Gerenciamento do Ciclo de Vida de Indicadores

Visão Geral

O gerenciamento do ciclo de vida de Indicadores de Comprometimento (IOCs) rastreia esses indicadores desde a descoberta inicial até a validação, enriquecimento, implantação, monitoramento e eventual aposentadoria. Esta habilidade abrange a implementação de processos sistemáticos para avaliação da qualidade dos IOCs, políticas de envelhecimento, decaimento da pontuação de confiança, rastreamento de falsos positivos, monitoramento da taxa de acertos e expiração automatizada para manter um banco de dados de indicadores de alta qualidade e acionável que minimiza a fadiga do analista e maximiza a eficácia da detecção.

Quando Usar

• Ao realizar avaliações de segurança que envolvem o gerenciamento do ciclo de vida de indicadores.
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados.
• Ao realizar testes ou atividades de auditoria de segurança agendadas.
• Ao validar controles de segurança por meio de testes práticos.

Pré-requisitos

• Python 3.9+ com bibliotecas pymisp, requests, stix2.
• Instância MISP ou OpenCTI para armazenamento de indicadores.
• SIEM com capacidades de lista de observação de IOCs (Splunk, Elastic).
• Compreensão dos tipos de IOCs, pontuação de confiança e classificações TLP.

Conceitos Chave

Fases do Ciclo de Vida do Indicador

1. Descoberta: IOC identificado pela primeira vez a partir de inteligência de ameaças, análise de malware ou resposta a incidentes.
2. Validação: IOC verificado contra fontes de enriquecimento (VirusTotal, Shodan).
3. Enriquecimento: Contexto adicional adicionado (WHOIS, DNS passivo, atribuição de ator de ameaça).
4. Implantação: IOC enviado para sistemas de detecção (SIEM, IDS, firewall).
5. Monitoramento: Rastreamento de taxas de acertos, taxas de falsos positivos, eficácia da detecção.
6. Revisão: Avaliação periódica da relevância e precisão do IOC.
7. Aposentadoria: IOC expirado ou removido com base na política de envelhecimento.

Decaimento de Confiança

A confiança em um indicador diminui com o tempo à medida que os adversários rotacionam a infraestrutura. Uma função de decaimento baseada em tempo reduz automaticamente as pontuações de confiança, garantindo que indicadores antigos não gerem alertas excessivos. Meia-vida típica: endereços IP (30 dias), domínios (90 dias), hashes de arquivo (365 dias).

Métricas de Qualidade

• Taxa de Acertos: Porcentagem de IOCs implantados gerando alertas de falso positivo.
• Taxa de Falsos Positivos: Porcentagem de alertas de IOC que são benignos.
• Cobertura: Porcentagem de técnicas de ameaça conhecidas com cobertura de IOC.
• Frescor: Idade média dos indicadores ativos no banco de dados.

Fluxo de Trabalho

Etapa 1: Implementar Máquina de Estados do Ciclo de Vida do IOC

from datetime import datetime, timedelta
from enum import Enum

class IOCState(Enum):
    DISCOVERED = "discovered"
    VALIDATED = "validated"
    ENRICHED = "enriched"
    DEPLOYED = "deployed"
    MONITORING = "monitoring"
    UNDER_REVIEW = "under_review"
    RETIRED = "retired"

class IOCLifecycle:
    def __init__(self, ioc_type, value, source, initial_confidence=50):
        self.ioc_type = ioc_type
        self.value = value
        self.source = source
        self.confidence = initial_confidence
        self.state = IOCState.DISCOVERED
        self.created = datetime.utcnow()
        self.last_updated = datetime.utcnow()
        self.last_seen = None
        self.hit_count = 0
        self.false_positive_count = 0
        self.history = [{"state": "discovered", "timestamp": self.created.isoformat()}]

    def transition(self, new_state: IOCState, reason=""):
        self.state = new_state
        self.last_updated = datetime.utcnow()
        self.history.append({
            "state": new_state.value,
            "timestamp": self.last_updated.isoformat(),
            "reason": reason,
        })

    def apply_decay(self):
        """Aplica o decaimento de confiança com base na meia-vida do tipo de IOC."""
        half_lives = {"ip": 30, "domain": 90, "hash": 365, "url": 60}
        half_life = half_lives.get(self.ioc_type, 90)
        age_days = (datetime.utcnow() - self.created).days
        decay_factor = 0.5 ** (age_days / half_life)
        self.confidence = max(0, int(self.confidence * decay_factor))

    def record_hit(self, is_true_positive=True):
        self.hit_count += 1
        self.last_seen = datetime.utcnow()
        if not is_true_positive:
            self.false_positive_count += 1
            if self.false_positive_count > 3:
                self.transition(IOCState.UNDER_REVIEW, "Falsos positivos excessivos")

    def should_retire(self):
        max_ages = {"ip": 90, "domain": 180, "hash": 730, "url": 120}
        max_age = max_ages.get(self.ioc_type, 180)
        age_days = (datetime.utcnow() - self.created).days

…