Capítulo 15 — Fundamentos de segurança | Engenharia Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 15 publicada. Mapa, exemplo, EX043.

flowchart TD
  N0["15.1 CID para a inteligência"]
  N1["15.2 Ameaça, vulnerabilidade, risco"]
  N2["15.3 A CTI no CSF 2.0"]
  N3["15.4 A plataforma como alvo"]
  N4["15.5 A kill chain como mapa defensivo"]
  N5["Nota de prática — Responsabilização"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX043"]

Desenho lógico

flowchart LR
  N0["15.1 CID para a inteligência"]
  N1["15.2 Ameaça, vulnerabilidade, risco"]
  N2["15.3 A CTI no CSF 2.0"]
  N3["15.4 A plataforma como alvo"]
  N4["15.5 A kill chain como mapa defensivo"]
  N5["Nota de prática — Responsabilização"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX043"]

[15.1 CID para a inteligência]
    |
    v
[15.2 Ameaça, vulnerabilidade, risco]
    |
    v
[15.3 A CTI no CSF 2.0]
    |
    v
[15.4 A plataforma como alvo]
    |
    v
[15.5 A kill chain como mapa defensivo]
    |
    v
[Nota de prática — Responsabilização]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX043]

Objetivos de aprendizagem

Você vai (1) aplicar confidencialidade, integridade e disponibilidade aos dados de inteligência; (2) definir ameaça, vulnerabilidade e risco; (3) situar a CTI nas funções do NIST CSF 2.0; (4) explicar por que a própria plataforma de CTI é um alvo.

15.1 CID para a inteligência

Confidencialidade: relatórios TLP:RED só podem chegar aos destinatários nomeados. Integridade: um indicador adulterado poderia bloquear um fornecedor legítimo ou, pior, o servidor de atualizações de um sistema de segurança. Disponibilidade: quando uma campanha começa, é quando os analistas mais precisam da plataforma. Kofi escreve uma nota curta para cada tipo de dado do Lantern dizendo qual das três propriedades importa mais. Os relatórios de parceiros tratam principalmente de confidencialidade, as listas de bloqueio de integridade e o serviço de comparação de disponibilidade. Os controles são escolhidos a partir dessa nota, em vez de aplicados igualmente em toda parte.

15.2 Ameaça, vulnerabilidade, risco

Uma ameaça é uma causa potencial de dano (um adversário ou um acidente). Uma vulnerabilidade é uma fraqueza que poderia ser usada. O risco combina probabilidade e impacto. A CTI informa o lado da ameaça: quais adversários, quais técnicas, quais alvos. Kofi mantém os termos separados em seus relatórios. Um boletim de um parceiro sobre um agente que mira empresas de energia é informação de ameaça. Um servidor de acesso remoto sem patch na BEN é uma vulnerabilidade. O risco é esse agente usar esse servidor, julgado pela probabilidade e pelo dano que isso causaria. A inteligência muda a estimativa de probabilidade; ela não corrige o servidor.

15.3 A CTI no CSF 2.0

O NIST CSF 2.0 organiza os resultados em Govern, Identify, Protect, Detect, Respond e Recover (governar, identificar, proteger, detectar, responder e recuperar). A inteligência de ameaças alimenta Identify (avaliação de riscos), Detect (regras) e Respond (contexto), e os acordos de compartilhamento são assunto de Govern. Situar o trabalho de inteligência nessas funções ajuda a BEN a explicar seu valor. Uma nova regra de detecção escrita a partir do relatório de um parceiro é um resultado de Detect; um briefing que muda o registro de riscos é Identify. Os acordos sobre o que a BEN pode compartilhar, com quem e sob que rótulo ficam em Govern, porque criam obrigações para a organização inteira, e não para uma equipe. Kofi marca cada saída do Lantern com a função a que ela serve.

15.4 A plataforma como alvo

Um adversário que envenenasse o Lantern poderia fazer a BEN bloquear os próprios fornecedores ou ignorar ameaças reais. Controles de integridade — feeds assinados quando disponíveis, reputação das fontes, verificações de anomalia no volume — protegem contra o envenenamento. As verificações de anomalia de Kofi comparam cada entrega com o histórico daquela fonte. Um salto repentino de volume, muitos indicadores para serviços conhecidos ou entradas que correspondem à lista de permissões da BEN retêm a entrega para revisão. A reputação de uma fonte cai quando entradas de um parceiro se revelam erradas depois, o que reduz a confiança de suas entregas futuras até que o histórico melhore.

15.5 A kill chain como mapa defensivo

Hutchins et al. argumentaram que os defensores podem agir em cada fase. As saídas do Lantern se mapeiam às fases: bloqueios de domínio para entrega e comando e controle, analíticas comportamentais para instalação e ações sobre os objetivos. O mapeamento mostra onde as defesas da BEN estão finas. Quando Kofi contou as saídas do Lantern por fase, a maioria caía em entrega e comando e controle, porque indicadores dessas fases são fáceis de compartilhar. Poucas tratavam do que um intruso faz depois de ganhar um ponto de apoio. Essa lacuna virou um pedido à equipe de detecção por analíticas comportamentais nos hosts internos.

Nota de prática — Responsabilização

Todo bloqueio automatizado precisa ser explicável: qual indicador, qual fonte, qual confiança, qual regra. O Lantern armazena essa cadeia junto com o bloqueio, para que, quando um fornecedor reclamar, o SOC possa responder em minutos e corrigir a fonte, em vez de adivinhar.

Exemplo resolvido

O feed de um parceiro passa de repente a incluir o domínio do próprio provedor de folha de pagamento da BEN. A verificação de anomalia de Kofi o sinaliza porque o domínio aparece na lista de permissões de fornecedores críticos da BEN. Os analistas confirmam que a entrada foi um erro do parceiro; o bloqueio teria interrompido o pagamento dos salários.

Caso sintético. O erro do feed e o fornecedor são inventados.

Erros e limites

As próprias listas de permissões podem ser abusadas; revise-as. A tríade CID é um vocabulário inicial, e não um método completo de risco.

Exercícios

EX043 — Dano à integridade. Descreva uma falha de integridade no Lantern e sua consequência operacional.
Mostrar critérios de avaliação
Rubrica: 3 = indicador adulterado/envenenado → bloqueio de serviço legítimo ou ameaça não detectada; 2 = adulteração vaga; 1 = exemplo de confidencialidade; 0 = nenhuma.
EX044 — Lugar no CSF. Cite duas funções do CSF 2.0 que a CTI apoia, com um exemplo de cada.
Mostrar critérios de avaliação
Rubrica: 3 = duas funções com exemplos correspondentes; 2 = dois nomes; 1 = uma; 0 = nenhuma.
EX045 — Verificação de envenenamento. Por que comparar o conteúdo do feed com uma lista de permissões de fornecedores críticos?
Mostrar critérios de avaliação
Rubrica: 3 = detecta envenenamentos/erros que bloqueariam serviços críticos; 2 = parcial; 1 = rapidez; 0 = nenhuma.

Síntese

Aplique a tríade CID à própria inteligência, situe a CTI no CSF e proteja a plataforma contra o envenenamento.

Continue estudando — capítulo 15 de 50

← Capítulo 14 (rascunho) · Índice de capítulos do curso · Capítulo 16 (rascunho) →