◇ OpenCyber Academy
Engenharia · Capítulo 20 · Português

Capítulo 20 — Inteligência de ameaças e OSINT: contexto de engenharia

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 20 — Inteligência de ameaças e OSINT: contexto de engenharia

Mapa da aula

Aula 20 publicada. Mapa, exemplo, EX058.

flowchart TD
  N0["20.1 Dados, informação, inteligência"]
  N1["20.2 Consumidores e decisões"]
  N2["20.3 A visão de serviço"]
  N3["20.4 Declaração de missão"]
  N4["20.5 Frameworks como contexto"]
  N5["Nota de prática — Retorno dos consumidores"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX058"]

Desenho lógico

flowchart LR
  N0["20.1 Dados, informação, inteligência"]
  N1["20.2 Consumidores e decisões"]
  N2["20.3 A visão de serviço"]
  N3["20.4 Declaração de missão"]
  N4["20.5 Frameworks como contexto"]
  N5["Nota de prática — Retorno dos consumidores"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX058"]

[20.1 Dados, informação, inteligência]
    |
    v
[20.2 Consumidores e decisões]
    |
    v
[20.3 A visão de serviço]
    |
    v
[20.4 Declaração de missão]
    |
    v
[20.5 Frameworks como contexto]
    |
    v
[Nota de prática — Retorno dos consumidores]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX058]

Objetivos de aprendizagem

Você vai (1) descrever o ciclo de vida da CTI como um serviço projetado; (2) distinguir dados, informação e inteligência; (3) identificar os consumidores e suas decisões; (4) formular a missão do Lantern em uma frase.

20.1 Dados, informação, inteligência

Dados são observações brutas: um domínio em um feed. Informação são dados organizados: o domínio foi visto em phishing contra concessionárias. Inteligência é informação analisada e relevante para uma decisão: a BEN deve bloquear o domínio no DNS e procurar contatos passados porque a campanha mira operadores de distribuição. A diferença está na análise e na decisão. Um feed cheio de domínios continua sendo dados, por maior que seja. Kofi pergunta, de cada produto do Lantern, qual decisão ele apoia; se nenhuma, ainda não é inteligência.

20.2 Consumidores e decisões

Os consumidores incluem analistas do SOC (bloquear, caçar, escalar), engenheiros de OT (aprovar mudanças), gestores de risco (priorizar investimentos), executivos (aceitar riscos) e parceiros (suas próprias decisões). Cada um precisa de formatos e prazos diferentes. Kofi lista cada consumidor com a decisão que ele toma, com que rapidez precisa do insumo e em que forma. O SOC quer indicadores legíveis por máquina em minutos; os executivos querem uma página trimestral em linguagem simples. Um único produto não atende bem aos dois. A lista também mostra consumidores que ninguém atendia, como compras, que precisava de alertas sobre fornecedores.

20.3 A visão de serviço

O Lantern é um serviço com entradas (feeds, OSINT, telemetria interna), processamento (validação, enriquecimento, análise) e saídas (bloqueios, relatórios, objetos compartilhados). Níveis de serviço se aplicam: por exemplo, indicadores de alta confiança chegam à aplicação em TI em até 30 minutos. Pensar no Lantern como serviço lhe dá promessas mensuráveis. Uma promessa como a meta de trinta minutos pode ser verificada nos registros toda semana, e uma meta perdida vira um problema a investigar. Kofi relata mensalmente o desempenho em cada nível de serviço, o que mostra aos consumidores com o que podem contar e aos engenheiros onde trabalhar.

20.4 Declaração de missão

"O Lantern transforma informação de ameaças compartilhada e de fontes abertas em inteligência oportuna, confiável e coletada legalmente, que ajuda a BEN a prevenir e detectar ataques a seus ambientes de TI e OT." Todo requisito posterior deve ser rastreável até ela. Kofi testa cada funcionalidade proposta contra a declaração. Uma proposta de coletar perfis sociais pessoais de supostos agentes falha em "coletada legalmente". Uma funcionalidade que acrescenta dados que os analistas nunca usam falha em "ajuda a BEN a prevenir ou detectar". A declaração é curta o bastante para ser lembrada, e é por isso que funciona em reuniões de projeto.

20.5 Frameworks como contexto

O Diamond Model, a kill chain, o ATT&CK, STIX/TAXII e o TLP dão uma linguagem comum com os parceiros. A engenharia os adota onde ajudam a interoperabilidade e a análise, não como decoração. Kofi adotou os frameworks por etapas. STIX e TAXII vieram primeiro, porque os parceiros já os usavam. As marcações do ATT&CK foram acrescentadas quando os analistas foram treinados para atribuí-las de forma consistente; antes disso, as marcações eram aplicadas de modo desigual e as comparações entre relatórios enganavam. Cada framework é listado com o problema que resolve para a BEN, para que seu uso possa ser revisto.

Nota de prática — Retorno dos consumidores

Kofi acrescenta a cada relatório do Lantern um controle de um clique, "útil / não útil". As contagens são grosseiras, mas fecham um laço que o ciclo de inteligência costuma deixar aberto e revelam quais produtos merecem investimento.

Exemplo resolvido

Kofi entrevista cinco consumidores. O engenheiro de OT diz: "Não quero indicadores; quero saber se uma campanha mira o fornecedor dos nossos relés." Essa é uma necessidade estratégico-operacional, então o Lantern acrescenta um relatório de vigilância de fornecedores em vez de mais feeds.

Caso sintético. As entrevistas são inventadas.

Erros e limites

Mais feeds não significam mais inteligência. Missões que prometem "visibilidade completa" não podem ser verificadas.

Exercícios

Síntese

Suba de dados para inteligência, atenda a decisões nomeadas e ancore tudo em uma missão testável.

Continue estudando — capítulo 20 de 50

← Capítulo 19 (rascunho) · Índice de capítulos do curso · Capítulo 21 (rascunho) →