◇ OpenCyber Academy
Mestrado · Capítulo 5 · Português

Capítulo 5 — Proposta e piloto

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Capítulo 5 — Proposta e piloto

Mapa da aula

Aula 05 publicada. Mapa, exemplo, EX029.

flowchart TD
  N0["5.2 Dicionário de dados"]
  N1["5.3 Piloto"]
  N2["5.4 Revisar sem derivar"]
  N3["5.5 Formatos de indicadores"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX029"]

Desenho lógico

flowchart LR
  N0["5.2 Dicionário de dados"]
  N1["5.3 Piloto"]
  N2["5.4 Revisar sem derivar"]
  N3["5.5 Formatos de indicadores"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX029"]

[5.2 Dicionário de dados]
    |
    v
[5.3 Piloto]
    |
    v
[5.4 Revisar sem derivar]
    |
    v
[5.5 Formatos de indicadores]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX029]

Objetivos de aprendizagem

Você vai (1) escrever uma proposta de dissertação com objetivos mensuráveis; (2) definir cada variável em um dicionário de dados; (3) conduzir um piloto para verificar a viabilidade; (4) revisar o plano a partir da evidência do piloto sem mudar a pergunta.

5.1 Objetivos e medidas

Objetivo 1: medir a mediana do tempo até o bloqueio para os indicadores recebidos pelo CPSG. Objetivo 2: comparar com não membros pareados. Objetivo 3: descrever com que frequência os indicadores compartilhados foram julgados indignos de bloqueio. Cada objetivo nomeia a sua variável e a sua análise. O Objetivo 3 é fácil de esquecer, mas importa para a interpretação. Se os membros ignoram muitos indicadores compartilhados por considerá-los de pouco valor, uma mediana rápida para os bloqueados pode esconder o fato de que a maioria dos indicadores nunca vira controle. Relatar as proporções de bloqueados, monitorados e ignorados ao lado da mediana mantém o resultado honesto.

5.2 Dicionário de dados

t_pub: carimbo de tempo em que o indicador foi publicado pela primeira vez na coleção TAXII (UTC). t_block: carimbo de tempo em que uma regra de bloqueio ficou ativa no controle do membro. ttb_h: horas entre os dois. ioc_type: domain, ip, hash ou url. decision: blocked, monitored, ignored. Cada campo tem tipo, unidade e valores permitidos. O dicionário também decide como tratar um valor ausente: um indicador ignorado não tem t_block, então o seu ttb_h fica vazio, e não zero, e ele é contado no Objetivo 3, não na mediana. Fixar essa regra antes de os dados chegarem impede que os indicadores ignorados sejam tratados como bloqueios instantâneos.

5.3 Piloto

Um piloto com um membro e duas semanas de registros no formato sintético testa se o t_block chega a ser registrado. Muitas organizações registram as edições de regras apenas em chamados de mudança com precisão de dia, o que tornaria impossíveis os tempos em horas. O piloto de Lucía encontrou exatamente essa divisão: o firewall do primeiro membro registrava a ativação da regra com precisão de segundos, enquanto a ferramenta de chamados do segundo membro guardava apenas datas. Descobrir isso no piloto, com duas semanas de registros, custou pouco; descobrir depois da coleta principal teria forçado um novo desenho.

5.4 Revisar sem derivar

Se o piloto mostrar apenas precisão de dia, Lucía pode mudar a unidade para dias — uma revisão da medição —, mas não deve trocar a pergunta por algo mais fácil, como "os membros gostam do feed?". Isso seria deriva de escopo. A revisão de Lucía manteve as duas unidades: horas para os membros com registros precisos e dias para os demais, como um estrato separado, com a menor precisão anotada como limitação. A pergunta, o tempo entre a publicação e o bloqueio, não mudou; mudou apenas a precisão com que alguns membros podiam respondê-la.

5.5 Formatos de indicadores

O CPSG publica objetos indicator do STIX 2.1. O piloto confirma que created e valid_from estão preenchidos, o que dá um t_pub confiável. Os objetos sem propriedades obrigatórias são registrados como achados de qualidade de dados para a comunidade. Os achados de qualidade de dados são registrados por classe de membro publicador, e não por membro, seguindo a regra de agregação do conselho. Um indicador sem valid_from ainda conta para o Objetivo 3 se um membro agiu sobre ele, mas não pode contribuir com um tempo de publicação para a mediana. As duas semanas de registros do membro do piloto deram a Lucía uma primeira contagem desses achados antes de a exportação principal chegar.

Exemplo resolvido

O firewall do membro do piloto registra a ativação da regra com precisão de segundos, mas o segundo membro usa uma ferramenta de chamados que guarda apenas datas. Lucía mantém as horas para os membros com registros precisos, registra dias para os demais como um estrato separado e anota a menor precisão como limitação.

Caso sintético. Os membros do piloto e as ferramentas de registro são inventados.

Erros e limites

Um piloto não é uma versão pequena do resultado; não relate as medianas dele como achados. Mudar a pergunta depois de um piloto exige a aprovação do orientador e uma nova verificação ética.

Exercícios

Síntese

Objetivos mensuráveis, um dicionário preciso, um piloto voltado para a viabilidade e revisões que mantêm a pergunta intacta.

Continue estudando — capítulo 05 de 08

← Capítulo 04 (rascunho) · Índice de capítulos do curso · Capítulo 06 (rascunho) →