tempo"]
N6["Fontes internas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX064"]
Desenho lógico
flowchart LR
N0["22.1 Catálogo de fontes"]
N1["22.2 Dependências"]
N2["22.3 Termos e licenças"]
N3["22.4 Pontos únicos de falha"]
N4["22.5 Lacunas de cobertura"]
N5["22.6 Avaliação das fontes ao longo do tempo"]
N6["Fontes internas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX064"]
[22.1 Catálogo de fontes]
|
v
[22.2 Dependências]
|
v
[22.3 Termos e licenças]
|
v
[22.4 Pontos únicos de falha]
|
v
[22.5 Lacunas de cobertura]
|
v
[22.6 Avaliação das fontes ao longo do tempo]
|
v
[Fontes internas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX064]
Objetivos de aprendizagem
Você vai (1) catalogar as fontes de inteligência do HCHT e as suas dependências; (2) avaliar pontos únicos de falha; (3) avaliar as licenças e os termos das fontes; (4) planejar a perda de uma fonte.
22.1 Catálogo de fontes
Para cada fonte, registre: provedor, tipo de conteúdo, formato, método de entrega, licença ou termos, TLP, custo e responsável. O HSSC (STIX sobre TAXII 2.1, acordo de adesão), um serviço nacional de alertas (páginas web públicas), um feed comercial (contrato) e os registros internos de incidentes. Amara monta o catálogo numa planilha compartilhada revista a cada trimestre. Vários campos eram desconhecidos no início, como os termos exatos de redistribuição do feed comercial, e descobri-los levou mais tempo que registrar todo o resto. Hoje o catálogo responde em segundos à maioria das perguntas sobre uma fonte.
22.2 Dependências
O feed comercial depende da renovação de um contrato; o HSSC depende de pessoal voluntário; os scripts de importação dependem do conhecimento de uma analista. Cada uma é uma dependência que pode falhar. Amara acrescenta cada dependência ao catálogo com o que aconteceria se ela falhasse e com que rapidez a equipe perceberia. A data de renovação do contrato entra no calendário da equipe com um lembrete dois meses antes. Para o HSSC, ela anota o contato reserva que a comunidade oferece. A dependência do script é a que a equipe controla mais diretamente, o que leva ao trabalho de documentação e treinamento descrito a seguir.
22.3 Termos e licenças
Feeds comerciais muitas vezes proíbem a redistribuição. Antes de compartilhar com o HSSC um indicador aprendido num feed pago, Amara confere a licença. Alertas públicos podem permitir a reutilização com atribuição. Quando a licença proíbe o compartilhamento, Amara compartilha só a observação do próprio HCHT, por exemplo que o domínio foi visto nos seus logs, se a licença permitir isso, e do contrário apenas informa ao HSSC que um feed pago lista o item. Ela registra cada decisão na entrada da fonte no catálogo, para que a mesma pergunta seja respondida de forma consistente.
22.4 Pontos únicos de falha
Se a única pessoa que entende o script de importação sair, o pipeline para. Documentação, uma segunda pessoa treinada e código simples reduzem esse risco. Amara escreve um guia curto do script de importação, explicando cada passo e os erros comuns, e treina uma colega para executá-lo. A colega roda a importação por duas semanas enquanto Amara acompanha, o que revela dois passos não documentados que agora estão no guia. Simplificar o código também o tornou mais fácil de revisar e testar.
22.5 Lacunas de cobertura
As fontes cobrem umas ameaças melhor que outras. Alertas nacionais podem dar pouco peso às ameaças a dispositivos médicos; feeds de fornecedores podem se concentrar em malware comum. Uma tabela de cobertura mostra as lacunas. Amara monta a tabela com os tipos de ameaça nas linhas e as fontes nas colunas, marcando onde cada fonte dá uma cobertura útil. As células vazias mostram onde o HCHT depende da sorte. As ameaças a dispositivos médicos são a lacuna mais clara, então a equipe pergunta à engenharia clínica se os fabricantes de dispositivos publicam alertas que poderiam ser acrescentados como fonte. Dois fabricantes publicam, e os seus avisos entram no catálogo com um responsável.
22.6 Avaliação das fontes ao longo do tempo
As fontes mudam: um feed antes excelente pode piorar depois de uma aquisição, ou um grupo voluntário pode parar de publicar. Uma verificação trimestral — volume, pontualidade, proporção de itens que levam a ações — capta o declínio antes que os analistas percebam que uma fonte virou ruído em silêncio. Amara registra os resultados da verificação no catálogo, ao lado de cada fonte. Ao longo de um ano, as verificações mostram a pontualidade do feed comercial piorando depois de uma troca de dono, enquanto os avisos dos fabricantes se mostram mais úteis que o esperado. A equipe usa os números na renovação do contrato, pedindo ao fornecedor que explique o declínio, e ajusta o peso que cada fonte recebe na triagem.
Fontes internas
Os incidentes do próprio HCHT são a sua inteligência mais relevante: mostram o que de fato chegou ao trust. Chamados da central de serviços sobre e-mails suspeitos, alertas de endpoint e notas de lições aprendidas devem entrar no catálogo como fontes, com o mesmo cuidado com os dados pessoais que o material externo.
Exemplo resolvido
O contrato comercial fica uma semana sem vigência por um atraso nas compras. O catálogo de Amara mostra quais detecções dependem desse feed. A equipe as passa temporariamente para os dados do HSSC e leva a dependência ao registro de riscos.
Caso sintético. A interrupção é inventada.
Erros e limites
Catálogos ficam desatualizados; revise-os a cada trimestre.
Exercícios
- EX064 — Conferir a licença. Por que Amara precisa conferir antes de compartilhar com o HSSC um indicador de feed pago? Rubrica: 3 = a licença pode proibir a redistribuição; 2 = parcial; 1 = não precisa conferir; 0 = nenhuma.
- EX065 — Dependência humana. Dê duas formas de reduzir a dependência de uma única analista. Rubrica: 3 = documentação; segunda pessoa treinada (ou código mais simples); 2 = uma; 1 = vago; 0 = nenhuma.
- EX066 — Campos do catálogo. Liste quatro campos de uma entrada do catálogo de fontes. Rubrica: 3 = quatro entre provedor/formato/entrega/licença/TLP/custo/responsável; 2 = três; 1 = um ou dois; 0 = nenhuma.
Síntese
Conheça as suas fontes, os seus termos e dependências, e planeje a falha delas.
Continue estudando — capítulo 22 de 40
← Capítulo 21 (rascunho) · Índice de capítulos do curso · Capítulo 23 (rascunho) →