Capítulo 17 — Fundamentos de controle e realimentação
Mapa da aula
Aula 17 publicada. Mapa, exemplo, EX049.
flowchart TD
N0["17.1 Laços"]
N1["17.2 Partes do laço"]
N2["17.3 Atraso e oscilação"]
N3["17.4 Realimentação aos produtores"]
N4["17.5 Humano no laço"]
N5["Nota de prática — Valores de referência vindos da po"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX049"]
Desenho lógico
flowchart LR
N0["17.1 Laços"]
N1["17.2 Partes do laço"]
N2["17.3 Atraso e oscilação"]
N3["17.4 Realimentação aos produtores"]
N4["17.5 Humano no laço"]
N5["Nota de prática — Valores de referência vindos da po"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX049"]
[17.1 Laços]
|
v
[17.2 Partes do laço]
|
v
[17.3 Atraso e oscilação]
|
v
[17.4 Realimentação aos produtores]
|
v
[17.5 Humano no laço]
|
v
[Nota de prática — Valores de referência vindos da po]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX049]
Objetivos de aprendizagem
Você vai (1) modelar o ciclo de inteligência como um laço de realimentação; (2) identificar sensores, controladores e atuadores em um fluxo de trabalho de CTI; (3) reconhecer oscilação e atraso; (4) projetar a realimentação dos consumidores para os produtores.
17.1 Laços
Um termostato mede a temperatura, compara-a com um valor de referência e age. O Lantern mede as taxas de falsos positivos dos bloqueios, compara-as com uma meta e ajusta os limiares de confiança. Sem medição o laço fica aberto e deriva. A grandeza medida precisa ser uma que o laço consiga de fato mudar. O Lantern não pode alterar diretamente a qualidade do feed de um parceiro, mas pode mudar quanto peso os indicadores desse feed carregam. Kofi escolheu o limiar como valor ajustável porque movê-lo tem um efeito previsível sobre quantos bloqueios chegam aos firewalls.
17.2 Partes do laço
Sensor: os chamados do SOC que marcam bloqueios como falsos positivos. Controlador: a regra que sobe ou desce o limiar. Atuador: a lista de bloqueio enviada aos firewalls. Perturbação: um parceiro que de repente publica indicadores de baixa qualidade. Nomear as partes mostra por onde os erros entram. Se os analistas param de marcar falsos positivos porque o formulário do chamado é lento, o sensor silencia e o controlador vê um sistema falsamente saudável. Por isso Kofi transformou a marcação em um único clique dentro da tela do alerta. A perturbação não pode ser eliminada, mas o laço pode ser projetado para se recuperar dela em poucos dias.
17.3 Atraso e oscilação
Se o limiar muda todo dia com base nas reclamações de ontem, ele pode passar do ponto: rígido demais em um dia, frouxo demais no seguinte. O amortecimento — passos pequenos, média ao longo de uma semana — estabiliza o laço. Kofi simulou as duas versões com um mês de chamados antigos. Ajustes diários de tamanho cheio fizeram o limiar subir e descer quase todo dia, enquanto médias semanais com passos limitados a um valor pequeno se estabilizaram em duas semanas. O laço mais lento reage mais tarde a uma mudança real, e esse é o preço da estabilidade. Um problema grande e repentino é tratado à parte, por um analista que pausa a fonte.
17.4 Realimentação aos produtores
O NIST SP 800-150 incentiva relações de compartilhamento nos dois sentidos. Dizer aos parceiros quais de seus indicadores causaram falsos positivos melhora o laço de toda a comunidade, desde que respeite o TLP e os acordos. A realimentação de Kofi a um parceiro lista os identificadores dos indicadores que deram problema e o tipo de problema, como o bloqueio de um fornecedor legítimo, sem enviar o texto interno dos chamados da BEN. Parceiros que recebem esse retorno corrigiram erros recorrentes em poucas semanas. Como os indicadores vieram do próprio parceiro, devolver seus identificadores não amplia seu público.
17.5 Humano no laço
O controle automatizado serve para bloqueios de baixo impacto no perímetro de TI; nos segmentos de OT, uma pessoa aprova cada mudança, o que desacelera deliberadamente o laço onde os erros custam caro. Kofi mediu o custo dessa escolha. Mudanças aprovadas nos firewalls das subestações levaram uma mediana de várias horas, contra minutos nos segmentos corporativos. O gerente de operações aceitou o atraso porque um bloqueio errado em uma subestação poderia esconder a telemetria de que a sala de controle precisa. Existem caminhos rápidos para emergências, mas cada um exige um aprovador nomeado que registra o motivo.
Nota de prática — Valores de referência vindos da política
A taxa-alvo de falsos positivos não é uma escolha só de engenharia. Os gerentes de operações decidem quanta interrupção é tolerável, e o controlador do Lantern usa esse valor de referência. Escrever o valor de referência na política faz de ajustes posteriores uma decisão governada, e não uma mudança silenciosa no código.
Exemplo resolvido
Os chamados de falso positivo saltam de 3 para 25 depois que um parceiro acrescenta uma grande lista não verificada. O controlador de Kofi reduz o peso do parceiro em 10% por dia, com teto de 30% no total, em vez de desativá-lo de uma vez, e envia ao parceiro um resumo dos indicadores afetados.
Caso sintético. As contagens de chamados e os pesos são inventados.
Erros e limites
Os sinais de realimentação podem ser enviesados: os analistas relatam falsos positivos mais do que detecções perdidas. Meça os dois.
Exercícios
- EX049 — Nomeie as partes. Identifique sensor, controlador e atuador no laço de limiar do Lantern. Rubrica: 3 = chamados de FP; regra do limiar; lista de bloqueio enviada; 2 = dois; 1 = um; 0 = nenhuma.
- EX050 — Escolha de amortecimento. Por que limitar a mudança de peso a 10% por dia? Rubrica: 3 = evita oscilação/reação exagerada a um sinal ruidoso; 2 = cautela, de forma vaga; 1 = mais rápido é melhor; 0 = nenhuma.
- EX051 — Sinal enviesado. Por que depender só de chamados de falso positivo pode enviesar o laço? Rubrica: 3 = ignora falsos negativos; empurra para a permissividade; 2 = parcial; 1 = não há viés; 0 = nenhuma.
Síntese
Feche o laço com medição, amorteça-o para evitar oscilação, compartilhe a realimentação com quem produz e mantenha pessoas onde os erros custam caro.
Continue estudando — capítulo 17 de 50
← Capítulo 16 (rascunho) · Índice de capítulos do curso · Capítulo 18 (rascunho) →