Capítulo 24 — Inteligência de ameaças e OSINT: controles
Mapa da aula
Aula 24 publicada. Mapa, exemplo, EX070.
flowchart TD
N0["24.1 Da técnica à mitigação"]
N1["24.2 A solicitação de controle"]
N2["24.3 Efeitos colaterais"]
N3["24.4 Verificação"]
N4["24.5 Degradação"]
N5["24.6 A detecção como controle"]
N6["Priorizar as solicitações"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX070"]
Desenho lógico
flowchart LR
N0["24.1 Da técnica à mitigação"]
N1["24.2 A solicitação de controle"]
N2["24.3 Efeitos colaterais"]
N3["24.4 Verificação"]
N4["24.5 Degradação"]
N5["24.6 A detecção como controle"]
N6["Priorizar as solicitações"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX070"]
[24.1 Da técnica à mitigação]
|
v
[24.2 A solicitação de controle]
|
v
[24.3 Efeitos colaterais]
|
v
[24.4 Verificação]
|
v
[24.5 Degradação]
|
v
[24.6 A detecção como controle]
|
v
[Priorizar as solicitações]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX070]
Objetivos de aprendizagem
Você vai (1) mapear técnicas para mitigações usando o ATT&CK; (2) redigir uma solicitação de controle orientada por inteligência; (3) estimar o custo e os efeitos colaterais de um controle; (4) verificar se um controle funciona.
24.1 Da técnica à mitigação
Cada página de técnica do ATT&CK lista mitigações — para o phishing, treinamento de usuários, filtragem e restrição de conteúdo web; para contas válidas, autenticação multifator e gestão de contas privilegiadas. São pontos de partida, não prescrições. Amara confere cada mitigação sugerida com o que o HCHT já tem, para que uma solicitação peça apenas o que falta. Para contas válidas, a autenticação multifator está ativa para os funcionários, mas não para algumas contas de fornecedores, então a solicitação se concentra nelas. Mitigações que entrariam em conflito com o trabalho clínico são discutidas com o responsável pelo sistema antes de serem propostas.
24.2 A solicitação de controle
Uma boa solicitação declara: a inteligência (com fonte e TLP), a técnica, o controle proposto, o benefício esperado, os efeitos colaterais, o responsável e um prazo. Ela não exige; informa a decisão do responsável. Amara usa um modelo curto em todas as solicitações, o que facilita para os responsáveis compará-las e decidir depressa. O rótulo TLP mostra até onde o responsável pode repassar a inteligência. Os responsáveis podem aceitar, alterar ou recusar a solicitação, e a decisão é registrada com o motivo. Solicitações recusadas não são fracassos; mostram onde a inteligência e as necessidades operacionais divergem.
24.3 Efeitos colaterais
Bloquear macros em documentos fecha uma rota de entrega, mas pode quebrar uma planilha de laboratório usada todos os dias. Pergunte aos responsáveis sobre o impacto antes de propor. Amara aprendeu isso quando se descobriu que um bloqueio de macros proposto afetaria uma planilha que o laboratório usa para registrar os resultados de exames. O responsável sugeriu, em vez disso, assinar as macros do próprio laboratório e bloquear as não assinadas, o que fecha a mesma rota de entrega sem atrapalhar o trabalho. Perguntar primeiro transformou uma solicitação recusada num controle melhor, e a equipe do laboratório agora levanta preocupações parecidas cedo.
24.4 Verificação
Depois que um controle é aplicado, teste-o com segurança: envie um documento de teste inofensivo pelo filtro ou confirme que um domínio bloqueado não resolve. Registre o teste. Amara escreve os passos do teste na solicitação, para que o responsável saiba o que será conferido. Os testes usam arquivos inofensivos e domínios de teste conhecidos, nunca amostras maliciosas reais, e são feitos em acordo com o responsável. Um controle que falha no teste é comunicado ao responsável imediatamente, com a evidência, e a solicitação fica aberta até que um novo teste passe.
24.5 Degradação
Os controles se degradam: exceções são acrescentadas, regras são desativadas durante interrupções e nunca reativadas. Reconfira a cada trimestre. Amara agenda uma verificação trimestral de cada controle criado a partir da inteligência, comparando a configuração atual com a registrada. As exceções são listadas com o responsável e o motivo; as que não têm motivo são levadas ao responsável. Na primeira verificação, ela encontrou um domínio bloqueado que havia sido removido durante uma interrupção e nunca restaurado, e o comunicou na hora. A verificação leva cerca de duas horas por trimestre.
24.6 A detecção como controle
Nem todo risco pode ser prevenido. Onde a prevenção quebraria o trabalho clínico, uma regra de detecção mais uma resposta ensaiada pode ser o controle certo. A solicitação então nomeia quem recebe os alertas, com que rapidez precisa agir e o que vai fazer, para que a detecção não vire um painel que ninguém lê. Amara redige essas solicitações com os responsáveis pelos sistemas clínicos. As solicitações nomeiam os destinatários dos alertas, que podem ser contatados a qualquer hora, e descrevem uma resposta curta que não interrompe o atendimento aos pacientes, como isolar uma estação de trabalho enquanto um colega clínico continua em outra. A resposta é ensaiada uma vez com os responsáveis antes de a regra entrar em produção.
Priorizar as solicitações
Os responsáveis recebem muitas solicitações. Ordene as suas pela frequência da técnica, pela exposição do HCHT e pelo custo do controle, e envie poucas solicitações fortes em vez de muitas fracas. Uma nota de capa curta explicando a ordem ajuda os responsáveis a planejar o próprio trabalho em torno dela.
Exemplo resolvido
A inteligência mostra uma onda no setor usando anexos de documentos maliciosos (User Execution, T1204). Amara redige uma solicitação à equipe de e-mail: pôr em quarentena os anexos com macros vindos de remetentes externos, com um processo de exceção para dois fornecedores conhecidos. A equipe aceita; Amara verifica com um arquivo de teste inofensivo e registra o resultado.
Caso sintético. A onda e os fornecedores são inventados.
Erros e limites
As mitigações listadas no ATT&CK variam em força. Prefira controles que você consegue testar.
Exercícios
- EX070 — Conteúdo da solicitação. Liste cinco elementos de uma solicitação de controle orientada por inteligência. Rubrica: 3 = cinco entre inteligência/fonte/TLP, técnica, controle, benefício, efeitos colaterais, responsável, prazo; 2 = três; 1 = um; 0 = nenhuma.
- EX071 — Planilha do laboratório. Por que perguntar aos responsáveis antes de propor um bloqueio de macros? Rubrica: 3 = pode quebrar um fluxo de trabalho crítico; exceções necessárias; 2 = parcial; 1 = não é preciso; 0 = nenhuma.
- EX072 — Verificar um bloqueio. Como Amara pode verificar com segurança o bloqueio de um domínio? Rubrica: 3 = testar que a resolução/conexão a partir de um dispositivo de teste falha; registrar; 2 = parcial; 1 = presumir; 0 = nenhuma.
Síntese
Mapeie técnicas para mitigações, peça com evidência, pese os efeitos colaterais, verifique e reconfira.
Continue estudando — capítulo 24 de 40
← Capítulo 23 (rascunho) · Índice de capítulos do curso · Capítulo 25 (rascunho) →