Capítulo 24 — Inteligência de ameaças e OSINT: métodos I
Mapa da aula
Aula 24 publicada. Mapa, exemplo, EX070.
flowchart TD
N0["24.1 Estruturação em diamante"]
N1["24.2 Mapeamento no ATT&CK"]
N2["24.3 Controles na kill chain"]
N3["24.4 Fontes e confiança"]
N4["Nota de prática — Notas analíticas"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX070"]
Desenho lógico
flowchart LR
N0["24.1 Estruturação em diamante"]
N1["24.2 Mapeamento no ATT&CK"]
N2["24.3 Controles na kill chain"]
N3["24.4 Fontes e confiança"]
N4["Nota de prática — Notas analíticas"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX070"]
[24.1 Estruturação em diamante]
|
v
[24.2 Mapeamento no ATT&CK]
|
v
[24.3 Controles na kill chain]
|
v
[24.4 Fontes e confiança]
|
v
[Nota de prática — Notas analíticas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX070]
Objetivos de aprendizagem
Você vai (1) aplicar o Diamond Model para estruturar a inteligência de um incidente; (2) mapear o comportamento observado para técnicas do ATT&CK; (3) posicionar controles ao longo da kill chain; (4) registrar a confiança analítica e as fontes.
24.1 Estruturação em diamante
Para cada evento, registre o adversário (se conhecido), a capacidade (malware, técnica), a infraestrutura (domínios, endereços) e a vítima (ativo, organização). Vértices desconhecidos ficam como "desconhecido"; preenchê-los por palpite é o erro clássico. Os analistas de Kofi registram cada vértice com sua evidência. O nome da estação de trabalho da vítima vem dos registros do endpoint, a infraestrutura vem do proxy e a capacidade, do relatório da sandbox. O vértice do adversário costuma ficar vazio, e dizer isso é exato. Um nome de grupo dado por palpite se espalha depressa depois de escrito, e leitores posteriores podem tratá-lo como fato estabelecido.
24.2 Mapeamento no ATT&CK
Os comportamentos correspondem a IDs de técnica: e-mail de phishing → T1566; scripts no host → T1059 Command and Scripting Interpreter; C2 por protocolo web → T1071. O mapeamento apoia a engenharia de detecção e a comparação com perfis de grupos. Kofi pede aos analistas que citem a evidência de cada marcação de técnica, como a linha de registro que mostra um interpretador de scripts iniciado a partir de um anexo de e-mail. Marcações sem evidência são removidas na revisão. Uma marcação consistente permite à equipe de detecção ver quais técnicas se repetem entre incidentes e quais não têm detecção alguma, o que orienta seu trabalho no trimestre seguinte.
24.3 Controles na kill chain
Hutchins et al. propuseram uma matriz de cursos de ação: detectar, negar, interromper, degradar, enganar e destruir, ao longo das fases. O Lantern produz insumos para várias células — negar na entrega por filtragem de e-mail, detectar no C2 por analíticas de DNS. Kofi desenhou a matriz para os incidentes de phishing da BEN e encontrou a maioria das células vazia além de negar e detectar. Interromper o tráfego de comando, por exemplo com um sinkhole do domínio no resolvedor, era possível, mas nunca havia sido planejado. Preencher uma célula significa nomear a ação, quem é seu dono e como seu efeito seria medido. Células vazias são uma lacuna de planejamento, não necessariamente uma falha.
24.4 Fontes e confiança
Cada afirmação analítica cita suas fontes e sua confiança. Uma graduação de fontes no estilo Admiralty ou uma escala simples (confirmado, provável, possível) ajuda os leitores. Os relatórios de Kofi trazem uma linha curta de fonte sob cada julgamento, nomeando a evidência e sua confiabilidade, e uma palavra de confiança da tabela da equipe. O leitor consegue então distinguir uma afirmação apoiada nos próprios registros da BEN de outra apoiada em um único boletim de parceiro. Quando as fontes discordam, o relatório diz isso em vez de escolher uma em silêncio. Os revisores devolvem todo julgamento sem linha de fonte.
24.5 OSINT dentro dos limites
Os métodos incluem consultas de transparência de certificados em busca de domínios relacionados e a leitura de avisos públicos. Neste curso, os pesquisadores não interagem com a infraestrutura de adversários nem criam contas em fóruns criminosos. Os registros de transparência de certificados são públicos e feitos para esse tipo de busca, então procurar certificados emitidos para nomes parecidos com um domínio de phishing conhecido está dentro dos limites. Visitar os sites suspeitos não faz parte desses métodos. Kofi registra cada consulta de OSINT com seu propósito, o que mostra que a pesquisa ficou dentro dos limites acordados, caso alguém pergunte depois.
Nota de prática — Notas analíticas
O registro em diamante de cada incidente traz uma nota analítica: o que foi observado, o que foi inferido e o que continua desconhecido. Separar essas três linhas impede que leitores posteriores confundam uma inferência com uma observação quando o registro for reutilizado meses depois. Os revisores verificam se cada linha de inferência nomeia a evidência em que se apoia.
Exemplo resolvido
Um incidente sintético de phishing na BEN: capacidade T1566 mais um instalador por script (T1059), infraestrutura drop.example, vítima a estação de trabalho de uma atendente de faturamento, adversário desconhecido. Cursos de ação: negar a entrega com uma regra de e-mail; detectar o C2 por DNS para drop.example; caçar T1059 nas outras estações de trabalho.
Caso sintético. O incidente é inventado.
Erros e limites
O mapeamento no ATT&CK é interpretativo; dois analistas podem divergir. Mantenha a evidência ligada.
Exercícios
- EX070 — Vértice desconhecido. Como o vértice do adversário deve ser registrado no incidente de Kofi, e por quê? Rubrica: 3 = desconhecido; evita atribuição por palpite; 2 = desconhecido; 1 = nomeia um grupo; 0 = nenhuma.
- EX071 — IDs de técnica. Dê os IDs de técnica do e-mail de phishing e da execução do script. Rubrica: 3 = T1566 e T1059; 2 = um; 1 = errado; 0 = nenhuma.
- EX072 — Curso de ação. Dê uma ação de negar e uma de detectar, com a fase da kill chain. Rubrica: 3 = negar na entrega (regra de e-mail) + detectar no C2 (DNS); 2 = uma; 1 = vago; 0 = nenhuma.
Síntese
Estruture com o diamante, mapeie com o ATT&CK, aja ao longo da kill chain e mantenha fontes e confiança ligadas.
Continue estudando — capítulo 24 de 50
← Capítulo 23 (rascunho) · Índice de capítulos do curso · Capítulo 25 (rascunho) →