02 - Fontes Comerciais e Governamentais

1. Contexto e Posicionamento na Biblioteca

Fontes abertas cobrem o trivial, mas a inteligência paga e governamental existe para resolver o que o OSINT não resolve: contexto exclusivo, atribuição com evidência que não pode ser publicada, acesso a telemetria massiva de múltiplos clientes e alertas com peso institucional que aceleram decisões internas. A pergunta que esta nota responde não é o que existe no mercado, e sim como comprar, consumir e operacionalizar essas fontes sem transformar orçamento em coleção de PDFs não lidos.

O posicionamento na biblioteca é o de camada complementar à coleta aberta e interna. Cada fonte comercial ou governamental deve atender a requisitos do capítulo 01, ser avaliada pelo método da nota 07 e ter valor medido pelo capítulo 11, sob pena de virar item de linha do contrato sem entrega verificável. A regra editorial da nota é que toda fonte tem custo total, que inclui licença, integração, horas de analista e risco de falsos positivos, e esse custo precisa ser confrontado com benefício demonstrável em relatório periódico.

2. Fontes Comerciais de Inteligência

O mercado comercial se organiza em quatro formatos de oferta com propostas de valor distintas, e a confusão entre eles é a causa mais comum de compra equivocada. Feed técnico vende volume de IOC para automação; plataforma analítica vende contexto, infraestrutura e atribuição para investigação; serviço consultivo vende análise sob demanda e suporte a incidente; monitoramento de credenciais e dark web vende visibilidade sobre exposição da marca e dos usuários. Empresas grandes costumam comprar um de cada, enquanto times pequenos raramente precisam de mais que feed técnico e acesso consultivo por hora.

Duas verdades de mercado merecem registro. A primeira é que feeds técnicos de vendors frequentemente sobrepõem o que já é capturado por fontes abertas boas, de modo que o valor real da assinatura costuma estar no contexto e na agilidade, não no número bruto de IOC. A segunda é que plataformas analíticas variam muito de cobertura regional e setorial, e a prova real é piloto com os seus próprios casos, não demonstração com dados do vendor.

A escolha do mix também depende do estágio de maturidade do programa. Em estágio inicial, um feed técnico bem escolhido mais alertas governamentais gratuitos cobre a maior parte da demanda tática com custo baixo, enquanto a plataforma analítica só faz sentido quando existe analista com tempo dedicado para extrair contexto e acionar investigações. Em estágio maduro, o mix típico inclui plataforma analítica como ferramenta de trabalho do analista, feed técnico para automação de bloqueio, retainer de resposta a incidente como seguro contra crise e monitoramento de credenciais quando o risco de conta comprometida é material. Comprar de trás para frente, começando pelo item caro e prestigiado, é o caminho clássico para subutilização.

3. Fontes Governamentais e Alertas Oficiais

Alertas governamentais carregam um benefício que nenhum vendor vende: peso institucional. Um advisory oficial anexado ao ticket corta a discussão sobre prioridade no comitê de mudanças, porque o emissor é a autoridade do setor ou do país. As fontes principais cobrem níveis nacional, setorial e internacional, e a tabela abaixo organiza o que consumir e para quê.

O formato de um advisory conjunto maduro, como os AA2xxxxx da CISA, vale ser estudado como template interno. Ele normalmente traz resumo executivo, detalhes técnicos das TTPs com mapeamento MITRE ATT&CK, infraestrutura e IOC em anexo, regras YARA e Snort prontas e recomendações de mitigação. Esse é o nível mínimo que a organização deve exigir do próprio relatório interno, e é por isso que o capítulo 05 adota estrutura semelhante para produtos de inteligência.

Os grupos e campanhas que aparecem em advisory público também são excelente material de treino para a esteira interna. Um advisory sobre um grupo de extorsão que mirou o setor, ou sobre operadores que exploram cadeia de suprimentos de software, chega com TTPs mapeadas, regras prontas e infraestrutura listada, e o exercício completo é transformar cada elemento em saída própria: técnica vira cobertura no heatmap de detecção, regra pronta vira teste no ambiente, e infraestrutura vira busca retrospectiva em telemetria histórica. Advisory tratado só como notícia desperdiça justamente o que o custo público de sua produção entregou.

