Capítulo 26 — Inteligência de ameaças e OSINT: alternativas de arquitetura
Mapa da aula
Aula 26 publicada. Mapa, exemplo, EX076.
flowchart TD
N0["26.1 Três opções"]
N1["26.2 Critérios e pesos"]
N2["26.3 Portabilidade"]
N3["26.4 Respostas híbridas"]
N4["26.5 Datas de revisão"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5
N5 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX076"]
Desenho lógico
flowchart LR
N0["26.1 Três opções"]
N1["26.2 Critérios e pesos"]
N2["26.3 Portabilidade"]
N3["26.4 Respostas híbridas"]
N4["26.5 Datas de revisão"]
N5["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX076"]
[26.1 Três opções]
|
v
[26.2 Critérios e pesos]
|
v
[26.3 Portabilidade]
|
v
[26.4 Respostas híbridas]
|
v
[26.5 Datas de revisão]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX076]
Objetivos de aprendizagem
Você vai (1) comparar as opções de construir, comprar ou adotar uma plataforma comunitária de CTI; (2) conduzir um estudo de compromisso ponderado; (3) avaliar o aprisionamento e a portabilidade dos dados por meio do suporte a STIX/TAXII; (4) registrar a decisão e sua data de revisão.
26.1 Três opções
Opção A: estender o Lantern internamente. Opção B: comprar uma plataforma comercial de inteligência de ameaças. Opção C: adotar uma plataforma comunitária de código aberto, como o MISP, e integrá-la aos controles da BEN. Todas podem ingerir feeds e compartilhar com os parceiros; diferem em custo, controle, equipe e suporte. Kofi descreve cada opção pelo que a BEN teria de fazer por conta própria. Internamente, a BEN escreve e mantém tudo. Um produto comercial transfere a manutenção para um fornecedor, mas limita o quanto a BEN pode alterá-lo. Uma plataforma comunitária traz uma grande base de usuários e software livre, enquanto a BEN continua operando e protegendo os servidores.
26.2 Critérios e pesos
Kofi acorda os critérios com as partes interessadas antes de pontuar: interoperabilidade (STIX/TAXII 2.1), aplicação do TLP, fluxo de aprovação de OT, custo total em cinco anos, carga sobre a equipe, residência dos dados e custo de saída. Os pesos somam 100. Acordar os pesos primeiro impede que a opção favorita molde os critérios. Kofi conduziu a sessão de ponderação com o líder de CTI, o gerente de operações de rede e o encarregado de privacidade, e cada um defendeu os critérios mais próximos de seu trabalho. Os pesos finais foram registrados com uma frase explicando cada um, para que leitores posteriores vejam por que o fluxo de OT contou mais do que o acabamento da interface.
26.3 Portabilidade
Se uma plataforma não consegue exportar tudo como pacotes STIX 2.1 padrão, deixá-la depois significa perder o histórico. O custo de saída é um critério real, não uma nota de rodapé. Kofi testou a portabilidade de cada opção com o conjunto de dados sintético: carregar alguns milhares de objetos, exportá-los e comparar a exportação com o original. Uma opção perdeu os objetos de relacionamento na exportação, o que teria quebrado os vínculos de que os analistas dependem. Esse resultado baixou sua pontuação mais do que qualquer lista de funcionalidades poderia tê-la elevado. O teste leva uma tarde e deve ser repetido antes da assinatura de qualquer contrato.
26.4 Respostas híbridas
Estudos de compromisso costumam terminar em híbridos: uma plataforma comunitária para o compartilhamento com parceiros mais um serviço interno enxuto para aprovações de OT e envios aos firewalls. Híbridos acrescentam trabalho de integração, que também precisa ser pontuado. No exemplo resolvido o híbrido vence, mas a integração de que ele precisa é trabalho real: a plataforma comunitária precisa entregar os bloqueios aprovados ao serviço interno, e os dois precisam concordar nos identificadores. Kofi estimou esse esforço em semanas de engenheiro e o somou ao critério de custo. Sem essa etapa, um híbrido parece o melhor das duas opções sem preço extra, o que raramente é verdade.
26.5 Datas de revisão
Mercados e equipes mudam. O registro de decisão fixa uma data de revisão — por exemplo, em dois anos — e os gatilhos que forçariam uma revisão antecipada, como a saída do único engenheiro que conhece o código interno. Kofi também lista as evidências de que a revisão precisaria: custos efetivamente incorridos, retorno dos parceiros sobre o compartilhamento e tempo gasto em manutenção. Reunir esses números desde o início faz da revisão uma comparação, e não um debate. Uma decisão que nunca é revista tende a ser defendida muito depois de deixar de servir.
Exemplo resolvido
Pontuações (de 100): A 68, B 71, C 74. A opção C vence por pouco em interoperabilidade e custo, mas pontua menos no fluxo de OT. Kofi recomenda C mais um pequeno serviço interno de aprovação de OT, observa que a margem está dentro da incerteza da pontuação e pede à banca que julgue explicitamente o risco de OT.
Caso sintético. As pontuações e as opções são ilustrativas; nenhum fornecedor é avaliado.
Erros e limites
Pontuações próximas são empates na prática; diga isso. Demonstrações de fornecedores com dados do próprio fornecedor provam pouco; teste com dados sintéticos parecidos com os da BEN.
Exercícios
- EX076 — Pesos primeiro. Por que os pesos dos critérios precisam ser acordados antes de pontuar as opções? Rubrica: 3 = impede enviesar os critérios a favor de uma favorita; 2 = justiça, de forma vaga; 1 = a ordem é irrelevante; 0 = nenhuma.
- EX077 — Custo de saída. Como a capacidade de exportar STIX 2.1 afeta o custo de saída? Rubrica: 3 = exportação padrão completa reduz o custo/preserva o histórico; sua ausência o aumenta; 2 = parcial; 1 = sem relação; 0 = nenhuma.
- EX078 — Margem estreita. Pontuações de 71 e 74 diferem em três pontos. Como Kofi deve apresentar isso? Rubrica: 3 = dentro da incerteza; tratar como quase empate; expor o risco qualitativo decisivo; 2 = menciona a proximidade; 1 = vencedor claro; 0 = nenhuma.
Síntese
Acorde os pesos primeiro, pontue a portabilidade, aceite híbridos com seu custo de integração e fixe uma data de revisão.
Continue estudando — capítulo 26 de 50
← Capítulo 25 (rascunho) · Índice de capítulos do curso · Capítulo 27 (rascunho) →