Capítulo 4 — Inteligência de ameaças e OSINT: explicações concorrentes
Mapa da aula
Aula 04 publicada. Mapa, exemplo, EX022.
flowchart TD
N0["4.1 Por que explicações concorrentes"]
N1["Laboratório 1 — matriz ACH"]
N2["4.2 Lendo a matriz"]
N3["4.3 Linguagem estimativa"]
N4["4.4 Gatilhos de mudança"]
N5["4.5 O ATT&CK como vocabulário da evidência"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX022"]
Desenho lógico
flowchart LR
N0["4.1 Por que explicações concorrentes"]
N1["Laboratório 1 — matriz ACH"]
N2["4.2 Lendo a matriz"]
N3["4.3 Linguagem estimativa"]
N4["4.4 Gatilhos de mudança"]
N5["4.5 O ATT&CK como vocabulário da evidência"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX022"]
[4.1 Por que explicações concorrentes]
|
v
[Laboratório 1 — matriz ACH]
|
v
[4.2 Lendo a matriz]
|
v
[4.3 Linguagem estimativa]
|
v
[4.4 Gatilhos de mudança]
|
v
[4.5 O ATT&CK como vocabulário da evidência]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX022]
Objetivos de aprendizagem
Você vai (1) montar uma matriz de análise de hipóteses concorrentes (ACH); (2) identificar a evidência diagnóstica; (3) expressar um julgamento com linguagem estimativa calibrada; (4) registrar que nova evidência mudaria o julgamento.
4.1 Por que explicações concorrentes
Os analistas tendem a se fixar na primeira história plausível. O método de Heuer força várias hipóteses para a mesa e pergunta que evidência é inconsistente com cada uma. A hipótese com menos inconsistências sérias sobrevive — provisoriamente. O exercício de seminário de Lucía sobre o incidente de ransomware no CPSG usa três hipóteses: um grupo criminoso de ransomware (H1), um agente interno (H2) e espionagem alinhada a um Estado (H3). Listar as três antes de ler a evidência impede que a história mais comum, ransomware significa criminosos, feche a pergunta cedo demais. No exercício do ransomware no CPSG, as três são pontuadas contra os mesmos cinco itens de evidência, de E1 a E5, de modo que nenhuma hipótese é julgada por evidência escolhida sob medida para ela.
Laboratório 1 — matriz ACH
"""Lab 1 (ch 04): analysis of competing hypotheses - count inconsistencies per hypothesis (synthetic)."""
hyps = ["H1 criminal ransomware crew", "H2 insider", "H3 state-aligned espionage"]
# per evidence item: C consistent, I inconsistent, N neutral for H1,H2,H3
evidence = [
("E1 data staged then encrypted", "C", "N", "I"),
("E2 access from a contractor VPN account", "C", "C", "C"),
("E3 ransom note with payment portal", "C", "I", "I"),
("E4 activity outside staff working hours", "C", "I", "N"),
("E5 tooling sold on criminal markets", "C", "N", "I"),
]
for i, h in enumerate(hyps):
inc = sum(1 for e in evidence if e[i + 1] == "I")
print(f"{h:30} inconsistent={inc}")
diag = [e[0] for e in evidence if len(set(e[1:])) > 1]
print("diagnostic items:", len(diag), "of", len(evidence))
Execute com python3 lab_ach.py. Saída verificada:
H1 criminal ransomware crew inconsistent=0
H2 insider inconsistent=2
H3 state-aligned espionage inconsistent=3
diagnostic items: 4 of 5
4.2 Lendo a matriz
H1, um grupo criminoso de ransomware, não tem inconsistências; H2, um agente interno, tem duas; H3, espionagem alinhada a um Estado, tem três. O item E2 — acesso a partir de uma conta de VPN de um prestador de serviços — se ajusta a todas as hipóteses e, portanto, não é diagnóstico. Quatro dos cinco itens discriminam. A matriz não prova a H1; mostra que a H1 é a menos contradita por essa evidência. O julgamento escrito de Lucía decorre diretamente disso: é provável, 55–80% na escala dela, que um grupo criminoso tenha conduzido a intrusão, e não se pode excluir a participação de um agente interno. Vale a pena nomear no texto o E2, não diagnóstico, porque os analistas costumam citar esse tipo de evidência em primeiro lugar.
4.3 Linguagem estimativa
A ICD 203 pede que os produtos expressem a incerteza e distingam a evidência do julgamento. O ensaio de Kent sobre as words of estimative probability mostrou como os leitores interpretam "provável" de maneiras muito diferentes. Uma equipe deve publicar a própria escala — por exemplo, "provável" significando cerca de 55–80% — e usá-la de forma consistente. O julgamento de Lucía sobre o ransomware usa essa escala: "provável (55–80%)". Um membro que lê "provável" em um boletim do CPSG e "provável" em outro deveria tirar o mesmo significado de ambos, o que só funciona se o grupo publicar a escala e todo redator a aplicar.
4.4 Gatilhos de mudança
Todo julgamento traz indicadores que o mudariam: evidência de venda de dados sem resgate (elevaria a H3) ou a confissão de um funcionário insatisfeito (elevaria a H2). Escrever os gatilhos impede uma deriva silenciosa. A avaliação escrita de Lucía nomeia um gatilho na última frase: evidência de venda de dados sem pedido de resgate reduziria a avaliação do grupo criminoso. Nomear o gatilho no produto permite que um membro que veja mais tarde essa evidência saiba de imediato que o julgamento deve ser reaberto. A evidência atual não consegue fazer esse trabalho: o E2, acesso a partir de uma conta de VPN de um prestador de serviços, se ajusta a todas as hipóteses, de modo que só uma nova evidência do tipo que os gatilhos nomeiam pode mover o julgamento.
4.5 O ATT&CK como vocabulário da evidência
Mapear a evidência para o ATT&CK — preparação e T1486 Data Encrypted for Impact para o E1 — ajuda outros analistas a verificar se o comportamento corresponde ao perfil de um grupo conhecido sem depender demais de nomes. No incidente do CPSG, o T1486 descreve a própria criptografia, e o acesso pela VPN do prestador no E2 pode ser mapeado para o uso de contas válidas. Os membros que compararem esse perfil com relatórios publicados sobre grupos podem ver se o comportamento se encaixa, enquanto o texto evita nomear um grupo com base em uma única semelhança. Na matriz de Lucía, o rótulo T1486 fica ao lado do E1 como descrição do que foi observado; não é tratado como evidência a favor de nenhum grupo em particular.
Exemplo resolvido
Um membro do CPSG sofre um incidente de ransomware. Lucía, como exercício de seminário, monta a matriz e escreve: "Avaliamos ser provável (55–80%) que um grupo criminoso de ransomware tenha conduzido esta intrusão; não se pode excluir a participação de um agente interno. Evidência de venda de dados sem pedido de resgate reduziria esta avaliação."
Caso sintético. O incidente e os itens de evidência são inventados.
Erros e limites
A ACH depende das hipóteses consideradas; uma hipótese ausente não pode vencer. Contar inconsistências é uma heurística, não um cálculo de probabilidade.
Exercícios
- EX022 — Resultado da matriz. Cite as contagens de inconsistências de H1, H2 e H3. Rubrica: 3 = 0, 2, 3; 2 = duas certas; 1 = uma; 0 = nenhuma.
- EX023 — Não diagnóstico. Que item de evidência não é diagnóstico, e por quê? Rubrica: 3 = E2; consistente com todas as hipóteses; 2 = apenas E2; 1 = item errado; 0 = nenhum.
- EX024 — Sobrevive, não está provada. Por que "a H1 está provada" é a conclusão errada? Rubrica: 3 = apenas a menos contradita; o conjunto de hipóteses pode estar incompleto; evidência limitada; 2 = um motivo; 1 = está provada; 0 = nenhum.
- EX025 — Entrada da escala. Defina "provável" em uma escala publicada pela equipe e explique por que a definição importa. Rubrica: 3 = intervalo numérico + os leitores interpretam as palavras de modo diferente (Kent); 2 = apenas o intervalo; 1 = sem intervalo; 0 = nenhum.
- EX026 — Gatilho. Escreva um gatilho de mudança que elevaria a H2. Rubrica: 3 = evidência observável específica a favor do agente interno; 2 = vago; 1 = tentativa mínima; 0 = nenhum.
- EX027 — Hipótese ausente. Proponha uma quarta hipótese que valha a pena acrescentar. Rubrica: 3 = hipótese plausível e distinta (por exemplo, hacktivista, corretor de acesso revendendo) com motivo; 2 = apenas o nome; 1 = duplicada; 0 = nenhuma.
- EX028 — ID da técnica. Dê o ID da técnica ATT&CK para dados criptografados para impacto. Rubrica: 3 = T1486; 2 = apenas o nome; 1 = ID errado; 0 = nenhum.
Síntese
Liste os rivais, procure inconsistências, relate as sobreviventes com palavras calibradas e escreva o que mudaria a sua opinião.
Continue estudando — capítulo 04 de 08
← Capítulo 03 (rascunho) · Índice de capítulos do curso · Capítulo 05 (rascunho) →