Capítulo 34 — Inteligência de ameaças e OSINT: integração
Mapa da aula
Aula 34 publicada. Mapa, exemplo, EX100.
flowchart TD
N0["34.1 Alvos de integração"]
N1["34.2 Idempotência"]
N2["34.3 Mapeando formatos"]
N3["34.4 Contexto nos chamados"]
N4["34.5 Testes de ponta a ponta"]
N5["Nota de prática — responsáveis"]
N6["Deriva de versões"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX100"]
Desenho lógico
flowchart LR
N0["34.1 Alvos de integração"]
N1["34.2 Idempotência"]
N2["34.3 Mapeando formatos"]
N3["34.4 Contexto nos chamados"]
N4["34.5 Testes de ponta a ponta"]
N5["Nota de prática — responsáveis"]
N6["Deriva de versões"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX100"]
[34.1 Alvos de integração]
|
v
[34.2 Idempotência]
|
v
[34.3 Mapeando formatos]
|
v
[34.4 Contexto nos chamados]
|
v
[34.5 Testes de ponta a ponta]
|
v
[Nota de prática — responsáveis]
|
v
[Deriva de versões]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX100]
Objetivos de aprendizagem
Você vai (1) integrar o Lantern a sistemas de SIEM, DNS, proxy e chamados; (2) projetar integrações idempotentes; (3) mapear os objetos do Lantern para os formatos dos sistemas de destino; (4) testar as integrações de ponta a ponta.
34.1 Alvos de integração
SIEM: os indicadores viram tabelas de consulta de correlação; os avistamentos fluem de volta. Resolvedor DNS: bloqueios de domínio e zonas de política de resposta. Proxy web: categorias de URL. Chamados: correspondências de alta confiança abrem chamados com contexto do diamante e do ATT&CK. Cada alvo tem seu próprio formato, seus limites e seu responsável, e é por isso que cada um tem seu próprio documento de interface. Kofi começou pelo resolvedor DNS porque ali os bloqueios de domínio são precisos e fáceis de desfazer. O SIEM veio em seguida, depois o proxy, depois os chamados. Acrescentar os alvos um de cada vez fez com que os problemas de um não se misturassem com os de outro.
34.2 Idempotência
Reenviar a mesma lista de bloqueio não pode duplicar regras. As integrações comparam o estado desejado com o estado atual e aplicam apenas as diferenças. Isso também faz do retorno à configuração anterior uma questão de reaplicar o estado desejado anterior. O exemplo resolvido mostra o que acontece sem isso: uma nova tentativa criou milhares de regras duplicadas. Comparar o estado desejado com o atual transforma uma nova tentativa em uma verificação inofensiva. A integração de Kofi registra o número de regras acrescentadas e removidas em cada execução, e uma execução que relata nenhuma mudança é o resultado normal e saudável.
34.3 Mapeando formatos
Padrões STIX como [domain-name:value = 'c2.example'] são traduzidos para a sintaxe de regras de cada produto. Recursos de padrão não suportados são rejeitados com motivo, em vez de aproximados. Kofi mantém a tabela de tradução de cada produto na configuração, com testes. Um padrão que combina duas condições com uma janela de tempo, por exemplo, não pode ser expresso no formato do resolvedor, então vai para o SIEM. Aproximá-lo com uma só condição bloquearia muito mais ou muito menos do que o pretendido. Cada rejeição é registrada com o padrão.
34.4 Contexto nos chamados
Um chamado que diz "correspondência em drop.example" é fraco. Um chamado que acrescenta fonte, confiança, TLP, técnicas do ATT&CK relacionadas e ações recomendadas permite aos analistas agir depressa. Kofi mediu o efeito em uma amostra de chamados. Os analistas encerraram mais rápido os chamados ricos em contexto e escalaram menos deles por engano, porque a ação recomendada e a confiança estavam diante deles. Um link de volta para o objeto no Lantern permite ao analista ver o histórico completo sem procurar. Os chamados são gerados a partir do mesmo objeto.
34.5 Testes de ponta a ponta
Um indicador sintético é injetado no coletor; o teste confere se ele aparece na política de DNS, dispara uma consulta no SIEM a partir de uma requisição sintética e abre um chamado — depois o remove e confere a limpeza. Kofi executa esse teste após cada versão e cada mudança nos sistemas de destino. Quando a equipe de DNS atualizou seu resolvedor, o teste pegou uma mudança na forma como o arquivo de política era carregado, e a correção foi feita em homologação antes da produção. O indicador sintético usa um domínio de exemplo reservado, então nem uma limpeza que falhe pode afetar tráfego real.
Nota de prática — responsáveis
Cada integração tem um responsável nomeado na equipe do sistema de destino. Quando a equipe de DNS atualiza seu resolvedor, ela sabe que precisa executar o teste de integração do Lantern.
Deriva de versões
Os produtos de destino mudam suas APIs. O Lantern fixa a versão da API que usa em cada integração e executa o teste de ponta a ponta no ambiente de homologação da equipe de destino antes que ela faça a atualização, para que as mudanças apareçam antes da produção.
Exemplo resolvido
A integração com o proxy duplicou 3.000 regras após uma nova tentativa. Kofi a muda para uma comparação de estados; envios repetidos agora relatam "0 changes", e a equipe do proxy confirma que as contagens de regras batem com o estado desejado do Lantern.
Caso sintético. O incidente de duplicação é inventado.
Erros e limites
Os produtos de destino têm limites de quantidade de regras; priorize pela confiança. Aproximar padrões não suportados cria lacunas silenciosas.
Exercícios
- EX100 — Envio idempotente. Descreva como funciona uma integração idempotente de lista de bloqueio. Rubrica: 3 = compara o desejado com o atual e aplica só a diferença; repetir não muda nada; 2 = parcial; 1 = reenviar tudo; 0 = nenhuma.
- EX101 — Contexto do chamado. Liste quatro campos de contexto para um chamado de correspondência. Rubrica: 3 = quatro entre fonte, confiança, TLP, ATT&CK, ação recomendada, campos do diamante; 2 = dois; 1 = só o indicador; 0 = nenhuma.
- EX102 — Padrão não suportado. O que deve acontecer com um padrão STIX que o proxy não consegue expressar? Rubrica: 3 = rejeitar com motivo/encaminhar a outro destino; nunca aproximar em silêncio; 2 = rejeitar; 1 = aproximar; 0 = nenhuma.
Síntese
Integre pelo estado desejado, traduza os padrões com exatidão, enriqueça os chamados com contexto e teste o caminho inteiro.
Continue estudando — capítulo 34 de 50
← Capítulo 33 (rascunho) · Índice de capítulos do curso · Capítulo 35 (rascunho) →