Capítulo 31 — Inteligência de ameaças e OSINT: implementação II
Mapa da aula
Aula 31 publicada. Mapa, exemplo, EX091.
flowchart TD
N0["31.1 Enriquecimento"]
N1["31.2 Avistamentos"]
N2["31.3 Confiança na leitura"]
N3["31.4 Publicação"]
N4["31.5 Dados pessoais na telemetria"]
N5["Nota de prática — implantação gradual"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX091"]
Desenho lógico
flowchart LR
N0["31.1 Enriquecimento"]
N1["31.2 Avistamentos"]
N2["31.3 Confiança na leitura"]
N3["31.4 Publicação"]
N4["31.5 Dados pessoais na telemetria"]
N5["Nota de prática — implantação gradual"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX091"]
[31.1 Enriquecimento]
|
v
[31.2 Avistamentos]
|
v
[31.3 Confiança na leitura]
|
v
[31.4 Publicação]
|
v
[31.5 Dados pessoais na telemetria]
|
v
[Nota de prática — implantação gradual]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX091]
Objetivos de aprendizagem
Você vai (1) implementar o enriquecimento com cache e respeito aos termos dos provedores; (2) implementar a ingestão de avistamentos a partir da telemetria interna; (3) calcular a confiança com decaimento na leitura; (4) publicar de volta aos parceiros os objetos aprovados por analistas.
31.1 Enriquecimento
O enriquecimento acrescenta contexto: o dono interno do ativo de um endereço, o histórico de DNS passivo de um domínio, ligações a técnicas do ATT&CK para uma família de malware. Provedores externos de enriquecimento têm termos sobre volume de consultas, retenção e redistribuição. O enriquecedor do Lantern registra qual provedor forneceu cada campo, para que as regras de redistribuição possam ser aplicadas na exportação. O enriquecimento interno costuma ser o mais útil. Saber que um endereço contatado pertence ao notebook de um engenheiro de subestação muda na hora a prioridade de um avistamento. O enriquecedor de Kofi consulta primeiro as fontes internas.
31.2 Avistamentos
Quando o resolvedor DNS ou o proxy da BEN vê um indicador, o Lantern registra um objeto sighting do STIX 2.1 que referencia o indicador, com os horários da primeira e da última observação e uma contagem. Os avistamentos aumentam a confiança e dão aos parceiros um retorno valioso quando compartilhados conforme o acordo. O gravador de avistamentos de Kofi agrupa ocorrências repetidas dentro de uma hora em um só objeto com contagem, para que um indicador muito ativo não produza milhares de registros. O objeto registra qual sensor da BEN o viu, usando um identificador interno em vez de um nome de host. Isso mantém a topologia da rede interna fora de tudo o que possa ser compartilhado depois.
31.3 Confiança na leitura
Em vez de reescrever todos os registros toda noite, o Lantern armazena c₀ e o horário do último avistamento e calcula a confiança com decaimento quando consultado. Isso evita atualizações em massa e mantém a mudança de modelo em uma única função. Calcular na leitura também significa que mudar uma meia-vida vale imediatamente para todos os indicadores, sem migração. O custo é um pouco de processamento na hora da consulta, que Kofi mediu como desprezível perto da própria busca. As exportações e o envio aos firewalls chamam a mesma função, então todo consumidor vê a mesma pontuação para o mesmo indicador no mesmo momento. Um teste compara os resultados da função com os valores impressos pelo laboratório de decaimento.
31.4 Publicação
Os analistas aprovam objetos para compartilhamento com uma marcação TLP. O publicador remove os campos de enriquecimento cujo provedor proíbe a redistribuição, assina o pacote e o acrescenta à coleção TAXII da comunidade. A etapa de aprovação é onde um analista confere se o objeto diz o que deveria e se seu rótulo está certo. O publicador então aplica as regras mecânicas sem exceções. Os testes de Kofi incluem um objeto com um campo de DNS passivo licenciado e falham se esse campo aparecer no pacote assinado. Os analistas veem na interface quais campos serão removidos antes de aprovar.
31.5 Dados pessoais na telemetria
Os avistamentos vêm de sistemas que sabem de qual funcionário era a máquina que fez uma requisição. O Lantern armazena o identificador do ativo, não a pessoa, e compartilha para fora apenas contagens agregadas. Um analista que investiga um avistamento ainda pode chegar à pessoa pelo registro de ativos da BEN, mas essa consulta acontece nas ferramentas do próprio SOC, sob suas regras de acesso, e não no Lantern. Kofi fez essa escolha de projeto depois que o encarregado de privacidade observou que os dados do Lantern são compartilhados mais amplamente que os arquivos de casos do SOC. Os relatórios para fora trazem contagens por tipo de ativo, como estações de trabalho ou servidores, e nunca uma lista de máquinas.
Nota de prática — implantação gradual
Novas etapas entram em produção atrás de uma chave de funcionalidade, primeiro para uma fração do tráfego. Kofi compara as métricas entre os caminhos com e sem a chave durante uma semana antes da implantação completa.
Exemplo resolvido
Um parceiro pede os avistamentos de seus indicadores. O Lantern exporta objetos sighting com contagens e intervalos de tempo, mas sem nomes de host internos nem nomes de usuário, marcados como TLP:AMBER conforme o acordo com o parceiro. O parceiro informa que dois de seus indicadores não tiveram avistamentos em toda a comunidade e os aposenta.
Caso sintético. A troca é inventada.
Erros e limites
Redistribuir enriquecimento licenciado pode violar contratos. Avistamentos podem revelar a exposição de um membro; compartilhe apenas conforme acordado.
Exercícios
- EX091 — Campo do provedor. Por que registrar o provedor de cada campo de enriquecimento? Rubrica: 3 = aplicar os termos de redistribuição/retenção na exportação; 2 = auditoria; 1 = sem motivo; 0 = nenhuma.
- EX092 — Conteúdo do avistamento. O que o Lantern compartilha nos objetos sighting, e o que remove? Rubrica: 3 = contagens/intervalos de tempo/referência ao indicador; remove nomes de host/usuários; 2 = uma das metades; 1 = tudo; 0 = nenhuma.
- EX093 — Cálculo na leitura. Dê uma vantagem de calcular a confiança com decaimento na leitura. Rubrica: 3 = sem reescritas noturnas em massa/função única do modelo; 2 = eficiência, de forma vaga; 1 = tentativa mínima; 0 = nenhuma.
Síntese
Enriqueça dentro dos termos dos provedores, registre avistamentos sem pessoas, calcule o decaimento na leitura e publique apenas o que pode ser compartilhado.
Continue estudando — capítulo 31 de 50
← Capítulo 30 (rascunho) · Índice de capítulos do curso · Capítulo 32 (rascunho) →