Capítulo 6 — Estruturas discretas
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX016.
flowchart TD
N0["6.1 Conjuntos e relações"]
N1["6.2 Grafos"]
N2["6.3 Caminhos e componentes"]
N3["6.4 A armadilha da infraestrutura compartilhada"]
N4["6.5 Dirigido versus não dirigido"]
N5["6.6 O grau como sinal de alerta"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX016"]
Desenho lógico
flowchart LR
N0["6.1 Conjuntos e relações"]
N1["6.2 Grafos"]
N2["6.3 Caminhos e componentes"]
N3["6.4 A armadilha da infraestrutura compartilhada"]
N4["6.5 Dirigido versus não dirigido"]
N5["6.6 O grau como sinal de alerta"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX016"]
[6.1 Conjuntos e relações]
|
v
[6.2 Grafos]
|
v
[6.3 Caminhos e componentes]
|
v
[6.4 A armadilha da infraestrutura compartilhada]
|
v
[6.5 Dirigido versus não dirigido]
|
v
[6.6 O grau como sinal de alerta]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX016]
Objetivos de aprendizagem
Você vai (1) usar conjuntos e relações para modelar indicadores e atores; (2) representar inteligência como grafos; (3) raciocinar sobre caminhos e componentes conexos; (4) reconhecer os limites da análise de vínculos.
6.1 Conjuntos e relações
Cada feed é um conjunto de indicadores. A união combina feeds; a interseção mostra concordância; a diferença mostra o que só uma fonte tem. Uma relação forma pares de elementos: (domínio, resolve-para, endereço). Os objetos de relacionamento do STIX 2.1 expressam exatamente isso — um objeto de origem, um tipo de relacionamento e um objeto de destino. Amara usa operações de conjuntos para comparar dois feeds do HSSC e descobre que eles se sobrepõem em apenas um terço dos indicadores. A concordância entre fontes independentes aumenta a confiança; os indicadores encontrados em um único feed não estão errados, mas precisam de mais conferência antes de um bloqueio.
6.2 Grafos
Trate indicadores, famílias de malware e campanhas como nós, e os relacionamentos como arestas. Os grafos tornam os pivôs visíveis: dois domínios de phishing que resolveram para o mesmo endereço ficam ligados por esse nó de endereço. Os quatro vértices do Diamond Model — adversário, capacidade, infraestrutura, vítima — são, eles mesmos, um pequeno grafo para cada evento. Amara monta um pequeno grafo a partir de um relatório do HSSC e confere cada aresta com sua fonte antes de tirar conclusões. Cada aresta leva a fonte que a relatou e a data, então uma ligação que se apoia em um relatório antigo ou fraco pode ser identificada e, se preciso, removida sem reconstruir o grafo inteiro.
6.3 Caminhos e componentes
Um caminho liga dois nós por meio de arestas. Um componente conexo é um grupo em que todo nó alcança todos os outros. Às vezes os analistas tratam um componente como "uma campanha". Isso é uma hipótese, não um fato. Amara escreve "estes indicadores formam um grupo conexo, que pode ser uma campanha", e não "esta é uma campanha". Depois ela procura evidências que os separariam, como técnicas de entrega ou momentos diferentes. Um componente formado por um endereço de hospedagem compartilhada, por exemplo, pode juntar atores sem relação entre si, então a hipótese precisa ser testada antes que alguém aja com base nela.
6.4 A armadilha da infraestrutura compartilhada
Hospedagem compartilhada, redes de distribuição de conteúdo e endereços de nuvem ligam clientes sem relação entre si. Um endereço que serve milhares de domínios liga todos eles em um grafo ingênuo. Antes de confiar em uma ligação, pergunte quantas outras coisas compartilham aquele nó; nós de grau alto costumam ser ruído. Amara confere o número de domínios em cada endereço com as informações públicas do provedor de hospedagem ou com um registro de DNS passivo, e descarta as arestas que passam por nós que servem muitos sites sem relação. Ela registra cada aresta removida e o motivo, para que um revisor possa ver a escolha.
6.5 Dirigido versus não dirigido
"O domínio resolve para o endereço" tem direção; "apareceu no mesmo relatório" não tem. Mantenha a direção onde ela carrega significado, ou você vai raciocinar de trás para frente. Amara guarda cada relacionamento com seu tipo e sua direção, seguindo os objetos de relacionamento do STIX. Inverter uma aresta, por exemplo lendo "o endereço resolve para o domínio", poderia levar à falsa conclusão de que todo domínio em um endereço compartilhado pertence ao mesmo ator. Ligações não dirigidas, como a coocorrência em um relatório, ficam separadas e são tratadas como evidência mais fraca, já que só mostram que duas coisas foram mencionadas juntas.
6.6 O grau como sinal de alerta
O grau de um nó é o número de suas arestas. Um hub repentino em um pequeno grafo de inteligência merece inspeção: pode ser um servidor de comando genuíno, ou um resolvedor público, um provedor de webmail ou um artefato de parsing equivocado. Amara acrescenta ao script do grafo uma verificação de grau que lista, para revisão manual, qualquer nó acima de um limiar escolhido. O limiar é definido a partir da forma normal do grafo, e cada nó marcado é conferido com informações públicas antes de ser mantido. Um resolvedor público ou um provedor de webmail é removido com uma nota; um servidor genuíno é mantido e destacado.
Exemplo resolvido
Amara liga seis domínios de phishing do HSSC. Cinco se juntam em um componente por meio de um único endereço. Ela confere o endereço: ele pertence a um grande provedor de hospedagem e serve muitos sites sem relação. Ela o remove como pivô; os seis domínios se dividem em três pequenos grupos, dois deles ligados por um padrão comum de e-mail de registro. Sua nota diz "dois domínios podem estar relacionados; evidência fraca".
Caso sintético. Os domínios e os detalhes de hospedagem são inventados.
Erros e limites
Grafos mostram coocorrência, não intenção. Um desenho com muitas linhas parece convincente; teste cada aresta.
Exercícios
- EX016 — Operação de conjuntos. Que operação de conjuntos lista os indicadores que só o HSSC tem, e não a lista de bloqueio do próprio HCHT? Rubrica: 3 = diferença (HSSC − HCHT); 2 = nomeada, mas com a direção errada; 1 = interseção; 0 = nenhuma.
- EX017 — Grau alto. Por que Amara descartou o endereço de hospedagem como pivô? Rubrica: 3 = nó compartilhado/de grau alto liga sites sem relação; ligação falsa; 2 = parcial; 1 = era malicioso; 0 = nenhuma.
- EX018 — Vértices do Diamond. Nomeie os quatro vértices do Diamond Model. Rubrica: 3 = adversário, capacidade, infraestrutura, vítima; 2 = três; 1 = um ou dois; 0 = nenhuma.
Síntese
Conjuntos e grafos organizam a inteligência; confira os nós de grau alto, mantenha a direção e trate os componentes como hipóteses.
Continue estudando — capítulo 06 de 40
← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →