Decepção e Manipulação do Adversário

Nota 03 do bloco CI Ofensiva (Detectar, Enganar, Neutralizar), capítulo 13 (Contra-Inteligência).
Apresenta a teoria da decepção com o ciclo MAGPIE, as alavancas de manipulação de custo e percepção do adversário e a decepção defensiva de rede, com arquitetura de exemplo.
Dialoga com as notas 01 e 02 deste bloco, com a nota 05 do capítulo 02 (Honeypots e Honeynets) e com o controle CTI.10 do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

Decepção é a arte de fazer o adversário acreditar em algo falso de modo que ele decida e aja contra o próprio interesse. Na contra-inteligência corporativa, isso se traduz em duas alavancas concretas: manipular a percepção do adversário sobre o ambiente (o que vale, o que é monitorado, o que é seguro tocar) e manipular o custo de operação dele (tempo de triagem, risco de queima, retorno decrescente de cada movimento). A nota 02 deste bloco forneceu o vocabulário e as peças; esta nota fornece a teoria que explica por que as peças funcionam e a arquitetura que as organiza em sistema.

A posição na biblioteca é deliberada: entre a operação da nota 01, que governa o engajar, e a neutralização da nota 04, que encerra o ciclo contra capacidades. A decepção é o instrumento central da fase de condução e, ao mesmo tempo, uma postura permanente de arquitetura, porque terreno falso bem desenhado trabalha 24 horas por dia sem que exista operação em curso. Todo o desenho desta nota assume o princípio da nota 01: esconder, encaminhar e observar são legítimos; atrair para dentro e induzir não são.

2. Teoria da Decepção e o Ciclo MAGPIE

O planejamento de decepção na tradição de contraespionagem é sistematizado pelo ciclo MAGPIE, que nomeia os cinco elementos de qualquer engano completo. O M de mark designa o alvo, o adversário específico cuja percepção se quer manipular, e exige que o planejador saiba quem ele é, como reconhece e como decide. O A de aim designa o objetivo do engano, a ação que o alvo deve tomar ou deixar de tomar, formulada como comportamento observável e não como desejo. O GP de grand plan designa o plano-mestre, a história falsa que será contada por meio de indícios, coerente com o que o alvo já acredita. O I de incentive designa a isca, o elemento que torna a história atraente e plausível para o alvo. O E de event designa o evento que entrega a isca ao alvo no momento e no canal certos, porque engano não visto não engana.

A lição operacional do MAGPIE é que a decepção falha nos extremos do ciclo, não no meio. Engano sem mark bem definido é ruído; sem aim observável não pode ser avaliado; sem plano-mestre coerente desmorona no primeiro cruzamento de informações; sem incentivo não é acreditado; sem evento nunca chega ao alvo. A tabela funciona como checklist de desenho: qualquer isca do inventário da nota 02 que não responda aos cinco campos está incompleta, e o programa que não consegue preencher o mark ainda não está pronto para decepção ativa, devendo limitar-se a terreno falso passivo.

A implantação exige formalização, e o formato abaixo materializa os cinco elementos como campos de registro por isca, no mesmo estilo do inventário da nota 02. A regra do gate é simples: peça sem os cinco campos preenchidos não entra em produção, porque engano sem plano-mestre é exposição com custo, não com retorno.

# Checklist MAGPIE por isca: gate de implantação
- isca: portal-isca-acesso-remoto-01
  mark: operador_dirigido_com_reconhecimento_ativo_na_marca
  aim: desviar_o_operador_do_sso_real_para_o_portal_isca
  grand_plan: ambiente_legado_mal_cuidado_com_acesso_facil
  incentive: credencial_canario_com_privilegios_aparentes
  event: exposicao_do_portal_em_face_externa_com_resposta_rapida
  verificacao: comportamento_observavel_no_siem_em_janela_definida

3. Manipulando Custo e Percepção do Adversário

A primeira alavanca de percepção é reduzir o valor percebido das credenciais. Quando a organização deixa claro, por meio de iscas, que credenciais circulam em quantidade e que nem todas valem, o adversário precisa testar e duvidar de cada uma, e o custo de verificação se soma a cada passo. O mecanismo é o envenenamento da confiança na própria coleta: uma credencial canário queimada de forma plausível faz o operador tratar as demais com suspeita, e suspeita custa tempo, movimento e exposição. O mesmo vale para dados: documento marcado no meio de arquivos reais degrada a confiança em todos os documentos, mesmo que apenas um seja isca.

