Fontes e feeds de inteligência de ameaças

Inteligência contra ameaças são informações processadas e contextualizadas sobre ameaças. Os dados brutos se tornam inteligência quando respondem quem está mirando você e o que deve ser observado — permitindo agir cedo.

A inteligência tem quatro níveis: tendências estratégicas para executivos, campanhas operacionais para gerentes, TTPs táticos para arquitetos e IoCs técnicos para analistas do SOC.

OSINT é informação gratuita sobre ameaças obtida de fontes públicas — o banco de dados de CVE, o VirusTotal, o Shodan e blogs de fornecedores. Geralmente é por onde as equipes de segurança começam.

Um ISAC é um grupo do setor no qual os membros compartilham ameaças que atingem sua área — como o FS-ISAC no setor financeiro. Você aprende com colegas que enfrentam os mesmos atacantes.

Feeds comerciais de fornecedores como CrowdStrike ou Mandiant oferecem inteligência selecionada e com pouco ruído, incluindo cobertura da dark web, que se integra diretamente ao seu SIEM. 💰

A estrutura MITRE ATT&CK cataloga as táticas e técnicas reais usadas pelos atacantes em cada etapa. As equipes a utilizam para mapear atividades e encontrar lacunas de detecção.

O monitoramento da dark web verifica mercados criminosos em busca do seu nome ou de credenciais vazadas. Identificar logins roubados à venda pode alertar você sobre uma violação antes que tenha conhecimento dela.

Dois padrões tornam o compartilhamento automático: o STIX define como descrever dados de ameaças, e o TAXII os transporta. Juntos, permitem que as ferramentas importem inteligência sem trabalho manual.

Os governos também publicam inteligência gratuita e confiável. Os avisos da CISA e seu catálogo de vulnerabilidades conhecidamente exploradas, além dos feeds do FBI e do NIST, são uma base à qual vale a pena se inscrever.

A inteligência só importa quando gera ação. O ciclo de vida da inteligência vai da orientação à coleta, análise, compartilhamento e feedback — depois, as equipes do SOC agem com base nela.

Uma boa inteligência é oportuna, relevante, precisa e acionável. Um indicador de três anos atrás ou uma enxurrada de falsos positivos apenas desperdiça o tempo dos analistas — desative feeds ruidosos.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) desta lição.

Recapitulação rápida: a inteligência vai do nível estratégico ao técnico, as principais fontes são OSINT, ISACs e CISA, o MITRE ATT&CK mapeia TTPs, e STIX/TAXII automatizam o compartilhamento. A seguir: indicadores de comprometimento.