OpenCyber Academy
Pesquisa doutoral · Capítulo 7 · Português
Código do curso: OCA-199Capítulo 07: OCA-199-C007

Capítulo 7 — Síntese da tese e arquivo de reprodutibilidade

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 07 publicada. Mapa, exemplo, EX039.

flowchart TD
  N0["7.1 O argumento"]
  N1["7.2 Confirmatório versus exploratório"]
  N2["7.3 O arquivo"]
  N3["7.4 Testar o arquivo"]
  N4["7.5 Licenciamento e privacidade"]
  N5["7.6 Implicações"]
  N6["7.7 Mapeamento para frameworks"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX039"]

Desenho lógico

flowchart LR
  N0["7.1 O argumento"]
  N1["7.2 Confirmatório versus exploratório"]
  N2["7.3 O arquivo"]
  N3["7.4 Testar o arquivo"]
  N4["7.5 Licenciamento e privacidade"]
  N5["7.6 Implicações"]
  N6["7.7 Mapeamento para frameworks"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX039"]

[7.1 O argumento]
    |
    v
[7.2 Confirmatório versus exploratório]
    |
    v
[7.3 O arquivo]
    |
    v
[7.4 Testar o arquivo]
    |
    v
[7.5 Licenciamento e privacidade]
    |
    v
[7.6 Implicações]
    |
    v
[7.7 Mapeamento para frameworks]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX039]

Objetivos de aprendizagem

Você vai (1) sintetizar as constatações num argumento de tese coerente; (2) montar um arquivo de reprodutibilidade; (3) separar resultados confirmatórios e exploratórios; (4) indicar implicações para a prática e para a pesquisa.

7.1 O argumento

A tese argumenta: (1) os disparos benignos dominam a carga de trabalho dos analistas, em linha com Alahmadi et al. (2022); (2) o contexto nos cartões de alerta melhora a acurácia da triagem; (3) o contexto de histórico benigno traz um risco específico de descartar ataques verdadeiros; (4) o desenho dos alertas deve combinar o contexto com avisos de contraevidência. Cada passo se apoia num tipo diferente de evidência: o primeiro, na literatura; o segundo, no experimento registrado; o terceiro, na análise de falhas e no estudo complementar exploratório; e o quarto, no julgamento de Nadia a partir dos três. A tese identifica o quarto como uma recomendação, não como uma constatação.

7.2 Confirmatório versus exploratório

Os resultados dos capítulos recebem etiquetas: o efeito sobre a acurácia é confirmatório (registrado); a atribuição aos campos e o efeito sobre o tempo são exploratórios. As tabelas marcam cada um. As etiquetas dizem aos leitores quanto peso cada resultado aguenta. O efeito confirmatório sobre a acurácia foi testado conforme o registro; a atribuição ao campo de histórico benigno vem de um pequeno estudo complementar com quatro analistas e é uma pista, não uma conclusão. A tabela-resumo de Nadia repete cada etiqueta ao lado do arquivo do pacote que reproduz o resultado. O resultado de tempo traz uma etiqueta de secundário, em linha com a forma como foi registrado antes do estudo principal.

7.3 O arquivo

O arquivo contém: o gerador de alertas e sua semente; o corpus de 320 alertas com rótulos; as regras em formato Sigma usadas; os logs anonimizados dos analistas; os scripts de análise com versões fixadas; o pré-registro e o registro de mudanças; e um README que explica como refazer cada tabela. O arquivo permite que outro pesquisador regenere, a partir da semente, cada alerta, correspondência de regra, cartão e tabela. Os logs anonimizados substituem os registros brutos de triagem, como os termos de consentimento prometiam. O registro de mudanças e o pré-registro mostram aos leitores quais escolhas foram fixadas antes dos dados e quais vieram depois.

7.4 Testar o arquivo

Um colega de doutorado baixa o arquivo numa máquina limpa e regenera todas as tabelas, usando apenas as instruções do próprio arquivo. Dois números diferem na quarta casa decimal por causa de uma chamada de arredondamento; Nadia corrige o script e anota a correção. As diferenças eram pequenas, mas encontrá-las mostra que o teste verifica o próprio arquivo, e não a máquina de Nadia. Nadia registra a correção no registro de mudanças e marca uma nova versão do arquivo, e a segunda execução do colega na máquina limpa faz as saídas coincidirem exatamente.

7.5 Licenciamento e privacidade

O corpus e o código são publicados sob licença aberta. Os logs dos analistas são anonimizados: os IDs dos analistas são aleatórios, os horários são deslocados e as notas em texto livre são removidas depois de revisadas quanto a conteúdo identificador. Remover as notas em texto livre depois da revisão impede que os analistas sejam identificados pela escrita ou por detalhes do local de trabalho. Os horários deslocados mantêm as durações exatas enquanto escondem quando as sessões ocorreram. A licença aberta permite que outros pesquisadores reutilizem o corpus em experimentos diferentes com cartões de alerta, que é o propósito da primeira contribuição. O README do arquivo explica cada passo de anonimização, para que quem reutilizar saiba quais campos foram removidos e por quê.

7.6 Implicações

Para SOCs: testar os campos de enriquecimento um de cada vez e monitorar as taxas de ataques perdidos; campos de histórico precisam de salvaguardas. Para a pesquisa: experimentos no nível do campo e estudos de realismo sobre corpora. O SOC-CMM (van Os, 2016) oferece aos SOCs uma forma de situar essas mudanças dentro da maturidade de capacidades. As implicações seguem as evidências: os ataques perdidos sustentam o conselho sobre os campos de histórico, enquanto a atribuição exploratória sustenta testar os campos um de cada vez. Cada implicação da tese nomeia o resultado em que se apoia, para que o leitor possa segui-la até a evidência e sua etiqueta confirmatória ou exploratória antes de aplicá-la no próprio SOC.

7.7 Mapeamento para frameworks

As constatações são mapeadas para a função Detect (Detectar) do NIST CSF 2.0 (análise de eventos adversos), para que os profissionais possam localizá-las. Mapear o trabalho para a análise de eventos adversos permite que um gerente de SOC veja que as constatações tratam de como os alertas são avaliados depois da detecção, e não de como as regras são escritas. Nadia também aponta as atividades relacionadas de Respond (Responder), já que descartar um ataque verdadeiro na triagem atrasa todas as etapas seguintes do tratamento do incidente. O mapeamento aparece no artigo para profissionais e também na tese. A tese cita o NIST CSF 2.0 para o mapeamento, usando suas funções Detect e Respond pelo nome.

Exemplo resolvido

A tabela-resumo da tese de Nadia lista cada afirmação, o capítulo de evidência, o status (confirmatório ou exploratório) e o arquivo do pacote que a reproduz.

Caso sintético. O arquivo e o teste são inventados.

Erros e limites

Os arquivos se degradam à medida que o software muda; versões fixadas e uma descrição de contêiner retardam, mas não impedem, essa degradação.

Exercícios

Síntese

Uma tese conquista confiança com um argumento claro, etiquetas de status honestas e um arquivo que outros conseguem de fato reexecutar.

Continue estudando — capítulo 07 de 08

← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →

Respostas comentadas

EX039. Os disparos benignos dominam a carga de trabalho; o contexto nos alertas melhora a acurácia; o contexto de histórico benigno traz o risco de descartar ataques verdadeiros; o contexto deve vir com avisos de contraevidência.

EX040. O efeito sobre a acurácia é confirmatório; a atribuição a campos individuais e a redução do tempo são exploratórias.

EX041. O gerador com sua semente, o corpus rotulado, as regras Sigma, os logs anonimizados, os scripts de análise com versões fixadas e o pré-registro com o registro de mudanças (e um README).

EX042. Dois números diferiam na quarta casa decimal por causa de arredondamento; o script foi corrigido e a correção, registrada.

EX043. Os analistas receberam IDs aleatórios, os horários foram deslocados e as notas em texto livre foram retiradas depois de verificadas quanto a conteúdo identificador.

EX044. Introduzir os campos de enriquecimento um de cada vez e acompanhar as taxas de ataques perdidos, acrescentando salvaguardas aos campos de histórico.