Avaliação da Credibilidade das Informações

Nota 07 do capítulo 05 (Análise e Produção de Inteligência), complemento direto da nota 06: agora o julgamento recai sobre cada informação, e não sobre a fonte.
Aborda a escala de 1 a 6, a corroboração entre fontes independentes, a proveniência em cadeia, os sinais de desinformação e o modelo RUET de degradação em quatro estágios.
Prepara as notas 08 e 09, que transformam informação avaliada em fatos, inferências e julgamentos com confiança calibrada.

1. Contexto e Posicionamento na Biblioteca

A mesma fonte produz itens de qualidade muito diferente, e é no item, não na fonte, que nasce a maioria dos erros analíticos. Uma pesquisa respeitada pode errar a motivação de um grupo; um canal anônimo pode acertar um detalhe técnico que ninguém mais tem. A nota 06 avaliou o produtor; esta nota avalia o produto, afirmação por afirmação, antes que qualquer julgamento seja construído sobre elas.

O posicionamento no capítulo é o de filtro fino: as notas anteriores cuidaram da produção e da avaliação das fontes; daqui em diante o material entra na construção de julgamentos. A credibilidade por informação é o que impede que inferência repetida vire fato, que eco de agregador vire corroboração e que desinformação bem embalada vire manchete de relatório. As notas 08 e 09 assumem que este filtro foi aplicado, e o capítulo 03 herda o resultado nos metadados dos indicadores.

2. Credibilidade por Informação: a Escala de 1 a 6

A nota é uma fotografia do estado da verificação, e não uma sentença definitiva: sobe com corroboração e desce com refutação. Ela viaja sempre acompanhada da letra da fonte, e o par completo, B3 por exemplo, lê-se como "fonte bastante confiável afirma algo possível". A diferença entre B1 e D1 é enorme para o leitor: a mesma informação confirmada muda de valor conforme quem a trouxe, e é exatamente essa diferença que o par preserva.

Em relatório, a regra de tradução é direta: afirmação com nota 1 pode ser escrita como fato verificado, desde que a corroboração seja citada; notas 2 e 3 pedem verbos de inferência, como "indica" e "sugere"; notas 4 e 5 não entram em julgamento sem justificativa explícita; nota 6 é estado de fila, e não de publicação. A nota 08 formaliza esses verbos, e a nota 09 converte o conjunto em nível de confiança. O erro clássico é publicar tudo com a linguagem da nota 1, porque é assim que inferência disfarçada de fato contamina relatórios subsequentes.

O mesmo item pode carregar pares diferentes em momentos distintos do caso, e o registro da evolução é parte da avaliação. O bloco abaixo mostra três leituras simultâneas de afirmações parecidas dentro do mesmo relatório, cada uma com seu par e sua consequência de redação.

Leitura do par em três situações do mesmo caso
B1: advisory de PSIRT respeitado confirma domínio já visto em dois
    feeds independentes; afirmação entra como fato verificado
A2: telemetria própria confirma loader descrito pelo feed comercial;
    a fonte sobe, a afirmação aguarda segunda confirmação
D4: canal anônimo alega o mesmo loader sem prova; a semelhança não
    sobe a nota, porque semelhança de conteúdo não é independência

3. Corroboração entre Fontes Independentes

Corroboração é o mecanismo que sobe notas, mas só vale quando as fontes são realmente independentes. Independência não é opinião: é teste de propriedade, método e cadeia. Duas fontes citando a mesma pesquisa original são uma fonte; um agregador revendendo o item de outra fonte é uma fonte; o mesmo ator postando com contas diferentes em fóruns distintos é uma fonte. A pergunta que precede qualquer soma é sempre a mesma: de onde a primeira fonte tirou o material e de onde a segunda tirou o dela.

• Método de coleta distinto: telemetria própria não corrobora com o feed que derivou o item do mesmo sensor.
• Propriedade e operação distintas: equipes sob o mesmo contrato ou dentro da mesma empresa contam como uma fonte.
• Ausência de cadeia comum a montante: consulte a origem primária de cada item antes de somar.
• Tempo e lugar de observação distintos: a mesma observação repetida no mesmo sensor não é segunda observação.
• Motivação distinta: quem se beneficia do conteúdo não corrobora quem o publicou.

A corroboração demonstrada sobe a nota em um degrau, de 3 para 2, e a confirmação com independência plena leva a 1. Duas fontes fracas não somam uma forte; o que elas somam é volume, e volume não é evidência. Quando a independência não puder ser demonstrada, registre a nota atual e a condição que a subiria, na forma de "nota 3 até confirmação por telemetria própria".

A corroboração também desce notas, e essa direção é menos intuitiva e mais valiosa. Contradição com telemetria primária força rebaixamento imediato da afirmação contradita, com registro do desfecho no item. Fontes independentes que se contradizem mantêm as duas afirmações em nota 3 ou inferior até que a disputa se resolva por evidência de terceira natureza, porque escolher o vencedor por simpatia é fechamento prematuro.

4. Proveniência em Cadeia

Toda informação viaja por uma cadeia desde o evento original, e cada elo pode distorcer, resumir ou dessensibilizar o conteúdo. A credibilidade efetiva de um item é a do elo mais fraco da cadeia conhecida, e não a da fonte que o entregou por último. O registro da cadeia é o que permite voltar ao elo certo quando algo não fecha; sem ele, o analista só tem a opção de confiar ou descartar.

Cadeia de um item sobre venda de acesso a empresa de logística
 1. Vendedor do acesso anuncia em fórum russo, com prova parcial (R)
 2. Pesquisador de fabricante interpreta e valida tecnicamente (U)
 3. Relatório do fabricante resume o caso para clientes (E)
 4. Nota do ISAC reproduz o resumo do relatório em reunião (E)
 5. Feed interno registra a nota do ISAC como item independente (E)
Efeito: o item chega com aparência de confirmação múltipla, mas há
uma única observação de origem e três repetições da mesma cadeia

A regra operacional é proporcional ao risco: para afirmações que sustentam decisões caras, vá à origem primária; para material de vigilância, registre a cadeia e siga. O TIP da biblioteca guarda a cadeia no metadado de proveniência descrito no capítulo 02, e o analista deve consultá-la sempre que um item aparecer "confirmado" por fontes demais. Confirmação barata demais costuma ser a mesma observação contada várias vezes.

5. Sinais de Desinformação

Desinformação em CTI não é teoria da conspiração: é prática documentada, de IOCs envenenados em feeds a reivindicações falsas de autoria plantadas para desviar a resposta. Casos públicos de personas falsas e artefatos plantados para imitar outros grupos, como os relatos sobre operações do tipo Ghostwriter, mostram que o plantio de narrativa faz parte do arsenal. O analista não precisa adjudicar motivação em público; precisa detectar o sinal, registrar e tratar a afirmação com nota baixa até resolver.

Nenhum sinal isolado condena uma informação: cada um pede a verificação da coluna final. O padrão que importa é a concentração de sinais no mesmo item, especialmente quando o item pede ação rápida, bloqueio em massa ou atribuição pública. Nesses casos, o protocolo da biblioteca é submeter o item ao ciclo normal de verificação mesmo sob pressão, e registrar no relatório por que a decisão demorou.

6. Erros de Tradução e o Modelo RUET

O modelo RUET, usado na tradição de inteligência militar aliada, grada a credibilidade de um relato em cada ponto de entrega da cadeia: R de reported, quando a fonte relata; U de understood, quando o receptor entende; E de employed, quando o item é processado e registrado; T de translated, quando há conversão de idioma. A credibilidade efetiva é a mais baixa da sequência, salvo restauração por corroboração ou reverificação direta na origem. O modelo existe porque cada entrega é um ponto onde o sentido pode mudar sem que ninguém perceba.

A correspondência com CTI é direta. O post em russo anunciando "dostup" oferece acesso a ambiente, e não uma vulnerabilidade; a tradução automática pode trocar termos em gíria; o resumo do fabricante comprime condições, transformando "em um cliente, com MFA desativado" em "funciona contra vítimas"; o feed final remove o que sobrou. O exemplo abaixo grada os quatro estágios de um item de venda de acesso:

Item: anúncio de venda de acesso a provedor de saúde
R 3: relato plausível do vendedor, sem prova anexada
U 3: gíria de fórum interpretada com apoio de falante nativo
E 4: resumo do agregador trocou "acesso a VPN" por "acesso root"
T 3: retradução revisada restaurou o sentido original
Efetivo: 4, regido pelo resumo, até reverificar o item na origem
Ação: usar o relato original no ticket; descartar o resumo

A regra de ouro do modelo: quando o estágio E ou T falha, o remédio é voltar ao relato original, e não ajustar a nota do item às cegas. Guardar o original no ticket, com link e horário, custa um minuto e preserva a cadeia inteira para auditoria. Relatos que só existem como resumo de resumo permanecem com nota baixa até que a origem apareça.