No Brasil, o ecossistema público tem particularidades que valem leitura dedicada. O CERT.br publica alertas e notas em português, mantém estatísticas de incidentes por provedor e setor e é canal natural para reporte de incidentes envolvendo redes nacionais. O CSIRT.gov.br atende a administração pública e a setores com obrigações regulatórias específicas. Para casos com viés criminal, como fraude bancária e extorsão, os canais formais da Polícia Federal, em especial as unidades dedicadas ao combate a crimes cibernéticos, têm convênios de cooperação com o setor financeiro e com associações do mercado, e a existência desses acordos muda na prática o fluxo de comunicação do incidente. Complementarmente, a LGPD impõe dever de comunicação de incidente com risco relevante, o que transforma o monitoramento de avisos oficiais em tarefa de conformidade, não apenas técnica.

4. KEV e a Operacionalização de Alertas de Exploração

O catálogo KEV (Known Exploited Vulnerabilities) da CISA lista vulnerabilidades com exploração ativa confirmada, com campos que incluem CVE, data de adição, prazo de remediação e notas. A autoridade do catálogo vem de uma decisão administrativa simples: a exploração ativa observada é critério de inclusão, o que transforma o KEV em lista priorizada por evidência real de ataque, em contraste com o CVSS, que mede severidade teórica. A Diretiva BOD 22-01 obrigou agências federais dos EUA a remediar o catálogo em prazos definidos, cerca de duas semanas para novas inclusões e seis meses para a base inicial, e edições posteriores harmonizaram esses prazos com outras políticas de patch, o que não mudou a essência: KEV é fila de prioridade, não lista de leitura.

Operacionalizar o KEV exige automação de ponta a ponta, porque o catálogo cresce continuamente e a relevância decai com o tempo. O padrão recomendado tem quatro etapas: sincronização diária do JSON oficial, cruzamento automático com o inventário de vulnerabilidades da organização, marcação de cada CVE do KEV com prioridade máxima na esteira de patch e, quando a vulnerabilidade afeta ativos expostos, abertura de hunt de exploração nos logs. O trecho abaixo mostra a sincronização e o cruzamento com dados de scanner.

# Sincronização diária do KEV com verificação de delta
curl -s https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json \
     -o /coleta/kev.json
jq -r '.vulnerabilities[] | [.cveID, .dateAdded, .dueDate, .knownRansomwareCampaignUse] | @tsv' \
   /coleta/kev.json > /coleta/kev.tsv

-- Cruzamento KEV com resultados de scanner: fila de remediação priorizada
SELECT s.host, s.cve, s.cvss, k.dateAdded, k.dueDate,
       k.knownRansomwareCampaignUse,
       CASE WHEN k.cveID IS NOT NULL THEN 'P1_KEV' ELSE 'rotina' END AS prioridade
FROM scanner_findings s
LEFT JOIN kev k ON s.cve = k.cveID
WHERE s.state = 'open'
ORDER BY CASE WHEN k.cveID IS NOT NULL THEN 0 ELSE 1 END,
         k.dueDate, s.cvss DESC;

O enriquecimento com EPSS (Exploit Prediction Scoring System) e com o campo de uso em campanhas de ransomware do próprio KEV refina ainda mais a fila, porque nem todo CVE do KEV tem a mesma urgência em um ambiente com pouca exposição. A métrica de gestão é simples e poderosa: porcentagem de ativos com CVE do KEV abertos, por tempo de permanência, reportada mensalmente junto com o capítulo 11.

Além da esteira de patch, cada inclusão relevante no KEV é gatilho de hunting dirigido. Quando um appliance de acesso remoto entra no catálogo, o analista busca nos logs do próprio dispositivo os padrões de exploração descritos no advisory correspondente, nas autenticações anômalas e nas mudanças de configuração recentes, porque a exploração de appliance frequentemente precede em semanas a descoberta pública. Esse hunt de confirmação, mesmo quando negativo, produz evidência de diligência que alimenta relatório executivo e registro de risco, e transforma a entrada do KEV em ação dupla: remediar no ativo e confirmar no histórico.

Um detalhe operacional separa KEV de advisory e evita confusão de fluxo. O KEV é uma lista estruturada, incremental e automatizável, que entra direto na esteira de gestão de vulnerabilidade. O advisory é um produto analítico com narrativa, TTPs e IOC, que pede leitura humana e gera tarefas de detecção e hunting. Tratar advisory como lista de IOC para bloqueio desperdiça o texto, e tratar KEV como relatório para leitura desperdiça a automação; cada um tem rota própria, como detalha a próxima seção.

5. Rota de Processamento de Alertas Oficiais

Alerta oficial que entra por e-mail e morre na caixa de entrada é o desfecho mais comum de fontes governamentais em programas sem processo. A correção é uma rota de processamento explícita, com dono, prazo e registro, adaptável ao volume real do time. A rota abaixo cobre desde o advisory executivo até o anúncio de CVE com exploração ativa, e pode ser implementada em ticket, em quadro kanban ou em workflow do SOAR, desde que o registro seja auditável.

1. Entrada centralizada: toda fonte oficial configura alerta para caixa dedicada ou webhook, nunca para caixas pessoais de analistas.
2. Triagem rápida em janela fixa: classificar como informativo, tático ou prioritário, com critério de setor, de exposição e de tecnicamente presente no ambiente.
3. Extração estruturada: IOC e YARA vão ao TIP com marcação de origem, TTPs vão ao mapeamento ATT&CK e recomendações de mitigação viram tarefas de hardening.
4. Ação com prazo: detecção nova testada, hunt agendado ou remediação aberta, cada saída com dono e data.
5. Feedback: registrar no mesmo ticket o que foi acionado e o resultado, alimentando a pontuação da fonte na nota 07.

O passo de feedback é o que distingue rota madura de processamento burocrático. Advisory que nunca gerou detecção, hunt ou decisão, depois de vários ciclos, indica fonte mal direcionada ou requisitos mal formulados, e essa constatação só aparece quando o registro existe. O capítulo 11 usa exatamente esses registros para computar acionamento por fonte.

Times pequenos precisam simplificar sem romper a rota. Em equipes de dois ou três analistas, a curadoria rotativa por semana, com um dono único responsável por todas as entradas oficiais do período, evita tanto o alerta ignorado quanto o processamento duplicado, e o quadro de fontes oficiais pode ser uma única página com três colunas: entrada, ação e resultado. O princípio que não se negocia é a centralização da entrada e o registro da saída, porque sem eles o histórico de valor da fonte desaparece.

6. Contratos, Licenças e Termos de Uso

O contrato é parte da engenharia da fonte, e cláusulas ignoradas na assinatura voltam como bloqueio operacional no pior momento. Os pontos que exigem leitura atenta são recorrentes no mercado e cabem em checklist padronizado de negociação.

• Redistribuição: se o conteúdo pode ser compartilhado internamente com todas as unidades, com terceiros contratados e com o ISAC do setor, e em qual formato.
• Derivados: se IOC e relatórios podem gerar detecções Sigma, YARA e regras internas sem restrição, e se as regras derivadas pertencem à organização.
• Uso operacional: se o conteúdo pode acionar bloqueio automático em firewall e EDR, ou apenas alerta, e qual a responsabilidade por falso positivo que interrompe serviço.
• Modelo de preço: por assento, por volume de dados, por domínio monitorado ou por consumo de API, com atenção a surpresas de overage.
• Retenção e residência: onde a organização pode armazenar e por quanto tempo, com implicações de LGPD quando o dado traz informação pessoal.
• Atribuição: como citar a fonte em relatórios externos, e o que acontece com material marcado como não atribuível.

Além das cláusulas, dois direitos valem negociação explícita em todo contrato de inteligência. O primeiro é o direito de sair levando o histórico do que a organização pagou para gerar, como listas de credenciais monitoradas e registros de consulta. O segundo é o direito de piloto com dados reais antes da renovação, que transforma a reunião de renovação em decisão baseada na métrica do capítulo 11 e não em relacionamento comercial.

Alguns sinais de alerta na negociação repetem-se no mercado e valem checklist final antes da assinatura. Preço por assento que inibe o consumo por quem deve consumir, já que cada analista adicional vira decisão orçamentária; relatórios executivos sem conteúdo técnico, que agradam gestão e não alimentam SOC; ausência de API aberta, que transformará a plataforma em ilha; e indisposição em piloto com métricas acordadas, sinal claro de que o produto não sobreviveria a medição. Nenhum desses sinais invalida por si só o fornecedor, mas cada um pede salvaguarda contratual específica antes da assinatura.

7. Avaliação de Valor por Custo

Avaliar fonte comercial ou governamental por custo é exercício de contabilidade de valor, e o método mínimo funciona com quatro métricas coletadas durante piloto de trinta a noventa dias. Unicidade mede a fração de IOC e alertas que nenhuma outra fonte ativa entrega, e feed sem unicidade paga licença para duplicar o que o OSINT já traz. Lead time mede quanto tempo a fonte antecipa o observável, comparando a data do alerta com a primeira aparição em feeds abertos e com a telemetria interna. Taxa de acionamento mede quantos itens geraram ação real no ambiente, e taxa de falso positivo mede quantos acionamentos foram errados, porque FP custa horas de triagem e credibilidade do programa.

A conta final é custo total dividido por casos relevantes gerados, comparado entre fontes e ao longo do tempo. Fonte consultiva pode parecer cara até que um incidente grave seja resolvido com o retainer, e feed barato pode parecer barato até que a equipe some as horas gastas filtrando ruído. O relatório semestral de fontes, apoiado na nota 07, deve trazer essa tabela por fonte com recomendação de manter, renegociar ou encerrar, e a decisão contrarial fica documentada no mesmo registro.

Na renovação, o histórico de métricas vira poder de negociação concreto. Mostrar ao vendor que a unicidade foi de 3 por cento no piloto, ou que o lead time médio foi negativo, reabre preço ou substitui o produto por um tier menor; mostrar que a plataforma foi citada em três relatórios de detecção e evitou um incidente grave sustenta renovação com espaço para expansão. Fontes governamentais não entram nessa conta de contrato, mas entram na de valor, porque o peso institucional de um advisory oficial economiza horas de convencimento interno que nenhuma fonte paga entrega.

8. Erros Comuns e Pontos de Atenção

• Comprar plataforma analítica sem analista para consumir; efeito: assento caro virando dashboard decorativo; correção: definir volume de horas de consumo por semana como critério de contratação.
• Tratar advisory governamental como leitura opcional; efeito: perder o efeito de prioridade institucional que é justamente o diferencial da fonte; correção: rota de processamento com prazo e dono para cada advisory recebido.
• Sincronizar KEV uma vez e nunca revisar; efeito: fila de remediação desatualizada e CVEs de exploração ativa abertos por meses; correção: job diário com delta e alerta de permanência acima do prazo.
• Ignorar cláusula de redistribuição e repassar conteúdo a parceiro; efeito: quebra contratual e perda de acesso; correção: matriz de quem pode ver o quê, por marcação TLP e por contrato.
• Medir fonte por volume de IOC entregue; efeito: favorecer feeds ruidosos e penalizar fontes analíticas; correção: medir por casos relevantes gerados e por custo por caso.
• Piloto sem dados próprios; efeito: decisão baseada em demonstração do vendor; correção: piloto com casos reais, com métricas acordadas antes do início.

9. Integração com o Restante da Biblioteca

As fontes comerciais e governamentais alimentam diretamente a nota 03 deste capítulo, porque boa parte da troca com ISACs e parceiros acontece sobre plataformas como MISP, com material comercial agregado e reempacotado em TLP adequado. A operacionalização do KEV e dos advisories conecta este capítulo ao capítulo 11, que mede cobertura e tempo de resposta, e ao capítulo 18, onde as regras de detecção derivadas de advisory viram conteúdo testável.

Na estratégia de longo prazo, a nota estabelece a disciplina de portfólio de fontes: o mesmo rigor da nota 07 aplicado a contratos, com revisão semestral, métricas de unicidade e custo por caso, e disposição de cancelar o que não entrega. O próximo passo natural é a nota 03, que trata o compartilhamento entre organizações, o ambiente onde o material comprado, o coletado em aberto e o gerado internamente se cruzam em comunidade.