Gerenciamento do Ciclo de Vida da Inteligência de Ameaças

Visão Geral

O ciclo de vida da inteligência de ameaças é um processo estruturado e iterativo para transformar dados brutos em inteligência acionável. Baseado no ciclo de inteligência usado por agências militares e governamentais, ele compreende seis fases: Direção (coleta de requisitos), Coleta (aquisição de dados), Processamento (normalização e deduplicação), Análise (contextualização e avaliação), Disseminação (distribuição para partes interessadas) e Feedback (avaliação e refinamento). Esta habilidade abrange a construção de cada fase com ferramentas, métricas e pontos de integração para um programa CTI maduro.

Quando Usar

• Ao implantar ou configurar capacidades de gerenciamento do ciclo de vida da inteligência de ameaças em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9+ com pymisp, stix2, requests, pandas bibliotecas
• MISP ou OpenCTI como plataforma de inteligência de ameaças
• Sistema de tickets (Jira, ServiceNow) para gerenciamento de requisitos
• Integração SIEM (Splunk, Elastic) para operacionalização de indicadores
• Compreensão de técnicas de análise de inteligência (ACH, Diamond Model)

Conceitos Chave

Requisitos de Inteligência (IR)

Requisitos Prioritários de Inteligência (PIRs) definem o que a organização precisa saber. Exemplos: Quais atores de ameaças visam nosso setor? Quais vulnerabilidades estão sendo ativamente exploradas? Nossas marcas ou credenciais estão sendo negociadas na dark web? PIRs impulsionam o planejamento da coleta e garantem que a produção de inteligência seja relevante.

Framework de Gerenciamento de Coleta

Um framework de gerenciamento de coleta mapeia requisitos de inteligência para fontes de coleta, rastreia lacunas de coleta e garante cobertura em todo o cenário de ameaças. As fontes incluem OSINT, feeds comerciais, compartilhamento ISAC, telemetria interna e inteligência humana de contatos da indústria.

Níveis de Inteligência

Inteligência estratégica informa a tomada de decisão executiva (cenário de ameaças, tendências de risco, contexto geopolítico). Inteligência operacional apoia as operações de segurança (rastreamento de campanhas, TTPs de atores, tempo de ataque). Inteligência tática permite defesa imediata (IOCs, regras de detecção, listas de bloqueio).

Fluxo de Trabalho

Etapa 1: Definir Requisitos de Inteligência

import json
from datetime import datetime
from enum import Enum

class Priority(Enum):
    CRITICAL = 1
    HIGH = 2
    MEDIUM = 3
    LOW = 4

class IntelligenceRequirement:
    def __init__(self, requirement_id, question, priority, stakeholder,
                 intelligence_level, collection_sources=None):
        self.id = requirement_id
        self.question = question
        self.priority = priority
        self.stakeholder = stakeholder
        self.level = intelligence_level
        self.sources = collection_sources or []
        self.created = datetime.now().isoformat()
        self.status = "active"
        self.last_answered = None

    def to_dict(self):
        return {
            "id": self.id,
            "question": self.question,
            "priority": self.priority.name,
            "stakeholder": self.stakeholder,
            "intelligence_level": self.level,
            "collection_sources": self.sources,
            "created": self.created,
            "status": self.status,
            "last_answered": self.last_answered,
        }

class RequirementsManager:
    def __init__(self):
        self.requirements = []

    def add_requirement(self, requirement):
        self.requirements.append(requirement)
        print(f"[+] Adicionado IR-{requirement.id}: {requirement.question[:60]}...")

    def get_active_requirements(self, priority=None, level=None):
        filtered = [r for r in self.requirements if r.status == "active"]
        if priority:
            filtered = [r for r in filtered if r.priority == priority]
        if level:
            filtered = [r for r in filtered if r.level == level]
        return filtered

    def export_requirements(self, output_file="intelligence_requirements.json"):
        data = [r.to_dict() for r in self.requirements]
        with open(output_file, "w") as f:
            json.dump(data, f, indent=2)
        print(f"[+] Exportados {len(data)} requisitos para {output_file}")

# Definir PIRs organizacionais
mgr = RequirementsManager()

…