Construindo Perfil de Atores de Ameaça a partir de OSINT

Visão Geral

O perfil de atores de ameaça usando OSINT coleta e analisa sistematicamente informações publicamente disponíveis para construir perfis abrangentes de grupos adversários. Essa habilidade abrange a coleta de inteligência de fontes públicas (relatórios de fornecedores de segurança, sites de paste, fóruns da dark web, mídias sociais, repositórios de código), a correlação de indicadores entre plataformas, o mapeamento da infraestrutura do adversário usando ferramentas como Maltego e SpiderFoot, e a produção de dossiês estruturados de atores de ameaça que informam estratégias de defesa e avaliações de atribuição.

Quando Usar

• Ao implantar ou configurar recursos de construção de perfil de ator de ameaça a partir de OSINT em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao conduzir avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9+ com shodan, requests, beautifulsoup4, maltego-trx, stix2 bibliotecas
• SpiderFoot (https://github.com/smicallef/spiderfoot) ou SpiderFoot HX
• Maltego CE ou Maltego XL para análise de links
• Chaves de API: Shodan, VirusTotal, AlienVault OTX, PassiveTotal/RiskIQ
• Conhecimento do MITRE ATT&CK para mapeamento de TTPs
• Compreensão dos SDOs STIX 2.1 Intrusion Set, Threat Actor e Identity

Conceitos Chave

Fontes OSINT para Perfil de Atores de Ameaça

As fontes primárias de inteligência incluem relatórios de ameaças de fornecedores (Mandiant, CrowdStrike, Recorded Future, Talos), avisos governamentais (CISA, NSA, avisos conjuntos do FBI), artigos de pesquisa acadêmica, repositórios de malware (VirusTotal, MalwareBazaar, Malpedia), sites de paste (Pastebin, GitHub Gists), repositórios de código, contas de mídia social, fóruns da dark web e logs de transparência de certificados.

Técnicas Analíticas Estruturadas

O perfilamento usa o Modelo Diamante (adversário, infraestrutura, capacidade, vítima), Análise de Hipóteses Concorrentes (ACH) para confiança na atribuição e mapeamento do MITRE ATT&CK para documentação de TTPs. Ferramentas de análise de links como Maltego visualizam relacionamentos entre indicadores, infraestrutura e atores.

Componentes do Perfil

Um perfil completo de ator de ameaça inclui: aliases e convenções de nomenclatura entre fornecedores, origem e patrocínio suspeitos, motivação (espionagem, financeira, hacktivismo, disrupção), setores e geografias visados, campanhas e operações conhecidas, TTPs mapeados para ATT&CK, conjunto de ferramentas e famílias de malware, padrões de infraestrutura e linha do tempo histórica.

Fluxo de Trabalho

Etapa 1: Coletar Inteligência de Múltiplas Fontes

import requests
import json
from datetime import datetime

class OSINTCollector:
    def __init__(self, vt_key=None, otx_key=None, shodan_key=None):
        self.vt_key = vt_key
        self.otx_key = otx_key
        self.shodan_key = shodan_key
        self.collected_data = {"sources": [], "indicators": [], "reports": []}

    def search_alienvault_otx(self, actor_name):
        """Pesquisa no AlienVault OTX por pulsos de atores de ameaça."""
        headers = {"X-OTX-API-KEY": self.otx_key}
        url = f"https://otx.alienvault.com/api/v1/search/pulses?q={actor_name}&limit=20"
        resp = requests.get(url, headers=headers)
        if resp.status_code == 200:
            data = resp.json()
            pulses = data.get("results", [])
            for pulse in pulses:
                self.collected_data["reports"].append({
                    "source": "AlienVault OTX",
                    "title": pulse.get("name", ""),
                    "created": pulse.get("created", ""),
                    "description": pulse.get("description", "")[:500],
                    "tags": pulse.get("tags", []),
                    "indicators_count": len(pulse.get("indicators", [])),
                    "pulse_id": pulse.get("id", ""),
                })
                for ioc in pulse.get("indicators", []):
                    self.collected_data["indicators"].append({
                        "type": ioc.get("type", ""),
                        "value": ioc.get("indicator", ""),
                        "source": "OTX",
                        "pulse": pulse.get("name", ""),
                    })
            print(f"[+] OTX: Encontrados {len(pulses)} pulsos para '{actor_name}'")
        return self.collected_data

    def search_virustotal_collections(self, actor_name):
        """Pesquisa no VirusTotal por coleções de atores de ameaça."""
        headers = {"x-apikey": self.vt_key}

…