Capítulo 27 — Inteligência de ameaças e OSINT: projeto de controles
Mapa da aula
Aula 27 publicada. Mapa, exemplo, EX079.
flowchart TD
N0["27.1 O TLP como controle"]
N1["Laboratório 5 — barreira de disseminação"]
N2["27.2 Lendo a barreira"]
N3["27.3 Falhar fechado"]
N4["27.4 Etapas de aprovação"]
N5["27.5 Auditoria"]
N6["Treinando as pessoas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX079"]
Desenho lógico
flowchart LR
N0["27.1 O TLP como controle"]
N1["Laboratório 5 — barreira de disseminação"]
N2["27.2 Lendo a barreira"]
N3["27.3 Falhar fechado"]
N4["27.4 Etapas de aprovação"]
N5["27.5 Auditoria"]
N6["Treinando as pessoas"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX079"]
[27.1 O TLP como controle]
|
v
[Laboratório 5 — barreira de disseminação]
|
v
[27.2 Lendo a barreira]
|
v
[27.3 Falhar fechado]
|
v
[27.4 Etapas de aprovação]
|
v
[27.5 Auditoria]
|
v
[Treinando as pessoas]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX079]
Objetivos de aprendizagem
Você vai (1) implementar o TLP 2.0 como controle de disseminação aplicável; (2) falhar fechado diante de rótulos desconhecidos; (3) projetar etapas de aprovação para ações de alto impacto; (4) registrar as decisões dos controles para auditoria.
27.1 O TLP como controle
O TLP 2.0 do FIRST define quem pode receber a informação: CLEAR sem restrição; GREEN dentro da comunidade; AMBER dentro da organização destinatária e de seus clientes, conforme a necessidade de saber; AMBER+STRICT apenas dentro da organização; RED apenas para destinatários nomeados. O Lantern transforma essas definições em uma barreira em cada exportação e em cada tela do analista. A barreira de Kofi lê o rótulo do objeto e o público da requisição e confere o par contra uma tabela derivada das definições. Manter a tabela separada do código permite a um revisor compará-la linha a linha com o padrão publicado.
Laboratório 5 — barreira de disseminação
"""Lab 5 (ch 27): TLP 2.0 dissemination gate for synthetic reports and audiences."""
ALLOWED = {
"TLP:CLEAR": {"public", "community", "org", "team"},
"TLP:GREEN": {"community", "org", "team"},
"TLP:AMBER": {"org", "team"},
"TLP:AMBER+STRICT": {"team", "org-only"},
"TLP:RED": {"named-recipients"},
}
requests = [("R-1", "TLP:GREEN", "public"), ("R-2", "TLP:AMBER", "org"),
("R-3", "TLP:RED", "team"), ("R-4", "TLP:CLEAR", "public"), ("R-5", "TLP:PURPLE", "team")]
for rid, label, aud in requests:
if label not in ALLOWED:
verdict = "BLOCK unknown label"
else:
verdict = "ALLOW" if aud in ALLOWED[label] else "BLOCK"
print(rid, label, "->", aud, verdict)
Execute com python3 lab_tlp.py. Saída verificada:
R-1 TLP:GREEN -> public BLOCK
R-2 TLP:AMBER -> org ALLOW
R-3 TLP:RED -> team BLOCK
R-4 TLP:CLEAR -> public ALLOW
R-5 TLP:PURPLE -> team BLOCK unknown label
27.2 Lendo a barreira
GREEN para o público é bloqueado; AMBER para a organização é permitido; RED para uma equipe é bloqueado, porque só destinatários nomeados se qualificam; CLEAR para o público é permitido; um rótulo desconhecido, TLP:PURPLE, é bloqueado. O laboratório simplifica os públicos em categorias; as regras de produção também verificam a identidade do destinatário. Essas verificações importam sobretudo para o RED. Uma categoria como equipe deixaria passar qualquer pessoa da equipe, enquanto o rótulo permite apenas as pessoas nomeadas. A barreira de produção de Kofi consulta a lista de destinatários armazenada com cada relatório RED e a compara com a pessoa que pede acesso.
