OpenCyber AcademyMapa da aula
Aula 23 publicada. Mapa, exemplo, EX067.
flowchart TD
N0["23.1 Codificar relatórios"]
N1["Laboratório — frequência das técnicas"]
N2["23.2 Ler o resultado"]
N3["23.3 Cautela"]
N4["23.4 Da frequência à prioridade"]
N5["23.5 Registro"]
N6["23.6 Granularidade da codificação"]
N7["Comparar com os incidentes internos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX067"]
Desenho lógico
flowchart LR
N0["23.1 Codificar relatórios"]
N1["Laboratório — frequência das técnicas"]
N2["23.2 Ler o resultado"]
N3["23.3 Cautela"]
N4["23.4 Da frequência à prioridade"]
N5["23.5 Registro"]
N6["23.6 Granularidade da codificação"]
N7["Comparar com os incidentes internos"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX067"]
[23.1 Codificar relatórios]
|
v
[Laboratório — frequência das técnicas]
|
v
[23.2 Ler o resultado]
|
v
[23.3 Cautela]
|
v
[23.4 Da frequência à prioridade]
|
v
[23.5 Registro]
|
v
[23.6 Granularidade da codificação]
|
v
[Comparar com os incidentes internos]
|
v
[Exemplo resolvido] --> [Exercício EX067]
Objetivos de aprendizagem
Você vai (1) codificar relatórios em técnicas do ATT&CK; (2) calcular a frequência das técnicas; (3) interpretar a frequência com cautela; (4) transformar a frequência em prioridades defensivas.
23.1 Codificar relatórios
Leia cada relatório e marque as técnicas com identificadores do ATT&CK, citando a frase que sustenta cada marcação. Evite marcar a partir de manchetes; marque apenas o que o texto descreve. Amara mantém a frase de apoio ao lado de cada marcação na sua planilha de codificação, para que um revisor possa conferir a marcação sem reler o relatório inteiro. Quando o texto é vago, como "o atacante obteve acesso", ela codifica "desconhecida" em vez de adivinhar uma técnica. As marcações são conferidas por um segundo leitor numa amostra.
Laboratório — frequência das técnicas
"""Lab 5 (ch 23): rank ATT&CK techniques by frequency across synthetic sector reports."""
from collections import Counter
reports = {
"R1": ["T1566", "T1204", "T1059"], "R2": ["T1566", "T1078"], "R3": ["T1190", "T1059", "T1486"],
"R4": ["T1566", "T1204", "T1486"], "R5": ["T1078", "T1021", "T1486"],
}
c = Counter(t for ts in reports.values() for t in ts)
for tid, n in c.most_common():
print(f"{tid} in {n}/{len(reports)} reports")
Execute com python3 lab_freq.py. Saída verificada:
T1566 in 3/5 reports
T1486 in 3/5 reports
T1204 in 2/5 reports
T1059 in 2/5 reports
T1078 in 2/5 reports
T1190 in 1/5 reports
T1021 in 1/5 reports
23.2 Ler o resultado
Em cinco relatórios sintéticos do HSSC, Phishing (T1566) e Data Encrypted for Impact (T1486) aparecem em três cada. User Execution (T1204), Command and Scripting Interpreter (T1059) e Valid Accounts (T1078) aparecem em dois. Exploit Public-Facing Application (T1190) e Remote Services (T1021) aparecem uma vez. Amara confere as contagens com a planilha de codificação antes de relatá-las. Cada contagem remete às frases dos relatórios por trás dela, para que o leitor veja como o número foi produzido. Os números descrevem apenas estes cinco relatórios e são apresentados como um resumo da amostra, com o período e a fonte declarados. Amara inclui a tabela numa nota curta para o líder de segurança.
23.3 Cautela
Cinco relatórios é muito pouco. A frequência reflete o que os autores dos relatórios notaram e escreveram, não o que aconteceu. Uma técnica que aparece uma vez pode importar mais se o HCHT estiver exposto a ela — um sistema exposto à internet e sem correções torna a T1190 relevante apesar da contagem baixa. Amara acrescenta à tabela uma coluna de exposição, anotando para cada técnica se o HCHT tem os sistemas ou as fraquezas que ela visa. Isso muda a leitura: uma técnica vista uma vez, mas que corresponde a um sistema exposto, sobe, enquanto uma frequente e já bem controlada desce. As contagens são o ponto de partida da análise, não a sua conclusão.
