Capítulo 25 — Inteligência de ameaças e OSINT: Laboratório I

Capítulo 25 — Inteligência de ameaças e OSINT: Laboratório I

Mapa da aula

Aula 25 publicada. Mapa, exemplo, EX073.

flowchart TD
  N0["25.1 Desenho do laboratório"]
  N1["25.2 Regras do ambiente"]
  N2["25.3 Passos"]
  N3["25.4 O relatório de laboratório"]
  N4["25.5 Avaliação"]
  N5["25.6 Reprodutibilidade"]
  N6["25.7 Trabalho em dupla"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX073"]

Desenho lógico

flowchart LR
  N0["25.1 Desenho do laboratório"]
  N1["25.2 Regras do ambiente"]
  N2["25.3 Passos"]
  N3["25.4 O relatório de laboratório"]
  N4["25.5 Avaliação"]
  N5["25.6 Reprodutibilidade"]
  N6["25.7 Trabalho em dupla"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX073"]

[25.1 Desenho do laboratório]
    |
    v
[25.2 Regras do ambiente]
    |
    v
[25.3 Passos]
    |
    v
[25.4 O relatório de laboratório]
    |
    v
[25.5 Avaliação]
    |
    v
[25.6 Reprodutibilidade]
    |
    v
[25.7 Trabalho em dupla]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX073]

Objetivos de aprendizagem

Você vai (1) executar um minipipeline de ponta a ponta com dados sintéticos; (2) combinar validação, armazenamento e ocultação de dados; (3) escrever um relatório de laboratório; (4) refletir sobre a segurança no laboratório e as regras para os dados.

25.1 Desenho do laboratório

Este laboratório junta os anteriores num só exercício. Os estudantes recebem um feed CSV sintético do HSSC, validam-no (capítulo 8), carregam as linhas aceitas no SQLite (capítulo 9), aplicam ocultação a uma amostra sintética de phishing (capítulo 14) e produzem um resumo compartilhável de uma página, filtrado para TLP:CLEAR e TLP:GREEN. O objetivo de juntá-los é ver como os erros se propagam: uma linha aceita por engano na validação pode acabar no resumo compartilhável. Os estudantes acompanham pelo menos um item, do feed bruto à página final, e explicam cada decisão tomada no caminho, que é o que uma analista do HCHT precisa saber fazer com qualquer indicador que sai do trust.

25.2 Regras do ambiente

Trabalhe apenas na máquina virtual do curso, sem rota para a internet. Use Python com a biblioteca padrão. Não cole no laboratório dados reais do HCHT nem indicadores reais do trabalho. Se um arquivo do laboratório parecer conter dados pessoais reais, pare e avise o instrutor. Essas regras espelham as do próprio HCHT: o trabalho fica num ambiente aprovado, usa ferramentas aprovadas e nunca mistura atividades do curso com inteligência real. A máquina isolada também significa que um erro, como um script que tenta acessar um domínio, não consegue chegar à internet nem alertar ninguém.

25.3 Passos

Primeiro, execute a validação e anote as rejeições com os motivos. Segundo, carregue as linhas aceitas e consulte por tipo e rótulo. Terceiro, aplique a ocultação à amostra e confirme que o endereço do adversário permanece. Quarto, escreva o resumo: o que foi recebido, o que foi rejeitado, o que pode ser compartilhado e com quem. Os estudantes registram a saída de cada passo antes de seguir, para que um problema possa ser rastreado até onde começou. O resumo é escrito por último e precisa bater com as contagens dos passos anteriores.

25.4 O relatório de laboratório

Um relatório de laboratório tem objetivo, método, resultados, problemas e reflexões. Os resultados incluem contagens exatas e saídas dos scripts; os problemas incluem tudo o que surpreendeu você. A reflexão pergunta o que mudaria com dados reais. O relatório da própria Amara anota que uma linha rejeitada teria sido aceita se ela tivesse confiado na visualização da planilha, o que mostra por que o passo de validação importa. As reflexões devem ser específicas: o que quebraria com um feed maior, uma coluna nova ou uma mistura diferente de TLP, e o que ela mudaria primeiro.

25.5 Avaliação

As notas premiam saídas corretas, raciocínio claro, problemas relatados com honestidade e rótulos de tratamento corretos. Formatação bonita não rende nada a mais. Uma saída correta sem explicação vale pouco, porque o curso ensina julgamento tanto quanto programação. Relatar com honestidade os problemas, inclusive um passo que não funcionou, rende crédito; escondê-lo custa mais que o próprio problema. Um TLP errado no resumo é tratado como erro grave, já que na prática violaria um acordo de compartilhamento. O retorno explica cada nota, para que os estudantes possam melhorar o relatório seguinte.

