OpenCyber Academy
Engenharia · Capítulo 37 · Português
Código do curso: OCA-133Capítulo 37: OCA-133-C037

Capítulo 37 — Inteligência de ameaças e OSINT: operações

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 37 publicada. Mapa, exemplo, EX109.

flowchart TD
  N0["37.1 Roteiros"]
  N1["37.2 Plantão"]
  N2["37.3 Retratações"]
  N3["37.4 Suspeita de violação do TLP"]
  N4["37.5 Relatórios"]
  N5["Nota de prática — revisões sem culpa"]
  N6["Notas de passagem"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX109"]

Desenho lógico

flowchart LR
  N0["37.1 Roteiros"]
  N1["37.2 Plantão"]
  N2["37.3 Retratações"]
  N3["37.4 Suspeita de violação do TLP"]
  N4["37.5 Relatórios"]
  N5["Nota de prática — revisões sem culpa"]
  N6["Notas de passagem"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX109"]

[37.1 Roteiros]
    |
    v
[37.2 Plantão]
    |
    v
[37.3 Retratações]
    |
    v
[37.4 Suspeita de violação do TLP]
    |
    v
[37.5 Relatórios]
    |
    v
[Nota de prática — revisões sem culpa]
    |
    v
[Notas de passagem]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX109]

Objetivos de aprendizagem

Você vai (1) escrever roteiros para as operações rotineiras e anormais do Lantern; (2) definir as responsabilidades de plantão; (3) tratar incidentes com parceiros, como dados vazados ou retratados; (4) relatar métricas operacionais à gestão.

37.1 Roteiros

Rotina: revisão diária da saúde dos coletores, dos picos de rejeição e da expiração de certificados. Anormal: o feed de um parceiro para; indicadores envenenados são detectados; o provedor de enriquecimento sai do ar; suspeita de violação do TLP. Cada roteiro lista sintomas, verificações, ações, escalonamento e etapas de encerramento. Kofi escreve cada roteiro para que um engenheiro que nunca viu o problema consiga segui-lo às três da manhã. Os passos dizem o que verificar e como é um resultado normal, e não apenas qual comando executar. Depois de cada uso real, o engenheiro anota qualquer passo que estava confuso ou errado, e o roteiro é atualizado naquela semana.

37.2 Plantão

Um engenheiro fica de plantão por semana, com passagem de turno documentada. Os acionamentos disparam apenas para condições que exigem ação em até uma hora; todo o resto vai para uma fila diária. A fadiga de alertas é um risco de confiabilidade. Kofi revisou um mês de acionamentos e descobriu que metade era para condições que podiam esperar até a manhã, como um único pico de rejeição de um parceiro menor. Passar essas condições para a fila diária cortou os acionamentos pela metade sem deixar escapar nada urgente. A nota de passagem permite ao engenheiro seguinte assumir as questões abertas sem precisar perguntar o que aconteceu durante a semana.

37.3 Retratações

Às vezes os parceiros retratam indicadores publicados por engano. O Lantern precisa removê-los prontamente da aplicação, registrar a retratação e informar os destinatários que os receberam. O STIX 2.1 suporta a revogação por meio da propriedade revoked em uma nova versão do objeto. O Lantern trata uma versão revogada como instrução para remover o indicador de todos os pontos de aplicação e parar de pontuá-lo. O objeto original permanece no arquivo, marcado como revogado, para que os analistas vejam que ele foi publicado e retirado. O encaminhamento da revogação a cada membro que recebeu o indicador é acompanhado no registro de compartilhamento, e é assim que o exemplo resolvido sabe exatamente quais dois membros informar.

37.4 Suspeita de violação do TLP

Se conteúdo restrito aparece onde não deveria, o roteiro diz: conter (remover o acesso), avaliar o que foi exposto, avisar o originador conforme o acordo exige e revisar a barreira. A honestidade com os parceiros protege a relação que o NIST SP 800-150 descreve como a base do compartilhamento. O roteiro de Kofi indica quem lidera cada etapa e o prazo fixado em cada acordo com parceiro. A avaliação usa o registro de acesso para mostrar exatamente quem viu o material e quando. Um parceiro avisado depressa e com exatidão costuma permanecer na comunidade; um que fica sabendo por outra pessoa talvez não.

37.5 Relatórios

Mensalmente: disponibilidade em relação ao SLO, objetos processados, taxas de rejeição, percentis do tempo até a aplicação, chamados de falso positivo, retornos enviados aos parceiros e recebidos deles. O relatório de Kofi põe cada número ao lado de sua meta e do valor do mês anterior, com uma frase explicando qualquer mudança grande. As taxas de rejeição são detalhadas por parceiro, o que torna os problemas de qualidade visíveis para quem pode corrigi-los. O relatório vai para o líder de CTI e para o gerente do SOC, e uma versão mais curta, só com números agregados, vai para os parceiros que a pediram. Cada número declara sua fonte e seu período.

Nota de prática — revisões sem culpa

Depois dos incidentes, as revisões se concentram em como o sistema permitiu o erro. Engenheiros que temem a culpa escondem os quase acidentes, o que elimina os dados necessários para melhorar.

Notas de passagem

Cada semana de plantão termina com uma passagem escrita listando as questões abertas, os contatos de parceiros acionados e qualquer coisa incomum, para que o engenheiro seguinte não redescubra o contexto durante um acionamento.

Exemplo resolvido

Um parceiro revoga 40 indicadores publicados por engano. O Lantern processa as versões revogadas em 12 minutos, remove os bloqueios e encaminha as revogações aos dois membros da comunidade que os receberam. O relatório mensal registra o evento e o tempo até a revogação.

Caso sintético. A retratação é inventada.

Erros e limites

Roteiros apodrecem; teste-os em exercícios. Acionar o plantão para tudo garante que nada seja notado.

Exercícios

Síntese

Roteiros para o trabalho rotineiro e o anormal, plantão humano, revogação imediata, tratamento honesto de violações e métricas regulares.

Continue estudando — capítulo 37 de 50

← Capítulo 36 (rascunho) · Índice de capítulos do curso · Capítulo 38 (rascunho) →

Respostas comentadas

EX109. Emitindo uma nova versão do objeto com revoked definido como verdadeiro.

EX110. Conter (remover o acesso), avaliar o que foi exposto, avisar o originador conforme o acordo exige e revisar a barreira que falhou.

EX111. Apenas condições que exigem ação humana em cerca de uma hora; todo o resto vai para uma fila de revisão diária.