## Capítulo 2 — Inteligência de ameaças e OSINT: fronteira da pesquisa ### Mapa da aula Aula 02 publicada. Mapa, exemplo, EX008. ```mermaid flowchart TD N0["2.1 Três modelos, três afirmações"] N1["2.2 Problemas em aberto"] N2["2.3 Fronteira do método OSINT"] N3["2.4 Escrevendo a lacuna"] N4["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 N4 --> EX["Exemplo resolvido"] EX --> Q["Exercício EX008"] ``` ### Desenho lógico ```mermaid flowchart LR N0["2.1 Três modelos, três afirmações"] N1["2.2 Problemas em aberto"] N2["2.3 Fronteira do método OSINT"] N3["2.4 Escrevendo a lacuna"] N4["Síntese"] N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"] ``` ```text [2.1 Três modelos, três afirmações] | v [2.2 Problemas em aberto] | v [2.3 Fronteira do método OSINT] | v [2.4 Escrevendo a lacuna] | v [Síntese] | v [Exemplo resolvido] --> [Exercício EX008] ``` ### Objetivos de aprendizagem Você vai (1) mapear os principais problemas em aberto no método de CTI; (2) distinguir os modelos (kill chain, Diamond, ATT&CK) pelo que cada um afirma; (3) identificar onde a evidência da literatura é escassa; (4) escrever uma declaração de lacuna que um revisor não possa descartar como mero resumo da literatura. ### 2.1 Três modelos, três afirmações Hutchins, Cloppert e Amin (2011) propuseram a *intrusion kill chain* — reconhecimento, armamento, entrega, exploração, instalação, comando e controle, ações sobre os objetivos — e argumentaram que os defensores vencem ao quebrar qualquer elo e ao analisar campanhas em vez de incidentes isolados. Caltagirone, Pendergast e Betz (2013) propuseram o Diamond Model: todo evento tem adversário, capacidade, infraestrutura e vítima, e os analistas fazem pivôs ao longo das arestas. O MITRE ATT&CK é uma base de conhecimento curada de táticas, técnicas e grupos observados. O primeiro é uma estratégia defensiva, o segundo uma ontologia analítica, o terceiro um catálogo empírico. Uma pesquisa que os trate como intercambiáveis vai confundir as próprias afirmações. ### 2.2 Problemas em aberto Várias perguntas continuam com pouca evidência: em que medida a linguagem de confiança dos relatórios prevê a confirmação posterior; quanto o compartilhamento de indicadores realmente reduz danos (o NIST SP 800-150 descreve como compartilhar, não quanto benefício resulta); quão reprodutível é a atribuição entre equipes independentes; e como medir o valor da inteligência estratégica para quem decide. Cada uma é pesquisável com um desenho cuidadoso e dados sintéticos ou consentidos. A tese de Tomas assume a primeira pergunta. As demais pedem outros desenhos: a redução de danos pelo compartilhamento exigiria dados de desfecho das organizações, e a reprodutibilidade da atribuição exigiria equipes independentes trabalhando sobre os mesmos artefatos, razão pela qual aparecem como trabalho futuro, e não na proposta dele. ### 2.3 Fronteira do método OSINT A investigação em fontes abertas cresceu mais depressa do que sua validação. As perguntas incluem as taxas de erro de geolocalização, a confiabilidade das capturas arquivadas da web e os custos de privacidade de agregar fatos públicos individualmente inofensivos. O trabalho de doutorado aqui precisa pesar o valor da pesquisa contra o dano de construir ferramentas de agregação. O corpus de Tomas evita deliberadamente essa fronteira: usa relatórios, não pessoas, e o corpus do fórum foi descartado. Uma tese que geolocalizasse imagens ou vinculasse perfis públicos precisaria de um dossiê de ética muito mais pesado, porque cada etapa de agregação pode criar um perfil de uma pessoa que nenhum fato público isolado revelava. ### 2.4 Escrevendo a lacuna Uma boa declaração de lacuna tem três partes: o que se sabe (com citações), o que não se sabe (enunciado com precisão) e por que isso importa para uma decisão. "Há pouca pesquisa sobre CTI" não é uma lacuna; "nenhum estudo publicado mede a calibração da linguagem estimativa em relatórios de CTI de fornecedores em relação à confirmação posterior" é. A declaração do próprio Tomas segue as três partes: a norma é conhecida, já que a ICD 203 exige expressar a incerteza e Kent propôs um vocabulário estimativo; nenhuma medição de calibração em CTI comercial apareceu entre os 40 artigos e relatórios que ele revisou; e isso importa porque as equipes de SOC decidem bloquear ou não com base nessas expressões. ### Exemplo resolvido Tomas revisa 40 artigos e relatórios. Encontra muitas descrições da exigência da ICD 203 de expressar a incerteza e do vocabulário de probabilidade estimativa de Kent, mas nenhuma medição de calibração em CTI comercial. Sua declaração de lacuna nomeia essa ausência, cita Kent e a ICD 203 para a norma e a liga à tomada de decisão do SOC sobre bloqueios. > **Caso sintético.