OpenCyber Academy
Mestrado · Capítulo 2 · Português
Código do curso: OCA-179Capítulo 02: OCA-179-C002

Capítulo 2 — Inteligência de ameaças e OSINT: seminário avançado

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 02 publicada. Mapa, exemplo, EX008.

flowchart TD
  N0["2.1 Ciclo versus prática"]
  N1["2.2 Três níveis"]
  N2["2.3 Modelos como ferramentas para tarefas"]
  N3["2.4 OSINT com profundidade de seminário"]
  N4["2.5 TLP e cultura de compartilhamento"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5
  N5 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX008"]

Desenho lógico

flowchart LR
  N0["2.1 Ciclo versus prática"]
  N1["2.2 Três níveis"]
  N2["2.3 Modelos como ferramentas para tarefas"]
  N3["2.4 OSINT com profundidade de seminário"]
  N4["2.5 TLP e cultura de compartilhamento"]
  N5["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> Q["EX008"]

[2.1 Ciclo versus prática]
    |
    v
[2.2 Três níveis]
    |
    v
[2.3 Modelos como ferramentas para tarefas]
    |
    v
[2.4 OSINT com profundidade de seminário]
    |
    v
[2.5 TLP e cultura de compartilhamento]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX008]

Objetivos de aprendizagem

Você vai (1) comparar o ciclo de inteligência com a prática de CTI em um SOC; (2) explicar a inteligência estratégica, operacional e tática; (3) relacionar a kill chain, o Diamond Model e o ATT&CK às tarefas dos analistas; (4) discutir, com profundidade de seminário, os limites legais e éticos da OSINT.

2.1 Ciclo versus prática

Nos manuais, a inteligência percorre direção, coleta, processamento, análise, disseminação e retroalimentação. Em um SOC portuário, o ciclo é comprimido e ruidoso: os requisitos chegam como chamados de incidente, a coleta é a assinatura de um feed e a retroalimentação é rara. A discussão no seminário deve perguntar onde o ciclo se rompe — em geral, na direção e na retroalimentação. A pergunta de Lucía testa um dos pontos em que o ciclo se rompe. Os membros do CPSG recebem os indicadores por assinatura TAXII, então a coleta funciona; o que ninguém mediu foi a disseminação para os controles, o tempo entre a publicação e uma regra de bloqueio. O estudo dela acrescenta um circuito de retroalimentação que o grupo nunca teve.

2.2 Três níveis

A inteligência estratégica informa os conselhos sobre a intenção e as tendências dos adversários; a operacional descreve as campanhas e o seu calendário; a tática fornece indicadores e detalhes de técnicas. O estudo de Lucía fica na fronteira entre o tático e o operacional: indicadores e a rapidez com que viram controles. O boletim de seminário de Lucía sobre a onda de phishing contra agentes portuários mostra essa fronteira na prática: o calendário da campanha é operacional, enquanto os indicadores são táticos. O estudo dela mede a parte tática, a rapidez com que os indicadores viram regras de bloqueio, e nada diz sobre se a estratégia em nível de conselho mudou por causa do CPSG.

2.3 Modelos como ferramentas para tarefas

Hutchins et al. ajudam a decidir onde colocar controles ao longo das fases. O Diamond Model ajuda a fazer pivô de um evento para eventos relacionados por meio de infraestrutura ou capacidade compartilhadas. O ATT&CK fornece um vocabulário comum — por exemplo, T1566 Phishing ou T1071 Application Layer Protocol — que permite a um grupo de compartilhamento descrever comportamentos para além de indicadores frágeis; a Pirâmide da Dor de Bianco classifica o comportamento como mais custoso de mudar para os adversários do que hashes, endereços IP ou domínios.

O mapeamento que Lucía fez no seminário da onda de phishing contra agentes portuários para o T1566 é o exemplo: os domínios e endereços IP do boletim estarão obsoletos em poucos dias, mas a descrição do comportamento continua útil para membros que nunca viram os indicadores originais.

2.4 OSINT com profundidade de seminário

As fontes abertas incluem registros de empresas, transmissões de rastreamento de navios, repositórios públicos de código e notícias. Usá-las ainda gera deveres: a legislação de proteção de dados quando há pessoas identificáveis, os termos das plataformas e o risco de alertar os investigados. Os exercícios do seminário usam apenas perfis sintéticos. No Brasil, o tratamento de dados de pessoas identificáveis segue a Lei Geral de Proteção de Dados Pessoais (LGPD, Lei nº 13.709/2018), sob a fiscalização da Autoridade Nacional de Proteção de Dados (ANPD).

Para um grupo de portos, o risco é concreto. As transmissões de rastreamento de navios e os registros de empresas podem ser combinados para mostrar que agente atendeu qual embarcação e identificar os funcionários visados pela onda de phishing. O estudo de Lucía não precisa de nada disso: os dados dela são tempos registrados nos controles dos membros, de modo que a OSINT sobre pessoas fica fora do desenho, e os exercícios do seminário usam perfis sintéticos.

2.5 TLP e cultura de compartilhamento

O FIRST TLP 2.0 define CLEAR, GREEN, AMBER, AMBER+STRICT e RED. Comunidades como o CPSG dependem de que os membros respeitem os rótulos; uma única violação pode acabar com o compartilhamento por anos. A coleção do CPSG é TLP:AMBER, e é por isso que Lucía precisa da concordância do conselho de governança e que a dissertação dela, escrita para a biblioteca da universidade, precisa ser TLP:CLEAR. Uma legenda de figura que nomeasse a cidade de um porto teria sido uma violação desse tipo, e o revisor de vazamentos encontrou uma antes da entrega. As três condições do conselho — grupos de pelo menos três, nenhum nome de porto e exclusão dos tempos brutos — são a forma pela qual o estudo de Lucía honra o AMBER e ainda produz uma dissertação pública.

Exemplo resolvido

No seminário, Lucía apresenta um boletim do CPSG sobre uma onda de phishing contra agentes portuários. Ela o classifica como operacional (calendário da campanha), mapeia o comportamento para o T1566, observa que os indicadores ficam na base da Pirâmide da Dor e argumenta que o mapeamento ATT&CK é a contribuição mais durável.

Caso sintético. O boletim e a onda de phishing são inventados.

Erros e limites

Tratar todo feed como "inteligência" confunde dados com análise. A legalidade da OSINT varia conforme a jurisdição; as conclusões do seminário não são aconselhamento jurídico.

Exercícios

Síntese

Saiba onde o ciclo se rompe, rotule o nível, prefira descrições duráveis de comportamento e pratique a OSINT dentro da lei, dos termos e do TLP.

Continue estudando — capítulo 02 de 08

← Capítulo 01 (rascunho) · Índice de capítulos do curso · Capítulo 03 (rascunho) →

Respostas comentadas

EX008. Direção e retroalimentação: os SOCs raramente recebem requisitos escritos, e os consumidores raramente relatam se a inteligência ajudou, então o ciclo funciona em malha aberta.

EX009. Estratégica — uma tendência do setor dirigida a executivos e planejadores, e não a analistas que escrevem regras.

EX010. Os adversários trocam endereços IP a baixo custo, mas mudar um comportamento como a técnica de phishing custa mais, então o mapeamento para o T1566 continua útil por mais tempo.

EX011. A partir do domínio remetente (infraestrutura), encontrar outros eventos nos dados da comunidade que usaram o mesmo domínio ou registrante, revelando outras vítimas ou campanhas.

EX012. TLP:CLEAR, TLP:GREEN, TLP:AMBER, TLP:AMBER+STRICT, TLP:RED.

EX013. Consultas ou contatos visíveis podem alertar o investigado, que pode trocar de infraestrutura, destruir evidências ou retaliar, e podem expor o investigador.

EX014. Entrega.