7. Exemplo de Avaliação Completa

A afirmação em avaliação é: "um afiliado do grupo FIN11 está distribuindo loader via anúncios patrocinados de ferramentas de contabilidade". Três insumos chegam: blog de fabricante com capturas, nota privada do ISAC citando dois membros e um hash correspondente em execução no EDR interno. O trabalho é gradar cada afirmação separadamente, porque uma delas é observação direta e as outras são interpretações de origens distintas.

O registro da avaliação segue o formato do TIP, com data, gatilho de revisão e a ação definida para cada afirmação não resolvida. O modelo abaixo é o mínimo profissional esperado nos casos do capítulo, e a ausência do gatilho de revisão é o que transforma fotografia em sentença eterna.

registro_avaliacao:
  relatorio: RPT-2025-121
  data: 2025-06-10
  afirmacoes:
    - id: A1
      texto: "Distribuição por anúncios patrocinados"
      par: C2
      nota: 2
      acao: "Solicitar ao fabricante a telemetria do canal de entrega"
      revisar_se: "Nova vítima confirmar anúncio em cache de busca"
    - id: A2
      texto: "Afiliação ao grupo FIN11"
      par: C2
      nota: 3
      acao: "Manter como possível; sem métrica para subir"
      revisar_se: "Sobreposição de infraestrutura com campanha atribuída"

A nota privada do ISAC não sobe a credibilidade da afiliação, porque os dois membros citados comentam o blog do fabricante, e não o fenômeno; é eco, e não corroboração. O hash é fato observado com par A1, mas o rótulo "FIN11" que acompanha o hash não herda o A1: a execução confirma o binário, não a afiliação. O relatório final mantém as três notas separadas, e a distinção entre o que a telemetria confirma e o que a interpretação sugere é exatamente o tema da nota 08.

8. Erros Comuns e Pontos de Atenção

• Gradar a fonte e herdar a nota para todas as afirmações; efeito: informação ruim da fonte boa passa sem verificação; correção: nota por afirmação, sempre.
• Contar eco como corroboração; efeito: item com "quatro confirmações" que são uma única observação; correção: teste de independência antes de somar.
• Aceitar resumo como original; efeito: distorção do estágio E vira conteúdo do relatório; correção: ir à origem primária quando a afirmação sustenta decisão.
• Publicar nota 6; efeito: fila disfarçada de análise; correção: nota 6 é estado interno, e o relatório diz o que falta para julgar.
• Ignorar sinais de desinformação por pressa; efeito: ação errada em massa sob janela curta; correção: protocolo de verificação mesmo sob pressão, com registro do motivo.
• Confundir tradução literal com tradução técnica; efeito: sentido técnico invertido no meio da cadeia; correção: revisão por quem conhece o domínio, com o original anexado.
• Deixar a nota sem data; efeito: fotografia velha lida como atual; correção: data da avaliação e gatilho de revisão em todo item.

9. Integração com o Restante da Biblioteca

A nota 06 fornece a letra, esta nota o número, e o par viaja pelo resto da biblioteca: os indicadores do capítulo 03 carregam confiança derivada do par, as categorias da nota 08 assumem afirmações graduadas, a nota 09 converte o conjunto em níveis de confiança e a nota 10 usa notas baixas como peso reduzido na matriz de hipóteses. O capítulo 13 recolhe os sinais de desinformação como material de contra-inteligência, e o capítulo 11 usa a proporção de afirmações com nota 1 confirmada em relatórios como métrica de qualidade da produção.

Na implementação, o MISP publica a taxonomia admiralty-score com predicados separados para a letra da fonte e o número da informação, o que permite filtrar sincronizações por nota mínima sem perder o par original. Em STIX 2.1, a convenção da biblioteca é converter o número para o campo confidence de 0 a 100 e preservar o par completo em propriedade personalizada, porque a conversão numérica atende a máquinas e a leitura humana continua precisando da letra e do número. A terceira peça é a operação: revisão das notas em gatilhos de evento, com data e motivo, seguindo o mesmo ciclo de reavaliação descrito na nota 06.