25.6 Reprodutibilidade

Um colega deve conseguir repetir o seu trabalho só a partir do relatório. Registre as versões dos scripts, os nomes dos arquivos de entrada, a ordem dos passos e qualquer edição manual. Se você corrigiu um valor à mão, diga; correções manuais escondidas tornam os resultados impossíveis de reproduzir. Os estudantes testam isso trocando relatórios e tentando reproduzir as contagens uns dos outros. Onde as contagens diferem, a dupla descobre se o relatório ou o script estava pouco claro, e o relatório é corrigido. O primeiro relatório de Amara omitiu a ordem em que ela executou duas consultas, o que mudou uma contagem; a tentativa da colega revelou isso.

25.7 Trabalho em dupla

Os estudantes trabalham em duplas: um executa os scripts, o outro confere as saídas com o esperado e registra as discrepâncias. Os papéis se invertem na metade. O trabalho em dupla pega erros cedo e pratica o hábito de revisão de que as equipes reais dependem. Quem confere anota qual deve ser cada saída antes de o script rodar, para que a comparação seja um teste de verdade, e não uma concordância depois do fato. As discrepâncias são listadas no relatório de laboratório com o modo como foram resolvidas. As duplas também combinam de antemão como registrar uma divergência, para que nenhum dos dois simplesmente ceda ao outro.

Exemplo resolvido

A dupla de Amara descobre que o resumo inclui uma linha rotulada TLP:AMBER porque o filtro comparava os rótulos diferenciando maiúsculas e minúsculas, e a linha dizia tlp:amber. Os dois normalizam os rótulos para maiúsculas na importação, executam de novo e anotam o defeito na seção de problemas do relatório.

Caso sintético. O feed e o defeito são material didático inventado.

Erros e limites

Um laboratório prova o pipeline com dados sintéticos limpos; os feeds reais são mais bagunçados.

Exercícios

• EX073 — Ordem do laboratório. Ponha validação, ocultação, armazenamento e resumo numa ordem sensata e justifique a posição de um passo. Rubrica: 3 = validar → armazenar → ocultar → resumir, com justificativa; 2 = só a ordem; 1 = confusa; 0 = nenhuma.
• EX074 — Defeito de maiúsculas. O que fez a linha AMBER vazar para o resumo, e o que corrigiu? Rubrica: 3 = comparação que diferencia maiúsculas; normalizar na importação; 2 = um dos dois; 1 = vago; 0 = nenhuma.
• EX075 — Dados reais. O que um estudante deve fazer se os dados do laboratório parecerem dados pessoais reais? Rubrica: 3 = parar, não usar, avisar o instrutor; 2 = parar; 1 = continuar; 0 = nenhuma.

Síntese

Junte as peças, siga as regras do laboratório, relate com honestidade e torne o seu trabalho reprodutível.

Continue estudando — capítulo 25 de 40

← Capítulo 24 (rascunho) · Índice de capítulos do curso · Capítulo 26 (plano; texto em tradução) →

Resoluções

Respostas-modelo para EX001–EX075 (as de EX076–EX120 estão na edição em inglês até a tradução dos capítulos correspondentes). O Halden County Health Trust, Amara Diallo, o Health Sector Sharing Circle e todos os números são sintéticos. As respostas dos laboratórios citam saídas verificadas. Qualquer resposta que atenda à rubrica recebe a mesma pontuação.

EX001. Abdução — ela propõe a explicação mais plausível para uma observação sem prová-la.

EX002. Post hoc ergo propter hoc: supor que, porque um evento veio depois de outro, o primeiro causou o segundo.

EX003. Qual era o número de linha de base? Em que período a alta foi medida? Como os ataques foram contados — e as regras de notificação mudaram?

EX004. Os logs do resolvedor DNS; os logs do proxy web podem corroborar para o tráfego HTTP.

EX005. Os servidores de imagem são sistemas médicos certificados, com processo próprio de segurança e de mudança, e pertencem à engenharia clínica.

EX006. Se um serviço clínico legítimo compartilha o domínio ou depende dele, o bloqueio pode interromper o atendimento aos pacientes.

EX007. Um conjunto: feed & seen retorna os valores presentes nas duas coleções.

EX008. Exatamente 64 caracteres hexadecimais (0–9, a–f).

EX009. Rotulá-los como desconhecidos, mantê-los fora do repositório de indicadores e pedir ao remetente os valores completos.

EX010. Exemplo: "O abuso de contas válidas (T1078) é uma via recorrente nos relatórios fictícios do varejo (alegação); ele aparece em quatro de seis incidentes (evidência); como os atacantes usaram credenciais reais, os controles de perímetro não alertaram (raciocínio)."

EX011. Não. O TLP:AMBER limita o compartilhamento à organização destinatária; um ensaio público precisa se apoiar em fontes públicas ou em exemplos sintéticos.

EX012. A escrita de inteligência põe o julgamento principal primeiro; a escrita acadêmica costuma construir o argumento antes de concluir.

EX013. Tático — detalhe operacional para analistas que configuram filtros e fazem caçadas.

EX014. A direção; requisitos prioritários de inteligência escritos pelos tomadores de decisão a corrigem.

EX015. Os executivos decidem prioridades e investimentos; indicadores são detalhe tático que não ajuda nessa decisão.

EX016. A diferença HSSC menos HCHT: os elementos do conjunto do HSSC que não estão no conjunto da lista de bloqueio.

EX017. O endereço serve muitos sites sem relação entre si, então ligar por meio dele cria conexões falsas entre domínios sem operador comum.

EX018. Adversário, capacidade, infraestrutura e vítima (Caltagirone, Pendergast e Betz, 2013).

EX019. O titular do domínio sósia autorizou o servidor remetente, mas a mensagem não está alinhada com o domínio real do HCHT — um phishing clássico com domínio sósia.

EX020. Quase toda conexão de rede começa com uma consulta de nome, então os logs do resolvedor cobrem quase todos os dispositivos e aplicações.

EX021. Em geral, o endereço de destino e o nome do servidor, não o caminho da URL nem o conteúdo.

EX022. A linha de domínio datada de 2026-09-02 tinha o valor vazio; a linha de sha256 datada de 2026-09-03 tinha o tamanho errado. Três linhas foram aceitas.

EX023. O AMBER+STRICT limita o compartilhamento apenas à organização destinatária; mapeá-lo para AMBER permitiria um compartilhamento mais amplo do que a fonte pretendia.

EX024. Usar tipo mais valor como chave única e atualizar os metadados do registro existente em vez de inserir uma linha nova.

EX025. ('files.example', 'TLP:CLEAR') e ('portal-login.example', 'TLP:GREEN'); uma contagem separada encontrou 2 indicadores desatualizados.

EX026. Para que a consulta do resumo possa excluir automaticamente as linhas restritas e nada além do que o rótulo permite saia do HCHT.

EX027. Enviá-los para revisão; se confirmados como desatualizados, marcá-los como expirados, com data, para que o histórico sobreviva.

EX028. A lei de proteção de dados cobre os dados pessoais seja qual for a fonte; a coleta precisa de base legal e finalidade, deve ser mínima, e a agregação pode criar perfis nocivos.

EX029. Recusar, avisar a supervisora e encaminhar a pergunta ao HSSC ou a um fornecedor contratado que opere sob revisão jurídica.

EX030. Não. Isso excede o mandato da CTI e invade a vida de pessoas não envolvidas; identificar indivíduos é assunto das autoridades policiais.

EX031. Valid Accounts (T1078): o atacante abusa de credenciais legítimas em vez de explorar software.

EX032. Com que frequência o comportamento ocorre, ou se ele é relevante para sua organização — mostra apenas que foi observado e relatado.

EX033. A consulta exata, o intervalo de datas, a fonte de dados pesquisada e quaisquer lacunas conhecidas na cobertura de registro.

EX034. C2: usa very likely com uma estimativa de 60%, mas a escala da equipe reserva essa expressão para 80–95%.

EX035. Se só cerca de 0,01% dos e-mails é malicioso, marcar 1% significa aproximadamente cem mensagens benignas para cada phishing real.

EX036. A probabilidade é quão provável o evento é; a confiança é quão boas são a evidência e o raciocínio por trás dessa estimativa.

EX037. Phishing (T1566) para obter a credencial, depois Valid Accounts (T1078) para usá-la.

EX038. Limitar quem pode ver o relato; nunca copiar senhas em chamados; forçar as redefinições pela equipe de identidade e notificar o encarregado de proteção de dados.

EX039. Comparar o número de solicitações suspeitas aprovadas e de logins de risco bem-sucedidos antes e depois da mudança, em períodos semelhantes.

EX040. É infraestrutura do adversário — o indicador que os outros membros do HSSC precisam bloquear —, e não informação sobre uma vítima.

EX041. Toda amostra agora recebe uma leitura manual em busca de nomes e identificadores em texto livre antes de ser compartilhada.

