Capítulo 1 — Integridade e métodos avançados de pesquisa | Pesquisa doutoral Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Por que a pesquisa em CTI precisa de regras próp"]
  N1["1.2 Poder versus ter permissão"]
  N2["1.3 Pré-registro"]
  N3["1.4 O dossiê de ética"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Por que a pesquisa em CTI precisa de regras próp"]
  N1["1.2 Poder versus ter permissão"]
  N2["1.3 Pré-registro"]
  N3["1.4 O dossiê de ética"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX001"]

[1.1 Por que a pesquisa em CTI precisa de regras próp]
    |
    v
[1.2 Poder versus ter permissão]
    |
    v
[1.3 Pré-registro]
    |
    v
[1.4 O dossiê de ética]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) enunciar as obrigações de integridade que se aplicam à pesquisa em CTI e OSINT; (2) separar os dados que você pode legitimamente coletar dos dados que você apenas consegue coletar; (3) pré-registrar uma pergunta, um método e um plano de análise; (4) montar um dossiê de ética que um comitê de revisão possa aprovar.

1.1 Por que a pesquisa em CTI precisa de regras próprias de integridade

A pesquisa em inteligência de ameaças toca ao mesmo tempo três populações sensíveis: as vítimas citadas em relatórios de incidentes, os analistas cujos julgamentos são estudados e as pessoas que aparecem incidentalmente em fontes abertas. Um desenho estatisticamente sólido ainda pode ser antiético se reidentificar uma organização vítima a partir de um relatório sanitizado ou se raspar um fórum contra os termos de uso dele. Por isso, a integridade nesta área combina a ética de pesquisa comum — honestidade, transparência, nenhuma fabricação — com a legislação de proteção de dados, como o Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia, e com as restrições de compartilhamento que as próprias fontes carregam, por exemplo os rótulos do FIRST TLP 2.0. No Brasil, o papel equivalente cabe à Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), cujo cumprimento é fiscalizado pela Autoridade Nacional de Proteção de Dados (ANPD).

1.2 Poder versus ter permissão

Visibilidade pública não equivale a permissão. Uma página de perfil pode ser acessível sem login e, ainda assim, os termos da plataforma podem proibir a coleta automatizada, e os dados da pessoa podem continuar sendo dados pessoais segundo o GDPR. A regra de Tomas: antes de qualquer coleta, registre por escrito a base legal, os termos aplicáveis, a etapa de minimização e o prazo de retenção. Se qualquer um dos quatro estiver em branco, a coleta espera. O corpus do fórum mostra a regra funcionando: as postagens eram acessíveis sem login, mas os termos do fórum proibiam a raspagem para pesquisa e nenhuma permissão foi concedida, de modo que o campo "termos aplicáveis" não podia ser preenchido com honestidade e o corpus foi descartado antes de qualquer coleta.

1.3 Pré-registro

Pré-registrar a pergunta de pesquisa, as hipóteses, o esquema de codificação e o plano de análise antes de ver os dados de desfecho protege contra o ajuste inconsciente. Em CTI, onde as narrativas de atribuição seduzem, isso importa: assim que um nome de grupo como APT29 (ATT&CK G0016) aparece em um relatório, os analistas tendem a ler cada artefato posterior como confirmação. A obra Psychology of Intelligence Analysis, de Heuer, documenta essa tendência no julgamento humano. Para Tomas, o pré-registro fixa de antemão o mapeamento de cada expressão estimativa para uma probabilidade e a regra de codificação de um desfecho. Se esses itens fossem escolhidos depois de ver quais afirmações se confirmaram, ele poderia, sem querer, colocar uma expressão como "provável" onde quer que ela melhorasse a curva de calibração.

