Capítulo 2 — Inteligência de ameaças e OSINT: fronteira da pesquisa

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Três modelos, três afirmações"]
  N1["2.2 Problemas em aberto"]
  N2["2.3 Fronteira do método OSINT"]
  N3["2.4 Escrevendo a lacuna"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Três modelos, três afirmações"]
  N1["2.2 Problemas em aberto"]
  N2["2.3 Fronteira do método OSINT"]
  N3["2.4 Escrevendo a lacuna"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX008"]

[2.1 Três modelos, três afirmações]
    |
    v
[2.2 Problemas em aberto]
    |
    v
[2.3 Fronteira do método OSINT]
    |
    v
[2.4 Escrevendo a lacuna]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) mapear os principais problemas em aberto no método de CTI; (2) distinguir os modelos (kill chain, Diamond, ATT&CK) pelo que cada um afirma; (3) identificar onde a evidência da literatura é escassa; (4) escrever uma declaração de lacuna que um revisor não possa descartar como mero resumo da literatura.

2.1 Três modelos, três afirmações

Hutchins, Cloppert e Amin (2011) propuseram a intrusion kill chain — reconhecimento, armamento, entrega, exploração, instalação, comando e controle, ações sobre os objetivos — e argumentaram que os defensores vencem ao quebrar qualquer elo e ao analisar campanhas em vez de incidentes isolados. Caltagirone, Pendergast e Betz (2013) propuseram o Diamond Model: todo evento tem adversário, capacidade, infraestrutura e vítima, e os analistas fazem pivôs ao longo das arestas. O MITRE ATT&CK é uma base de conhecimento curada de táticas, técnicas e grupos observados. O primeiro é uma estratégia defensiva, o segundo uma ontologia analítica, o terceiro um catálogo empírico. Uma pesquisa que os trate como intercambiáveis vai confundir as próprias afirmações.

2.2 Problemas em aberto

Várias perguntas continuam com pouca evidência: em que medida a linguagem de confiança dos relatórios prevê a confirmação posterior; quanto o compartilhamento de indicadores realmente reduz danos (o NIST SP 800-150 descreve como compartilhar, não quanto benefício resulta); quão reprodutível é a atribuição entre equipes independentes; e como medir o valor da inteligência estratégica para quem decide. Cada uma é pesquisável com um desenho cuidadoso e dados sintéticos ou consentidos. A tese de Tomas assume a primeira pergunta. As demais pedem outros desenhos: a redução de danos pelo compartilhamento exigiria dados de desfecho das organizações, e a reprodutibilidade da atribuição exigiria equipes independentes trabalhando sobre os mesmos artefatos, razão pela qual aparecem como trabalho futuro, e não na proposta dele.

2.3 Fronteira do método OSINT

A investigação em fontes abertas cresceu mais depressa do que sua validação. As perguntas incluem as taxas de erro de geolocalização, a confiabilidade das capturas arquivadas da web e os custos de privacidade de agregar fatos públicos individualmente inofensivos. O trabalho de doutorado aqui precisa pesar o valor da pesquisa contra o dano de construir ferramentas de agregação. O corpus de Tomas evita deliberadamente essa fronteira: usa relatórios, não pessoas, e o corpus do fórum foi descartado. Uma tese que geolocalizasse imagens ou vinculasse perfis públicos precisaria de um dossiê de ética muito mais pesado, porque cada etapa de agregação pode criar um perfil de uma pessoa que nenhum fato público isolado revelava.

2.4 Escrevendo a lacuna

Uma boa declaração de lacuna tem três partes: o que se sabe (com citações), o que não se sabe (enunciado com precisão) e por que isso importa para uma decisão. "Há pouca pesquisa sobre CTI" não é uma lacuna; "nenhum estudo publicado mede a calibração da linguagem estimativa em relatórios de CTI de fornecedores em relação à confirmação posterior" é. A declaração do próprio Tomas segue as três partes: a norma é conhecida, já que a ICD 203 exige expressar a incerteza e Kent propôs um vocabulário estimativo; nenhuma medição de calibração em CTI comercial apareceu entre os 40 artigos e relatórios que ele revisou; e isso importa porque as equipes de SOC decidem bloquear ou não com base nessas expressões.

Exemplo resolvido

Tomas revisa 40 artigos e relatórios. Encontra muitas descrições da exigência da ICD 203 de expressar a incerteza e do vocabulário de probabilidade estimativa de Kent, mas nenhuma medição de calibração em CTI comercial. Sua declaração de lacuna nomeia essa ausência, cita Kent e a ICD 203 para a norma e a liga à tomada de decisão do SOC sobre bloqueios.

Caso sintético. O número de itens revisados por Tomas e sua declaração de lacuna são inventados.

Erros e limites

Blogs de fornecedores são evidência de prática, não resultados revisados por pares; rotule-os. O entusiasmo pela fronteira não justifica construir ferramentas de vigilância.

Exercícios

• EX008 — Afirmações dos modelos. Em uma linha cada, diga que tipo de coisa são a kill chain, o Diamond Model e o ATT&CK.
  Mostrar critérios de avaliação

  Rubrica: 3 = modelo de estratégia/fases; ontologia de eventos; base de conhecimento empírica; 2 = dois certos; 1 = um; 0 = nenhum.
• EX009 — Lacuna fraca. Reescreva "não há muita pesquisa sobre compartilhamento de ameaças" como uma lacuna precisa.
  Mostrar critérios de avaliação

  Rubrica: 3 = incógnita específica + população + medida; 2 = mais específica, mas não mensurável; 1 = inalterada; 0 = nenhuma.
• EX010 — Pivô no Diamond. Nomeie as quatro características centrais e um pivô que um analista poderia fazer.
  Mostrar critérios de avaliação

  Rubrica: 3 = adversário, capacidade, infraestrutura, vítima + pivô válido (por exemplo, infraestrutura→outras vítimas); 2 = apenas as características; 1 = parcial; 0 = nenhum.
• EX011 — Dano por agregação. Por que combinar fatos públicos inofensivos sobre uma pessoa pode criar um problema ético para a pesquisa em OSINT?
  Mostrar critérios de avaliação

  Rubrica: 3 = a agregação permite identificação/perfilamento/dano; deveres de proteção de dados; 2 = menciona privacidade; 1 = não há problema; 0 = nenhum.
• EX012 — Classificação de fontes. Como Tomas deve citar um blog de fornecedor na revisão da literatura?
  Mostrar critérios de avaliação

  Rubrica: 3 = citar, mas rotular como literatura cinzenta/evidência de prática, não revisada por pares; 2 = citar com cautela; 1 = tratar como revisado por pares; 0 = nenhum.
• EX013 — Escopo do SP 800-150. O que o NIST SP 800-150 oferece e o que ele não mede?
  Mostrar critérios de avaliação

  Rubrica: 3 = orientação sobre relações/práticas de compartilhamento; não mede empiricamente o benefício; 2 = uma metade; 1 = errado; 0 = nenhum.
• EX014 — Tese da kill chain. Enuncie em uma frase o argumento defensivo central de Hutchins et al.
  Mostrar critérios de avaliação

  Rubrica: 3 = quebrar qualquer fase + análise de campanhas/defesa orientada por inteligência; 2 = apenas quebrar a cadeia; 1 = não relacionado; 0 = nenhum.

Síntese

Saiba o que cada modelo afirma, encontre lacunas precisas e ligadas a decisões, e pese o valor da pesquisa em OSINT contra o dano da agregação.

Continue estudando — capítulo 02 de 08

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →