Capítulo 3 — Física para computação | Engenharia Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 03 publicada. Mapa, exemplo, EX007.

flowchart TD
  N0["3.1 A latência tem um piso"]
  N1["3.2 Largura de banda e feeds em lote"]
  N2["3.3 Crescimento do armazenamento"]
  N3["3.4 Relógios"]
  N4["3.5 Energia e calor"]
  N5["Nota de prática — Orçamentos de latência"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX007"]

Desenho lógico

flowchart LR
  N0["3.1 A latência tem um piso"]
  N1["3.2 Largura de banda e feeds em lote"]
  N2["3.3 Crescimento do armazenamento"]
  N3["3.4 Relógios"]
  N4["3.5 Energia e calor"]
  N5["Nota de prática — Orçamentos de latência"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX007"]

[3.1 A latência tem um piso]
    |
    v
[3.2 Largura de banda e feeds em lote]
    |
    v
[3.3 Crescimento do armazenamento]
    |
    v
[3.4 Relógios]
    |
    v
[3.5 Energia e calor]
    |
    v
[Nota de prática — Orçamentos de latência]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX007]

Objetivos de aprendizagem

Você vai (1) relacionar a propagação de sinais e a largura de banda à latência da coleta; (2) estimar o crescimento do armazenamento da inteligência retida; (3) entender energia e refrigeração como restrições de plataformas sempre ligadas; (4) ligar a temporização física à precisão dos carimbos de tempo.

3.1 A latência tem um piso

A luz na fibra viaja a cerca de 200.000 km por segundo, então uma ida e volta entre continentes custa dezenas de milissegundos antes de qualquer processamento. Uma consulta TAXII 2.1 através de um oceano nunca será instantânea; os engenheiros definem intervalos de consulta e timeouts com esse piso em mente. Kofi mediu uma consulta do Lantern a um servidor parceiro em outro continente e viu cerca de cem milissegundos antes da chegada do primeiro byte. Esse custo é fixado pela distância. Um timeout menor que o piso faz toda requisição falhar, enquanto um muito mais longo esconde quedas reais. Ele define o timeout em vários segundos e registra a duração de cada consulta, para que um parceiro lento apareça nos logs, e não como dados ausentes.

3.2 Largura de banda e feeds em lote

Um feed em lote de 2 GB por noite em um enlace de 100 Mbit/s leva cerca de 160 segundos à taxa plena, ignorando sobrecargas. Se o enlace é compartilhado com o tráfego operacional das subestações, programar as transferências longe dos horários de pico é uma decisão física, e não meramente administrativa. É por isso que o exemplo resolvido acrescenta a sobrecarga e programa a transferência para as 02:00. Um download grande durante o dia poderia competir com a telemetria das subestações, que a BEN não pode se dar ao luxo de atrasar. Limitar a taxa da transferência é outra opção, trocando um download mais longo por uma fatia menor do enlace.

3.3 Crescimento do armazenamento

Armazenar 50.000 objetos STIX por dia, com cerca de 2 KB cada, dá aproximadamente 100 MB por dia, cerca de 36 GB por ano antes dos índices. Índices e enriquecimento podem triplicar isso. Políticas de retenção são, portanto, entradas de engenharia. Kofi transforma esses números em uma pergunta de retenção para o líder de CTI: por quanto tempo os indicadores expirados precisam continuar pesquisáveis? Manter dois anos de objetos brutos mais os índices poderia passar de duzentos gigabytes, enquanto resumir os itens expirados após noventa dias mantém o repositório bem menor. A resposta depende de as investigações precisarem de indicadores antigos, e isso é um requisito a combinar com os analistas, e não uma escolha da equipe de armazenamento.

3.4 Relógios

Os relógios dos servidores derivam. Se o coletor do Lantern e o firewall da BEN discordam em dois minutos, as medições de tempo até o bloqueio ficam erradas em dois minutos. Sincronização de tempo pela rede e fontes de relógio registradas importam para a evidência. Kofi verifica se todos os servidores do Lantern e o firewall obtêm a hora da mesma fonte sincronizada, e se cada log registra a fonte que usou. Quando se descobriu, durante um teste, que o relógio do firewall estava adiantado, ele corrigiu as medições anteriores pelo desvio conhecido e anotou a correção ao lado dos resultados. Uma métrica construída sobre relógios não sincronizados pode mostrar tempos até o bloqueio negativos, o sinal mais rápido de que algo está errado.

3.5 Energia e calor

Um cluster local do Lantern consome energia e precisa de refrigeração. Em uma empresa de energia isso parece trivial, mas salas de SOC não são data centers; o planejamento de capacidade inclui a sala. Kofi estimou o consumo de três servidores e descobriu que ficava perto do que a refrigeração da sala conseguia remover em uma tarde quente. Acrescentar um quarto servidor exigiria nova refrigeração, um custo que o plano original não previa. Instalar o cluster no data center da BEN eliminou o problema, ao preço de um caminho de rede mais longo até o SOC.

Nota de prática — Orçamentos de latência

A latência de ponta a ponta é uma soma: idas e voltas na rede, esperas em fila, parsing, enriquecimento e o envio ao firewall. Kofi escreve uma tabela de orçamento com uma meta para cada parcela, de modo que um nível de serviço de 30 minutos possa ser conferido componente a componente. Quando uma parcela cresce, a tabela mostra qual etapa roubou o tempo.

Exemplo resolvido

Kofi estima o tempo de transferência noturna de um arquivo de 2 GB de um parceiro: 2 GB × 8 = 16 Gbit, / 0,1 Gbit/s = 160 s. Com 30% de sobrecarga de protocolo, ele planeja cerca de 210 s e programa a transferência para as 02:00, longe dos picos de telemetria das subestações.

Caso sintético. Os tamanhos dos feeds e as velocidades dos enlaces são inventados.

Erros e limites

Contas de guardanapo orientam o projeto; meça antes de comprometer hardware. Bits e bytes são um erro frequente de fator oito.

Exercícios

EX007 — Tempo de transferência. Estime o tempo de transferência de 500 MB a 50 Mbit/s, ignorando a sobrecarga.
Mostrar critérios de avaliação
Rubrica: 3 = 80 s, com o método; 2 = método certo, com deslize; 1 = erro de byte/bit; 0 = nenhuma.
EX008 — Armazenamento anual. Estime o armazenamento bruto de um ano a 20.000 objetos/dia × 2 KB.
Mostrar critérios de avaliação
Rubrica: 3 ≈ 14,6 GB (40 MB/dia); 2 = ordem de grandeza certa; 1 = erro de fator 1000; 0 = nenhuma.
EX009 — Desvio de relógio. Como um desvio de relógio de 2 minutos afeta uma métrica de tempo até o bloqueio?
Mostrar critérios de avaliação
Rubrica: 3 = enviesa cada medição em até 2 minutos; é preciso NTP e fonte registrada; 2 = "impreciso"; 1 = nenhum efeito; 0 = nenhuma.

Síntese

A física impõe pisos à latência, orçamentos à largura de banda e ao armazenamento, e a precisão de cada carimbo de tempo em que um analista confia.

Continue estudando — capítulo 03 de 50

← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →