Capítulo 7 — Redação da dissertação e limitações
Mapa da aula
Aula 07 publicada. Mapa, exemplo, EX039.
flowchart TD
N0["7.1 Estrutura"]
N1["7.2 Escrever os resultados"]
N2["7.3 A discussão"]
N3["7.4 Limitações"]
N4["7.5 Recomendações"]
N5["7.6 Proporção"]
N6["7.7 Processo de redação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX039"]
Desenho lógico
flowchart LR
N0["7.1 Estrutura"]
N1["7.2 Escrever os resultados"]
N2["7.3 A discussão"]
N3["7.4 Limitações"]
N4["7.5 Recomendações"]
N5["7.6 Proporção"]
N6["7.7 Processo de redação"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX039"]
[7.1 Estrutura]
|
v
[7.2 Escrever os resultados]
|
v
[7.3 A discussão]
|
v
[7.4 Limitações]
|
v
[7.5 Recomendações]
|
v
[7.6 Proporção]
|
v
[7.7 Processo de redação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX039]
Objetivos de aprendizagem
Você vai (1) estruturar uma dissertação de mestrado; (2) escrever os resultados sem exagerar; (3) escrever uma seção de limitações forte; (4) fazer recomendações proporcionais à evidência.
7.1 Estrutura
Resumo; introdução; revisão da literatura; método; resultados; discussão; limitações; recomendações; conclusão; referências; apêndices (protocolo, scripts, registro de mudanças das listas de permissão). O registro de mudanças das listas de permissão nos apêndices é o que mais importa aos profissionais: mostra a forma original e a estreitada de cada entrada, com datas e motivos, incluindo a AL-07. Os scripts permitem que um leitor reproduza a diferença em diferenças e a amostra estratificada a partir das contagens arquivadas. Pôr as recomendações num capítulo próprio, depois das limitações, significa que cada recomendação é lida à luz do que o estudo não conseguiu mostrar.
7.2 Escrever os resultados
Os resultados relatam o que foi medido, com a incerteza: "Redução líquida de 136.5 alertas por semana (intervalo bootstrap de 95%: 98–171)." A interpretação pertence à discussão. Tariq evita palavras como "prova" e "elimina". O intervalo importa tanto quanto a estimativa: de 98 a 171 alertas por semana diz aos gestores da Pelham que a economia é real, mas de tamanho incerto. Manter a interpretação fora do capítulo de resultados significa que um leitor pode conferir os números com os scripts antes de ler o que Tariq acha que eles significam. O resumo em linguagem simples para a Pelham usa o mesmo intervalo, para que gestores e examinadores vejam a mesma incerteza.
7.3 A discussão
O ajuste removeu principalmente disparos benignos, em linha com Alahmadi et al. (2022). O evento injetado suprimido mostra que as listas de permissão deslocam o risco em vez de eliminá-lo: elas trocam tempo de analista por pontos cegos. Entradas estreitas e condicionais reduzem esse custo-benefício. A discussão retoma a afirmação do seminário: a redução de volume, sozinha, teria escondido o problema da AL-07. Ela também explica por que entradas estreitas ajudam: uma condição como um padrão de nomes assinado e uma janela de manutenção remove o ruído rotineiro e deixa visível o uso indevido da mesma conta.
7.4 Limitações
Um SOC; oito semanas; vinte regras; oito eventos injetados; rotulagem por duas pessoas da mesma equipe; suposição de tendências paralelas impossível de testar depois da semana 5; comportamentos de purple team escolhidos por pessoas que conheciam as regras. Cada limitação indica, quando possível, a direção provável do viés — por exemplo, eventos injetados desenhados com conhecimento da lógica das regras provavelmente fazem a supressão parecer mais rara do que seria diante de atacantes desconhecidos. A limitação da rotulagem é escrita por extenso na dissertação: os dois rotuladores compartilham suposições sobre o que é normal, então um viés compartilhado não apareceria como discordância, e um rotulador externo fortaleceria trabalhos futuros.
7.5 Recomendações
Revisar as entradas das listas de permissão com o mesmo rigor das regras; acrescentar condições (janela de tempo, nomes assinados) em vez de pares amplos de host e conta; reproduzir as entradas contra eventos de purple team a cada trimestre; acompanhar os testes de ataques suprimidos como métrica ao lado do volume. Cada recomendação vem de uma constatação específica. Revisar as entradas como regras decorre do caso da AL-07. Condições em vez de pares de host e conta decorrem de como o estreitamento o corrigiu. A reprodução trimestral decorre de o problema só ter ficado visível com eventos injetados. Acompanhar os testes de ataques suprimidos ao lado do volume decorre do argumento do seminário de que o volume, sozinho, recompensa o silêncio.
7.6 Proporção
As recomendações são formuladas para SOCs semelhantes ao da Pelham, não para "todos os SOCs". Esse limite decorre do estudo: um SOC, vinte regras e oito eventos injetados não podem mostrar o que acontece num SOC com outras ferramentas, outra equipe ou outros processos de mudança. Quando a revisora externa apontou que SOCs menores podem não ter um processo de mudanças maduro, Tariq acrescentou um parágrafo dizendo como as recomendações se adaptam a uma escala menor, em vez de ampliar a afirmação. A versão reduzida mantém os passos centrais, entradas condicionais e reprodução contra eventos simulados, e dispensa o comitê formal de mudanças que só um SOC maior como o da Pelham consegue manter.
7.7 Processo de redação
Tariq escreve primeiro o método, depois os resultados e por último a discussão, e envia cada capítulo a Solberg assim que o termina. Escrever o método primeiro, enquanto o desenho está fresco, significa que ele descreve o que de fato foi feito, incluindo o script de exportação e o estreitamento da AL-07. Enviar cada capítulo assim que fica pronto permite que Solberg pegue problemas cedo, como uma frase de resultados que escorrega para a interpretação, em vez de numa leitura final, quando as mudanças são caras. Os comentários dela sobre o capítulo de método ainda podem mudar a forma como os resultados são relatados, o que seria impossível se todos os capítulos chegassem juntos no fim.
Exemplo resolvido
Parágrafo de limitação de Tariq sobre a rotulagem: "Os dois rotuladores trabalham no SOC da Pelham e podem compartilhar suposições sobre o que é normal. A concordância depois das mudanças de definição foi alta, mas um viés compartilhado não apareceria como discordância. Um rotulador externo fortaleceria trabalhos futuros."
Caso sintético. O texto é inventado.
Erros e limites
Longas listas de limitações sem direção nem impacto são menos úteis do que poucas limitações analisadas.
Exercícios
- EX039 — Partes da dissertação. Liste em ordem as principais seções da dissertação. Rubrica: 3 = do resumo aos apêndices, em ordem; 2 = pequenos deslizes; 1 = embaralhadas; 0 = nada.
- EX040 — Redação dos resultados. Reescreva "o ajuste eliminou o ruído" no estilo de resultados. Rubrica: 3 = estimativa medida com intervalo, sem exagero; 2 = parcial; 1 = sem mudança; 0 = nada.
- EX041 — Troca de riscos. Que custo-benefício a discussão identifica? Rubrica: 3 = tempo de analista vs. pontos cegos; entradas estreitas o reduzem; 2 = parcial; 1 = vago; 0 = nada.
- EX042 — Direção do viés. Em que direção o desenho do purple team enviesa a estimativa de supressão? Rubrica: 3 = faz a supressão parecer mais rara; os desenhistas conheciam as regras; 2 = só a direção; 1 = errado; 0 = nada.
- EX043 — Recomendações. Dê três recomendações. Rubrica: 3 = revisar entradas com rigor, entradas condicionais, reprodução trimestral, métrica de supressão (três); 2 = duas; 1 = uma; 0 = nada.
- EX044 — Viés compartilhado. Por que um viés compartilhado entre rotuladores não apareceria como discordância? Rubrica: 3 = os dois têm as mesmas suposições, então concordam no erro; 2 = parcial; 1 = apareceria; 0 = nada.
Síntese
Relate os resultados medidos com clareza, interprete na discussão, analise as limitações com sua direção e mantenha as recomendações proporcionais.
Continue estudando — capítulo 07 de 08
← Capítulo 06 (rascunho) · Índice de capítulos do curso · Capítulo 08 (rascunho) →