** O número de itens revisados por Tomas e sua declaração de lacuna são inventados. ### Erros e limites Blogs de fornecedores são evidência de prática, não resultados revisados por pares; rotule-os. O entusiasmo pela fronteira não justifica construir ferramentas de vigilância. ### Exercícios - **EX008 — Afirmações dos modelos.** Em uma linha cada, diga que tipo de coisa são a kill chain, o Diamond Model e o ATT&CK. *Rubrica:* 3 = modelo de estratégia/fases; ontologia de eventos; base de conhecimento empírica; 2 = dois certos; 1 = um; 0 = nenhum. - **EX009 — Lacuna fraca.** Reescreva "não há muita pesquisa sobre compartilhamento de ameaças" como uma lacuna precisa. *Rubrica:* 3 = incógnita específica + população + medida; 2 = mais específica, mas não mensurável; 1 = inalterada; 0 = nenhuma. - **EX010 — Pivô no Diamond.** Nomeie as quatro características centrais e um pivô que um analista poderia fazer. *Rubrica:* 3 = adversário, capacidade, infraestrutura, vítima + pivô válido (por exemplo, infraestrutura→outras vítimas); 2 = apenas as características; 1 = parcial; 0 = nenhum. - **EX011 — Dano por agregação.** Por que combinar fatos públicos inofensivos sobre uma pessoa pode criar um problema ético para a pesquisa em OSINT? *Rubrica:* 3 = a agregação permite identificação/perfilamento/dano; deveres de proteção de dados; 2 = menciona privacidade; 1 = não há problema; 0 = nenhum. - **EX012 — Classificação de fontes.** Como Tomas deve citar um blog de fornecedor na revisão da literatura? *Rubrica:* 3 = citar, mas rotular como literatura cinzenta/evidência de prática, não revisada por pares; 2 = citar com cautela; 1 = tratar como revisado por pares; 0 = nenhum. - **EX013 — Escopo do SP 800-150.** O que o NIST SP 800-150 oferece e o que ele não mede? *Rubrica:* 3 = orientação sobre relações/práticas de compartilhamento; não mede empiricamente o benefício; 2 = uma metade; 1 = errado; 0 = nenhum. - **EX014 — Tese da kill chain.** Enuncie em uma frase o argumento defensivo central de Hutchins et al. *Rubrica:* 3 = quebrar qualquer fase + análise de campanhas/defesa orientada por inteligência; 2 = apenas quebrar a cadeia; 1 = não relacionado; 0 = nenhum. ### Síntese Saiba o que cada modelo afirma, encontre lacunas precisas e ligadas a decisões, e pese o valor da pesquisa em OSINT contra o dano da agregação. ### Continue estudando — capítulo 02 de 08 [← Capítulo 01 (rascunho)](#ch-01) · [Índice de capítulos do curso](../SUBJECTS.md) · [Capítulo 03 (rascunho) →](#ch-03) ## Worked answers **EX008.** Kill chain: um modelo de estratégia defensiva baseado em fases. Diamond Model: uma ontologia do evento de intrusão. ATT&CK: uma base de conhecimento empírica e curada do comportamento observado de adversários. **EX009.** Exemplo: "Nenhum estudo publicado mede se os indicadores recebidos por meio de uma comunidade setorial de compartilhamento reduzem o tempo até a detecção nos SOCs dos membros em comparação com os de não membros." **EX010.** Adversário, capacidade, infraestrutura, vítima. Exemplo de pivô: de um domínio de comando e controle compartilhado (infraestrutura) para outras vítimas que contatam esse domínio. **EX011.** Fatos individualmente inofensivos, combinados, podem identificar, localizar ou traçar o perfil de uma pessoa, possibilitando danos e acionando deveres de proteção de dados, embora cada fato fosse público. **EX012.** Citá-lo como literatura cinzenta que descreve a prática, claramente separada da evidência revisada por pares, e evitar apoiar uma afirmação central apenas nele. **EX013.** Oferece orientação para estabelecer relações de compartilhamento, definir o escopo e tratar a informação compartilhada; não mede empiricamente quanto o compartilhamento melhora os resultados de segurança. **EX014.** Defensores que analisam campanhas inteiras podem interromper uma intrusão ao quebrar qualquer fase isolada da kill chain, transformando a inteligência sobre os adversários em vantagem defensiva.