1.4 O dossiê de ética

O dossiê contém: inventário de dados, base legal, tratamento TLP de cada fonte, método de desidentificação, local de armazenamento, lista de acesso, prazo de retenção e um plano para achados incidentais (por exemplo, descobrir em uma amostra um comprometimento ativo não comunicado). Este último item é específico da pesquisa em segurança e costuma faltar. O dossiê de Tomas nomeia um caminho concreto para esse último item: se a codificação revelar indícios de que uma organização citada ainda pode estar comprometida, ele avisa a Dra. Sato, que contata um coordenador adequado por meio da comunidade de compartilhamento, e ele mesmo não sonda a organização. Os 200 relatórios TLP:AMBER+STRICT têm linha própria: análise só dentro do laboratório, nenhuma citação, relato agregado.

Exemplo resolvido

Tomas planeja estudar 1.200 relatórios de CTI. Duzentos deles têm o rótulo TLP:AMBER+STRICT de uma comunidade de compartilhamento. Seu dossiê de ética registra que esses só podem ser analisados dentro do laboratório, nunca citados, e que os resultados serão relatados de forma agregada. Um corpus adicional de postagens de fórum é descartado porque os termos do fórum proíbem a raspagem para pesquisa e nenhuma permissão foi concedida.

Caso sintético. O Larkspur CTI Lab, seu corpus e o dossiê de ética de Tomas são inventados.

Erros e limites

Supor que "público significa livre para usar" é a falha de integridade mais comum. O pré-registro não proíbe o trabalho exploratório; exige que ele seja rotulado como exploratório. Este capítulo não é aconselhamento jurídico.

Exercícios

EX001 — Quatro campos em branco. Liste os quatro itens que Tomas precisa preencher antes de iniciar qualquer coleta.
Mostrar critérios de avaliação
Rubrica: 3 = base legal, termos aplicáveis, minimização, retenção; 2 = três; 1 = um ou dois; 0 = nenhum.
EX002 — Corpus âmbar. Como Tomas pode usar os relatórios TLP:AMBER+STRICT na tese?
Mostrar critérios de avaliação
Rubrica: 3 = análise apenas dentro da organização, sem citação nem redistribuição, relato agregado; 2 = restringe o compartilhamento de forma vaga; 1 = citar livremente; 0 = nenhuma.
EX003 — Recusa do fórum. Por que descartar o corpus do fórum é correto, embora as postagens sejam visíveis sem login?
Mostrar critérios de avaliação
Rubrica: 3 = os termos proíbem a raspagem, não há permissão, há questões de dados pessoais; 2 = um motivo; 1 = visível significa permitido; 0 = nenhum.
EX004 — Comprometimento incidental. Ao codificar um relatório, Tomas nota indícios de que uma organização citada ainda pode estar comprometida. O que o dossiê de ética deveria ter previsto?
Mostrar critérios de avaliação
Rubrica: 3 = caminho de escalonamento previamente acordado (orientadora, CERT/coordenador) sem investigação própria; 2 = avisar apenas a orientadora; 1 = investigar por conta própria; 0 = nenhum.
EX005 — Armadilha da confirmação. Que viés o pré-registro ajuda a conter na pesquisa sobre atribuição, e como?
Mostrar critérios de avaliação
Rubrica: 3 = viés de confirmação; fixa hipóteses e codificação antes dos desfechos; 2 = nomeia o viés; 1 = viés não relacionado; 0 = nenhum.
EX006 — Rótulo exploratório. Tomas encontra um padrão inesperado que não estava no plano. Como deve relatá-lo?
Mostrar critérios de avaliação
Rubrica: 3 = relatar como exploratório, separado do confirmatório, propor acompanhamento; 2 = relatar com rótulo fraco; 1 = apresentar como planejado; 0 = nenhum.
EX007 — Lista de acesso. Quem deve constar na lista de acesso do subconjunto AMBER+STRICT?
Mostrar critérios de avaliação
Rubrica: 3 = apenas membros nomeados do laboratório com necessidade de conhecer, sob o acordo de compartilhamento; 2 = membros do laboratório em geral; 1 = qualquer pessoa da universidade; 0 = nenhum.

Síntese

Registre a base legal, os termos, a minimização e a retenção antes de coletar; respeite o TLP; pré-registre; planeje os achados incidentais.

Continue estudando — capítulo 01 de 08

← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →