Capítulo 6 — Cálculo II | Engenharia Inteligência de ameaças e OSINT

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["6.1 Por que decaimento"]
  N1["6.2 O modelo"]
  N2["Laboratório 2 — decaimento"]
  N3["6.3 Escolhendo meias-vidas"]
  N4["6.4 Reobservação"]
  N5["6.5 Quando o modelo engana"]
  N6["Nota de prática — Reajustando meias-vidas"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
  N7 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["6.1 Por que decaimento"]
  N1["6.2 O modelo"]
  N2["Laboratório 2 — decaimento"]
  N3["6.3 Escolhendo meias-vidas"]
  N4["6.4 Reobservação"]
  N5["6.5 Quando o modelo engana"]
  N6["Nota de prática — Reajustando meias-vidas"]
  N7["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX016"]

[6.1 Por que decaimento]
    |
    v
[6.2 O modelo]
    |
    v
[Laboratório 2 — decaimento]
    |
    v
[6.3 Escolhendo meias-vidas]
    |
    v
[6.4 Reobservação]
    |
    v
[6.5 Quando o modelo engana]
    |
    v
[Nota de prática — Reajustando meias-vidas]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) modelar o decaimento da confiança de indicadores com uma função exponencial; (2) resolver para o instante em que um valor cruza um limiar; (3) escolher meias-vidas por tipo de indicador; (4) reconhecer quando os modelos de decaimento enganam.

6.1 Por que decaimento

Os indicadores perdem valor: os adversários trocam endereços IP depressa e domínios mais devagar, enquanto comportamentos descritos por técnicas do ATT&CK persistem por meses ou anos. A Pyramid of Pain de Bianco captura essa ordem. O Lantern a codifica como uma pontuação de confiança que decai com o tempo, a menos que o indicador seja observado de novo. A pontuação não mede o quanto um indicador é perigoso. Ela estima a probabilidade de que o indicador ainda aponte para atividade hostil. Um endereço que era malicioso na semana passada pode agora pertencer a um cliente sem relação da mesma empresa de hospedagem, e bloqueá-lo cortaria tráfego legítimo. O decaimento embute esse risco no Lantern sem que alguém precise se lembrar de remover entradas antigas à mão.

6.2 O modelo

c(t) = c₀ · e^(−t·ln2/h), em que h é a meia-vida em dias. Depois de uma meia-vida, a confiança cai pela metade; depois de duas, para um quarto. Resolver c(t) = piso dá t = h · ln(c₀/piso) / ln 2. Em palavras, a pontuação cai pela mesma fração a cada dia, então a queda é grande enquanto a confiança é alta e pequena perto do piso. A segunda fórmula responde à pergunta prática: em quantos dias este indicador precisa de revisão? Kofi a usa para agendar a revalidação, em vez de deixar as entradas se arrastarem. Mudar a meia-vida muda a inclinação, mas a forma continua a mesma.

Laboratório 2 — decaimento

"""Lab 2 (ch 06): exponential confidence decay for a synthetic indicator, c(t) = c0 * exp(-t * ln2 / h)."""
import math
c0, half_life_days, floor = 90.0, 14.0, 30.0
for t in (0, 7, 14, 21, 28):
    print(f"day {t:2d}: confidence {c0 * math.exp(-t * math.log(2) / half_life_days):5.1f}")
t_floor = half_life_days * math.log(c0 / floor) / math.log(2)
print(f"falls below {floor:.0f} after {t_floor:.1f} days -> retire or re-validate")

Execute com python3 lab_decay.py. Saída verificada:

day  0: confidence  90.0
day  7: confidence  63.6
day 14: confidence  45.0
day 21: confidence  31.8
day 28: confidence  22.5
falls below 30 after 22.2 days -> retire or re-validate

6.3 Escolhendo meias-vidas

Meias-vidas são parâmetros de engenharia ajustados a partir de dados de reobservação: com que frequência um indicador de IP ainda parece malicioso depois de uma semana? O Lantern começa com 14 dias para IPs, 45 para domínios e nenhuma para hashes de arquivos (que não mudam, mas podem se tornar irrelevantes), e depois ajusta a partir das evidências. Kofi registra cada valor inicial com o raciocínio por trás dele. Os catorze dias para endereços refletem a rapidez com que os clientes de hospedagem mudam; o período mais longo para domínios reflete os custos de registro. Hashes não decaem porque um arquivo nunca muda, mas são revistos quando a família de malware deixa de aparecer.

6.4 Reobservação

Um avistamento redefine c para um novo valor. O modelo, portanto, descreve obsolescência, e não verdade. Quando um parceiro relata o mesmo endereço outra vez, ou os próprios sensores da BEN o veem em tráfego hostil, o Lantern eleva a pontuação ao valor definido para esse tipo de avistamento e o relógio recomeça. Um indicador que continua sendo visto permanece ativo enquanto for visto. Um que nunca mais é visto se apaga no prazo, qualquer que seja sua confiança inicial. O registro guarda cada avistamento com sua fonte, para que um analista possa ver por que a pontuação é o que é.

6.5 Quando o modelo engana

Uma infraestrutura adormecida reutilizada depois de meses terá decaído para perto de zero. Indicadores aposentados devem ser arquivados, e não apagados, para que os analistas ainda possam correlacionar eventos históricos. Kofi viu isso com um domínio que ficara quieto por seis meses e depois reapareceu em uma campanha de phishing. Sua pontuação tinha caído muito abaixo do piso de bloqueio, então o Lantern não o bloqueou automaticamente. Como o arquivo ainda o guardava, o analista que viu o novo avistamento encontrou na hora a campanha anterior e elevou a pontuação à mão. Apagar as entradas aposentadas teria perdido esse histórico.

Nota de prática — Reajustando meias-vidas

A cada trimestre, Kofi amostra indicadores aposentados e verifica quantos reapareceram em avistamentos posteriores. Se indicadores de IP ainda são avistados depois de 30 dias a uma taxa relevante, a meia-vida de 14 dias é curta demais. O reajuste é registrado com o tamanho da amostra, para que revisores posteriores possam julgar se a mudança se justificava.

Exemplo resolvido

Com c₀ = 90, h = 14 dias e um piso de 30, o laboratório mostra confiança 45.0 no dia 14 e o cruzamento do piso depois de 22.2 dias. O Lantern agenda a revalidação para o dia 22 e retira o indicador do bloqueio automatizado, a menos que ele seja observado de novo.

Caso sintético. Os parâmetros são ilustrativos, não medidos.

Erros e limites

Uma curva elegante pode esconder dados ruins; ajuste as meias-vidas a partir das evidências. O decaimento serve para indicadores, não para julgamentos sobre a intenção do adversário.

Exercícios

EX016 — Valor no dia 14. Que confiança o laboratório imprime no dia 14, e por que esse número?
Mostrar critérios de avaliação
Rubrica: 3 = 45.0; uma meia-vida reduz 90 à metade; 2 = só o número; 1 = errado; 0 = nenhuma.
EX017 — Tempo até o piso. Usando a fórmula, depois de quantos dias a confiança cruza 30?
Mostrar critérios de avaliação
Rubrica: 3 = 22,2 dias, com a fórmula; 2 = só o número; 1 = 28; 0 = nenhuma.
EX018 — Arquivar, não apagar. Por que arquivar indicadores decaídos em vez de apagá-los?
Mostrar critérios de avaliação
Rubrica: 3 = correlação histórica/reuso de infraestrutura; análise retrospectiva; 2 = vago; 1 = apagar não tem problema; 0 = nenhuma.

Síntese

O decaimento exponencial codifica a obsolescência, as meias-vidas vêm das evidências, e os indicadores aposentados continuam pesquisáveis.

Continue estudando — capítulo 06 de 50

← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →