03 - Compartilhamento de Informações (ISACs, MISP, TAXII-STIX)

1. Contexto e Posicionamento na Biblioteca

Nenhum adversário ataca uma organização por vez, e nenhum defensor vê sozinho a campanha inteira. O compartilhamento de informações existe porque o mesmo grupo de ataque reaproveita infraestrutura, ferramentas e técnicas contra dezenas de vítimas, de modo que a observação de uma organização antecipa a de outra. Esta nota cobre a dimensão colaborativa da coleta: as comunidades que estruturam a confiança, o software que sustenta a troca e os padrões que garantem que o dado circule sem perder significado ou controle de divulgação.

Na esteira da biblioteca, o compartilhamento é a camada em que a coleta deixa de ser tarefa isolada e vira participação em rede. O material compartilhado entra no pipeline com as mesmas exigências de qualquer fonte, avaliação da nota 07 e normalização do capítulo 03, mas entra também com uma obrigação simétrica: contribuir de volta. Comunidades maduras rejeitam consumidores silenciosos, e a reputação construída nas notas anteriores é o que determina a qualidade do que chega em troca.

2. Comunidades Setoriais e a Economia da Confiança

Os ISACs (Information Sharing and Analysis Centers) são comunidades de compartilhamento organizadas por setor, com coordenação, regras de adesão e canais de comunicação próprios. Exemplos consolidados incluem o FS-ISAC no setor financeiro, o H-ISAC na saúde, o MS-ISAC no setor público estadunidense e o E-ISAC em energia, além de redes nacionais e regionais que cumprem papel equivalente. No Brasil, associações setoriais e órgãos reguladores operam mecanismos análogos, e o setor financeiro tem prática de compartilhamento estruturada há anos, com câmaras e grupos de intercâmbio entre instituições.

O que um ISAC entrega não é volume de IOC, e sim três coisas que fontes abertas e comerciais não entregam. A primeira é a advertência antecipada contextualizada, o aviso de que campanha específica mira o seu setor com vetores específicos, dias antes de o material genérico aparecer em feed. A segunda é a confiança em cadeia, porque membros são identificados e regras de uso são contratuais, o que permite circular material mais sensível que o que circula publicamente. A terceira é a voz coletiva, a capacidade de o setor negociar com vendors, reguladores e autoridades com dados agregados de todas as instituições.

O custo de participar é real e deve entrar no planejamento: anuidade ou contribuição, horas de participação em reuniões, trabalho de contribuir material validado e, sobretudo, a obrigação de manter sigilo disciplinado. Antes de aderir, avaliar cobertura do seu setor e da sua geografia, qualidade do fluxo recebido durante período de observação, e a existência de regras claras de TLP e de não concorrência, porque comunidades sem governança viram listas sem contexto.

3. MISP como Plataforma de Compartilhamento

O MISP (Malware Information Sharing Platform) é a plataforma open source mais adotada para troca de inteligência, e entender seu modelo de dados é pré-requisito para participar de comunidades que a usam. A unidade central é o evento, que agrupa atributos, ou observáveis técnicos como IP, domínio, hash e URL, com contexto: taxonomias, galáxias de referência como MITRE ATT&CK, e marcação de distribuição. Cada atributo carrega propriedades críticas para o ciclo de vida do indicador: categoria e tipo, nível de confiança declarado, data de primeira vista e horário de validade, marcador de falsificação para os já detectados como benignos e distribution que controla até onde o atributo pode circular.

A sincronização entre servidores MISP é o mecanismo que forma redes de troca. Instâncias configuram relacionamentos de push, pull ou ambos, com filtros por tag e por distribuição, de modo que uma comunidade funcione como anel: o servidor do ISAC sincroniza com os servidores dos membros, e cada membro exporta para baixo apenas o que a marcação permite. O padrão operacional recomendado em quem consome é pipeline explícito, ilustrado abaixo com a biblioteca python-misp.

from pymisp import PyMISP
from datetime import datetime, timedelta

misp = PyMISP(url=MISP_URL, key=MISP_KEY, ssl=True)
limite = (datetime.utcnow() - timedelta(hours=2)).strftime("%Y-%m-%dT%H:%M:%S")

# Coleta incremental de eventos publicados desde o último checkpoint
eventos = misp.search(controller="events",
                      published=True,
                      publish_timestamp=limite,
                      tags="tlp:green")
for evento in eventos:
    for atributo in evento.get("Event", {}).get("Attribute", []):
        validar_e_ingerir(atributo, origem="misp-isac", tlp="TLP:GREEN")

As taxonomias e galáxias do MISP são o que transforma atributos em informação comparável entre organizações. Taxonomias como tlp, admiralty-scale, malware-classification e estimative-language marcam cada atributo com vocabulário padronizado, enquanto galáxias referenciam clusters como MITRE ATT&CK, famílias de malware e atores de ameaça. Na prática, uma política mínima de ingestão exige três marcações por evento de saída: TLP correto, taxonomia de tipo de ameaça e referência de galáxia quando o evento se conecta a ator ou técnica conhecida. Eventos sem essas marcações circulam mal, porque o receptor não consegue filtrar nem correlacionar, e o efeito prático é que o material de valor da comunidade fica invisível em meio ao genérico.

Três regras de operação evitam os erros mais comuns de quem ingere MISP. Primeiro, definir política de distribuição antes do primeiro evento, porque distribution e TLP definidos a posteriori nunca retroagem. Segundo, consumir com timestamp incremental e não reprocessar eventos antigos sem necessidade, o mesmo princípio do TAXII da nota 01. Terceiro, separar instância de consumo de instância de publicação quando o volume for grande, porque filtragem de entrada e curadoria de saída têm requisitos opostos.

O nível de distribuição do MISP é o controle que traduz TLP e política em comportamento de sincronização, e a leitura correta de cada nível evita tanto vazamento quanto paralisia de compartilhamento. A tabela abaixo resume os níveis com o uso prático recomendado.

A combinação de distribution com tags de TLP é a política de divulgação do servidor inteira, e deve estar escrita em documento curto antes da primeira sincronização. Regras típicas incluem: nada de TLP:AMBER sai da instância sem revisão humana; material herdado de terceiro mantém distribuição no máximo igual à recebida; e eventos com tag de não reexportação são bloqueados nos filtros de push. Essas regras são triviais de implementar nos filtros nativos e impossíveis de garantir se ficarem apenas na memória da equipe.

4. STIX 2.1 e TAXII 2.1 no Transporte da Troca

O STIX e o TAXII são os padrões de OASIS que resolvem o problema oposto ao do MISP: enquanto o MISP é plataforma completa com interface e workflow, STIX e TAXII definem formato de representação e protocolo de transporte, independentes de ferramenta. O STIX 2.1 representa indicadores, observáveis, entidades e relacionamentos em JSON estruturado, com campos de validade, marcação e proveniência; o TAXII 2.1 define a API REST sobre HTTPS por onde os objetos circulam, com coleções e consumo incremental por added_after.

A relação prática entre os dois mundos é de complementaridade, e a configuração mais comum em comunidades é híbrida. O MISP serve como espaço de trabalho e curadoria, com eventos, taxonomias e discussão, e exporta em STIX 2.1 para consumo automatizado; plataformas de TI (Threat Intelligence) e SIEM consomem coleções TAXII sem precisar conhecer MISP. A nota sobre STIX e TAXII do capítulo 09 detalha formato e endpoints; aqui, o que importa é a decisão de arquitetura: toda troca automática com parceiros usa STIX/TAXII, e o CSV por e-mail vira exceção documentada, não regra.

O consumo TAXII de uma comunidade segue o mesmo esqueleto de qualquer outra fonte, com checkpoint incremental persistido e validação de esquema na entrada, e o trecho abaixo mostra o ciclo mínimo de descoberta e consumo. A diferença para fontes abertas está nas credenciais, que em comunidade identificam a organização e a vinculam a toda a sua saída, reforçando a regra da nota 02: credenciais por fonte, com escopo mínimo e rotação.

# Ciclo TAXII mínimo: descoberta, listagem e consumo incremental
curl -s --user "${TAXII_USER}:${TAXII_PASS}" "https://taxii.isac.example/api/"
curl -s --user "${TAXII_USER}:${TAXII_PASS}" "https://taxii.isac.example/api/collections/"
curl -s --user "${TAXII_USER}:${TAXII_PASS}" \
  "https://taxii.isac.example/api/collections/${COLECAO}/objects/?added_after=${CHECKPOINT}" \
  -o /coleta/isac-bundle.json

5. Modelos de Rede de Troca

A topologia da rede de troca é decisão de arquitetura com efeito direto sobre controle, latência e risco, e vale escolher conscientemente entre os três modelos predominantes. No modelo hub-and-spoke, um servidor central do ISAC sincroniza com os servidores dos membros, e todo trânsito passa pelo hub, o que simplifica governança e cria ponto único de visibilidade, ao custo de dependência do operador central. No modelo peer-to-peer, cada par de organizações sincroniza diretamente, o que acelera troca entre parceiros próximos mas multiplica o número de configurações e dificulta rastrear circulação. No modelo de grupo fechado, um conjunto pequeno de organizações com alto grau de confiança opera conjunto com distribuição restrita, típico de trocas entre empresas concorrentes no mesmo setor.

A recomendação prática para a maioria das organizações é começar por hub, com um ISAC ou comunidade regional, e adicionar pares bilaterais conforme a maturidade de curadoria cresce. Pares exigem processo de qualidade de saída confiável, porque a troca direta elimina o filtro do hub, e material mal curado vai direto ao SIEM do parceiro. A evolução natural, descrita no capítulo 22, é combinar os três: hub como espinha dorsal, pares para casos específicos e grupo fechado para incidentes com exposição significativa.

6. TLP 2.0 e o Controle de Divulgação

O TLP (Traffic Light Protocol) 2.0, padronizado pela FIRST, é o vocabulário que permite que informação sensível circule em comunidade sem que cada troca precise de contrato. A marcação viaja com o conteúdo, vincula quem recebe a regras de divulgação específicas e define o máximo que a informação pode escalar. A tabela abaixo resume as marcações com a leitura operacional que o time deve internalizar.

A marcação TLP:AMBER+STRICT, introduzida na versão 2.0, resolveu um problema real da versão anterior, que obrigava a escolher entre TLP:AMBER com reencaminhamento interno livre ou TLP:RED com uso individual. Em comunidade, a distinção aparece quando um membro compartilha detalhe de incidente que o receptor pode mostrar ao seu time, mas não pode repassar a parceiros nem a terceiros. Treinar essa diferença evita os dois erros opostos: o vazamento por tratar STRICT como AMBER e a paralisia por tratar STRICT como RED.

Três hábitos fazem o TLP funcionar na prática. A marcação é decidida no momento da publicação e nunca rebaixada sem autorização do emissor, porque quem compartilhou TLP:AMBER julgou o risco daquele material. A técnica de extrair é legítima e esperada: o receptor de um relatório TLP:AMBER pode publicar, em TLP:GREEN ou CLEAR, a detecção YARA que criou a partir dele, sem citar o relatório. E a violação tem consequência real em comunidade, desde correção formal até expulsão, o que reforça que a adesão é compromisso de conduta e não formalidade.

7. Vantagens, Limitações e Armadilhas do Compartilhamento

A decisão de investir em compartilhamento pede leitura honesta do que o modelo entrega e do que ele não entrega. A tabela abaixo consolida as duas faces, com base no que a prática de mercado mostra de forma consistente.

A assimetria merece plano específico porque define a sustentabilidade da comunidade. Comunidades vivas adotam mecanismos de equilíbrio, como reputação interna por contribuição, compromisso mínimo de contribuir material validado por trimestre e curadoria rotativa entre membros. A organização que entra em comunidade apenas para receber costuma ser identificada rápido, e a consequência prática é receber também o material de menor valor, aquele que o emissor não se importaria de publicar publicamente.

Medir a reciprocidade evita que o desequilíbrio passe despercebido até a renovação da anuidade. Três números simples, reportados por trimestre, bastam: volume de eventos e atributos recebidos por comunidade, volume contribuído com marcação e validade, e taxa de acionamento do material recebido no ambiente. A comparação entre os três mostra se a participação está em equilíbrio, se a organização é consumidora líquida que precisa contribuir mais, ou se o canal está degradado a ruído e merece renegociação de escopo. Esses números alimentam também a pontuação de fonte da nota 07, que trata cada comunidade como fonte avaliável como qualquer outra.

O fluxo de contribuição merece desenho próprio, porque contribuição improvisada é contribuição que não acontece. O padrão funcional em comunidade MISP é uma fila de saída curta: observação interna confirmada vira evento rascunho com TLP e taxonomia aplicados; revisão semanal remove o que não é compartilhável e valida o que sobra; e o evento aprovado é publicado com distribuição adequada e referência de galáxia quando aplicável. O ciclo leva menos de uma hora por semana e produz exatamente o que a comunidade mais valoriza: material validado, com contexto e sem risco jurídico hereditário.

O risco jurídico pede parecer antes de adesão em setores regulados. Troca entre concorrentes sobre incidentes pode levantar questões de concorrência em algumas jurisdições, e materiais com dados pessoais de vítimas ou de funcionários envolvem LGPD desde a coleta. A regra prática é que a comunidade define o quadro legal em seus estatutos, mas a responsabilidade por cada contribuição é sempre do emissor, e material com dúvida séria fica em TLP mais restrito ou não circula.

8. Erros Comuns e Pontos de Atenção

• Consumir sem contribuir de forma sustentada; efeito: acesso degradado ao material de valor e reputação de free-rider; correção: compromisso formal de contribuição por ciclo, mesmo que modesto.
• Confundir confiança na comunidade com confiança no dado; efeito: IOC com erro em cascata entre membros; correção: aplicar avaliação da nota 07 a todo material recebido, inclusive de parceiro confiável.
• Deixar marcação TLP sem sistema; efeito: vazamento de material AMBER para fora da organização; correção: mapear TLP para permissões de sistema e treinar a regra de extrair com os times.
• Trocar em lista de e-mail o que deveria circular em STIX/TAXII; efeito: perda de proveniência, validade e controle de divulgação; correção: CSV anexado é exceção registrada, nunca hábito.
• Não validar antes de repassar; efeito: organização vira amplificadora de falso positivo; correção: checar contra telemetria própria antes de qualquer repasse.
• Esquecer a revisão de participação anual; efeito: anuidades por comunidades inativas ou fora de escopo; correção: avaliar cada comunidade como fonte, com métricas da nota 07.

9. Integração com o Restante da Biblioteca

O compartilhamento fecha o triângulo de coleta deste capítulo: a nota 01 cobre o aberto, a nota 02 o pago e oficial, e esta nota o colaborativo, e os três convergem no mesmo TIP com as mesmas exigências de avaliação. O material recebido de comunidade alimenta detecção pelo capítulo 03, sustenta hipóteses do capítulo 06 e enriquece o grafo analítico das plataformas do capítulo 09. A marcação TLP 2.0 praticada aqui é a mesma que o capítulo 22 desenvolve em política de colaboração e que o capítulo 13 toca em contra-inteligência, quando compartilhar pode avisar o adversário.

A contribuição de volta merece ser tratada como produto da biblioteca. Detecções validadas internamente, correlações de campanha e observações de infraestrutura, em TLP adequado, são o material que sustenta a participação da organização e que fecha o ciclo: a comunidade entrega antecipação, e a organização devolve validação. Sem essa devolução, o capítulo 02 termina em consumo; com ela, o programa de CTI passa a ter presença em rede, que é o requisito para os capítulos avançados de integração e de colaboração.