EX042. Não. Rótulos estáveis são pseudonimização; se alguém puder religá-los, os dados continuam sendo dados pessoais.

EX043. Inferência — vai além da conexão registrada para inferir uma ação do usuário.

EX044. Dois dos três feeds citavam o terceiro, então havia uma única fonte independente e a confiança não aumentou.

EX045. Atividade. Uma alternativa de resultado é o número de conexões bloqueadas que impediram a digitação de credenciais ou o número de caçadas que encontraram atividade real.

EX046. A proteção de endpoint e a varredura de anexos de e-mail — elas inspecionam arquivos e podem bloquear hashes exatos com confiabilidade.

EX047. Muitos serviços legítimos compartilham endereços de nuvem, então bloquear um deles poderia cortar sistemas clínicos ou administrativos.

EX048. Os backups são offline ou imutáveis? Um site não tinha isso, então foi acrescentada uma cópia imutável.

EX049. Mudar um byte do arquivo cria um hash novo, então o adversário quase nada paga para escapar de um bloqueio por hash.

EX050. Que a conexão é cifrada com quem detém um certificado válido para aquele nome — não que o site seja honesto.

EX051. Logs de transparência de certificados: eles registram publicamente os certificados novos, então nomes imitadores aparecem sem contato com o site.

EX052. Exemplo: "Que parcela dos alertas do HSSC em 2026 levou os membros a relatar uma ação defensiva em até 30 dias?"

EX053. Viés de seleção: os fornecedores publicam casos incomuns ou comercialmente úteis, então intrusões comuns e sem graça ficam sub-representadas.

EX054. Consentimento informado de cada participante e aprovação ética da universidade; as perguntas devem evitar material restrito.

EX055. A cadeia de intrusão, porque ela expõe as fases em que os defensores podem detectar ou interromper o ataque.

EX056. O STIX 2.1 é a linguagem JSON que descreve a informação sobre ameaças; o TAXII 2.1 é o protocolo HTTPS para trocá-la.

EX057. Ela vira um feed de notícias: leitura interessante que não muda nenhum controle nem prioridade.

EX058. Os defensores podem usar o que aprendem com cada tentativa de intrusão, mesmo as que falharam, para deter o mesmo adversário em fases anteriores da próxima vez.

EX059. Os adversários mudam domínios e endereços a baixo custo, mas as suas técnicas e hábitos mudam devagar.

EX060. As organizações com backups offline se recuperaram mais rápido que as sem eles.

EX061. A análise: quarenta itens chegaram até ela, mas só doze foram concluídos, então o trabalho se acumulou ali.

EX062. Bloqueios repetidos por falso positivo irritam a equipe de rede, que passa a dar baixa prioridade aos pedidos da CTI, e assim até a boa inteligência age mais devagar.

EX063. Um objeto relationship, por exemplo do tipo indicates, do indicador para o malware.

EX064. A licença comercial pode proibir a redistribuição, então compartilhar poderia violar o contrato.

EX065. Escrever uma documentação clara do pipeline e treinar uma segunda pessoa para executá-lo e corrigi-lo.

EX066. Provedor, método de entrega, licença ou termos e TLP (também formato, custo e responsável).

EX067. Phishing (T1566) e Data Encrypted for Impact (T1486), cada uma em 3 de 5 relatórios.

EX068. Se o HCHT opera uma aplicação exposta à internet sem correções, a sua exposição torna a técnica importante, não importa quantas vezes outros a relataram.

EX069. Para que os revisores possam conferir se cada marcação é sustentada pelo texto e corrigir erros de codificação.

EX070. A inteligência com fonte e TLP, a técnica do ATT&CK, o controle proposto, o benefício esperado e os efeitos colaterais (mais o responsável e o prazo).

EX071. A equipe do laboratório depende de uma planilha com macros; um bloqueio sem consulta poderia interromper a emissão de resultados de exames.

EX072. A partir de um dispositivo de teste aprovado, conferir que o domínio não resolve mais nem aceita conexão, e registrar o horário e o resultado.

EX073. Validar, depois armazenar, depois aplicar a ocultação à amostra, depois resumir; a validação vem primeiro para que linhas ruins nunca entrem no banco de dados.

EX074. O filtro comparava os rótulos diferenciando maiúsculas e minúsculas, então tlp:amber não correspondia à exclusão; converter os rótulos para maiúsculas na importação resolveu.

EX075. Parar de trabalhar com eles, não copiá-los para lugar nenhum e avisar o instrutor imediatamente.