27.3 Falhar fechado
Rótulos desconhecidos ou ausentes precisam bloquear, não permitir. Um erro de digitação em um rótulo nunca deveria publicar conteúdo restrito. O laboratório mostra isso com o rótulo inventado, que a barreira bloqueia em vez de tratá-lo como permissivo. A barreira de Kofi também bloqueia objetos sem rótulo algum, objetos cujo rótulo tem espaços extras e objetos com dois rótulos conflitantes. Cada bloqueio registra um motivo, para que o analista que o encontrou possa pedir à fonte que corrija o rótulo. Permitir diante de um erro transformaria todo problema de qualidade de dados em um possível vazamento, que é a pior forma de a barreira falhar.
27.4 Etapas de aprovação
Envios aos firewalls de OT, compartilhamento além da comunidade e exclusão de indicadores são ações de alto impacto. Cada uma exige um aprovador nomeado, e a aprovação é registrada com a versão do objeto. O serviço de aprovação de Kofi mostra ao aprovador exatamente o que vai mudar: as regras a acrescentar ou remover, a fonte de cada uma e os segmentos afetados. Os aprovadores não podem aprovar os próprios pedidos. Se o objeto mudar depois da aprovação, a aprovação deixa de valer e precisa ser dada de novo, o que fecha a brecha entre o que foi revisado e o que foi enviado.
27.5 Auditoria
Cada decisão de permitir ou bloquear é registrada com solicitante, rótulo, público e horário. Auditores e parceiros podem então verificar se os acordos foram cumpridos. Kofi testou o registro pedindo a um colega que escolhesse dez decisões passadas ao acaso e rastreasse cada uma até a requisição e o rótulo. Todas as dez puderam ser rastreadas. O registro fica em um armazenamento que os analistas não podem editar, e sua retenção segue o acordo de compartilhamento mais longo, de modo que a pergunta de um parceiro sobre como seu material foi tratado pode ser respondida enquanto o material for mantido.
Treinando as pessoas
Kofi conduz uma sessão curta para os analistas mostrando as decisões da barreira em exemplos sintéticos com aparência real. Quando as pessoas entendem por que o GREEN não pode chegar ao blog público, pedem aos parceiros resumos publicáveis em vez de procurar atalhos.
Exemplo resolvido
Um analista tenta publicar no blog público da BEN um boletim GREEN de um parceiro. A barreira o bloqueia; o analista pede ao parceiro permissão para publicar em seu lugar um resumo CLEAR, que o parceiro fornece por escrito.
Caso sintético. O boletim e o pedido são inventados.
Erros e limites
Os rótulos descrevem limites de compartilhamento, não níveis de classificação no sentido governamental. Barreiras não impedem alguém de redigitar o conteúdo; treinamento e cultura continuam importando.
Exercícios
- EX079 — Veredictos da barreira. Cite os veredictos do laboratório para R-1 e R-3. Rubrica: 3 = R-1 BLOCK (GREEN para o público), R-3 BLOCK (RED para a equipe); 2 = um; 1 = permitir; 0 = nenhuma.
- EX080 — Rótulo desconhecido. Por que R-5 bloqueia em vez de permitir? Rubrica: 3 = rótulo desconhecido → falhar fechado; 2 = desconhecido; 1 = deveria permitir; 0 = nenhuma.
- EX081 — Registro da aprovação. O que precisa ser armazenado com um envio aprovado a um firewall de OT? Rubrica: 3 = aprovador, horário, versão da regra/do objeto, motivo; 2 = dois; 1 = vago; 0 = nenhuma.
Síntese
Codifique o TLP como barreira, falhe fechado, exija aprovação para ações de alto impacto e registre cada decisão.
Continue estudando — capítulo 27 de 50
← Capítulo 26 (rascunho) · Índice de capítulos do curso · Capítulo 28 (rascunho) →