23.4 Da frequência à prioridade
A prioridade combina a frequência, a exposição do HCHT e as lacunas de controle. O phishing é frequente, e o HCHT já tem treinamento e filtragem; os serviços remotos aparecem uma vez, mas o acesso remoto dos fornecedores é mal monitorado. A lista final de prioridades pode pôr o monitoramento dos serviços remotos acima de mais treinamento contra phishing. Amara escreve a justificativa de cada posição da lista, para que o líder de segurança possa discordar de um julgamento específico, e não da classificação inteira. A lista é revista depois dos relatórios de cada trimestre e depois de qualquer incidente no HCHT, já que qualquer um dos dois pode mudar a exposição ou revelar uma lacuna nova. As mudanças são registradas com o motivo.
23.5 Registro
Guarde a planilha de codificação com os identificadores dos relatórios e as frases de apoio para que outros possam verificar. A planilha lista cada relatório por identificador e data, cada código com a sua frase de apoio e todos os códigos que foram discutidos e alterados. Amara a guarda com a análise e a vincula no relatório final. Outro analista pode então reconferir qualquer contagem ou aplicar o mesmo esquema aos relatórios do trimestre seguinte, o que torna comparáveis as tendências ao longo do tempo. A planilha é versionada no repositório da equipe.
23.6 Granularidade da codificação
O ATT&CK tem técnicas e subtécnicas. Codificar no nível da subtécnica dá detalhe, mas divide amostras pequenas em contagens minúsculas; codificar no nível da técnica é mais grosso, porém mais estável. Escolha um nível para cada estudo e declare-o, ou as contagens ficam incomparáveis. Amara codifica no nível da técnica nas suas contagens trimestrais. O detalhe das subtécnicas fica na planilha para referência, para que um estudo posterior com mais relatórios possa usá-lo. Amara anota o nível escolhido no parágrafo de método do relatório e, ao comparar com as contagens do próprio HSSC, confere qual nível foi usado antes de tirar qualquer conclusão.
Comparar com os incidentes internos
Ponha as contagens do setor ao lado das marcações dos incidentes do próprio HCHT. Se os incidentes internos mostram abuso de contas válidas com muito mais frequência que os relatórios do setor, as condições locais importam mais que a média setorial.
Exemplo resolvido
A primeira codificação de Amara marca T1059 num relatório que diz apenas "o atacante executou comandos". A supervisora pede a frase de apoio; ela não especifica um interpretador. As duas mantêm a marcação, mas anotam "baixa especificidade" na planilha.
Caso sintético. Os relatórios são inventados.
Erros e limites
A codificação é subjetiva; codifique uma amostra em dobro para conferir a concordância.
Exercícios
- EX067 — Líderes do laboratório. Quais técnicas apareceram mais vezes no laboratório?
Mostrar critérios de avaliação
Rubrica: 3 = T1566 e T1486, 3/5 cada; 2 = uma delas; 1 = errada; 0 = nenhuma. - EX068 — Contagem baixa, prioridade alta. Por que a T1190 pode merecer prioridade apesar de aparecer uma vez?
Mostrar critérios de avaliação
Rubrica: 3 = exposição do HCHT (sistema exposto à internet sem correções); 2 = parcial; 1 = não merece; 0 = nenhuma. - EX069 — Frase de apoio. Por que registrar a frase de apoio de cada marcação?
Mostrar critérios de avaliação
Rubrica: 3 = verificabilidade e revisão da codificação; 2 = parcial; 1 = formatação; 0 = nenhuma.
Síntese
Codifique com cuidado, conte com honestidade, leia as contagens no contexto e combine-as com a exposição para definir prioridades.
Continue estudando — capítulo 23 de 40
← Capítulo 22 (rascunho) · Índice de capítulos do curso · Capítulo 24 (rascunho) →