A segunda alavanca é canalizar o movimento para terreno monitorado. O desenho de rede pode fazer o caminho falso ser o mais fácil: o portal isca responde mais rápido, o compartilhamento falso aparece antes na enumeração, o servidor com "credenciais salvas" é o primeiro que a ferramenta do operador encontra. Nenhuma barreira precisa ser levantada contra o caminho real; basta que o caminho falso seja o caminho de menor resistência, o que preserva a lição ética da nota 01, esconder sem atrair.

A terceira alavanca é inflar o custo de triagem de forma controlada. Terreno falso em volume adiciona ruído ao reconhecimento do adversário: nomes de host fictícios, subnets esboçadas, serviços que existem apenas para responder. O adversário precisa processar tudo isso antes de tocar o real, e cada hora de triagem é hora em que a detecção tem chance de ver. A tabela resume as alavancas e o limite de cada uma.

Um exemplo numérico torna a alavanca mensurável. Uma campanha de reconhecimento sem engano custa ao adversário poucos dias entre enumeração e choque de credenciais válidas; com terreno falso em volume e credenciais canário misturadas, o mesmo operador gasta dias em triagem de ativos fictícios, testa credenciais que o denunciam e cada teste reforça o mapa que a defesa tem dele. O custo não desaparece para a organização, mas migra para ativos que ela controla por completo, e a diferença entre pagar com tempo de produção real e pagar com tempo de terreno falso é exatamente a vantagem que o programa entrega.

4. Decepção Defensiva de Rede: Ilusão e Labirintos

A defesa em profundidade ilusória aplica a lógica da camada ao plano perceptivo: o adversário que rompe a primeira barreira encontra não o ambiente real, mas uma primeira camada fictícia atrás da qual existe outra, e outra. Cada camada ilusória multiplica o custo de avançar sem aproximar do real, e a cronometragem interna de todas as camadas dá à detecção o tempo que a produção não pode dar. O desenho típico coloca a camada ilusória no mesmo espaço lógico do real, indistinguível na enumeração, e garante que nenhum dado real esteja em nenhuma delas.

O labirinto de rede formaliza a mesma ideia com rotas: múltiplos caminhos entre segmentos, dos quais apenas alguns existem de fato, com desvios que levam a réplica isca em vez de produção. O operador que enumera o ambiente vê um mapa coerente; quando tenta atravessá-lo, cada travessia escolhida é registrada, e as travessias erradas o levam a terreno falso onde o tempo passa a favor da defesa. Ferramentas de honeypot de alta interação e proxies de engano implementam versões desse padrão, mas o princípio é de arquitetura, não de produto: o labirinto nasce do desenho de endereçamento, de DNS e de controle de tráfego. Os mecanismos implementáveis do labirinto cabem em um inventário curto, e cada um tem dono e telemetria próprios:

• DNS interno com zonas fictícias: hostnames e subnets que só existem para responder enumeração e revelar método.
• Réplicas de serviço em segmento isca: portais e arquivos que respondem como produção, sem dado real em nenhum campo.
• Rotas controladas por ACL: caminhos que conduzem a terreno falso conforme a escolha do operador, sem barreira contra o caminho real.
• Proxies de engano: intermediários que respondem por serviços inexistentes e registram a interação integral.

A diferença para o honeypot do capítulo 02 é de papel: honeypot é sensor isolado que coleta quem o toca; a arquitetura de decepção é o ambiente inteiro contando uma história. Nenhum dos dois substitui o outro, e a implantação madura começa pelos honeytokens baratos da nota 02, evolui para segmentos isca e só então constrói labirintos completos, na mesma curva de maturidade que o restante do capítulo 15 formaliza por níveis. O exemplo abaixo ilustra a zona de decoy em DNS interno, com hosts que só existem para a enumeração adversária e comentário de governança em cada registro:

; Zona de decoy no DNS interno: hosts que so existem para enumeracao
$ORIGIN decoy.corp.example.
srv-rh-01    IN A 10.60.1.11   ; replica isca, sem dado real
srv-fin-02   IN A 10.60.1.12   ; replica isca, alerta critico no acesso
docs-01      IN A 10.60.1.20   ; compartilhamento falso
print-01     IN A 10.60.1.25   ; servico inexistente, proxy de engano responde

5. Limites Legais e Éticos da Manipulação

O primeiro limite é a distinção entre esconder e atrair. Esconder é legítimo: a organização não tem obrigação de revelar sua arquitetura, e terreno falso passivo, credenciais sintéticas e caminhos ilusórios apenas acrescentam informação falsa a quem tenta obter acesso não autorizado. Atrair é diferente: desenhar o ambiente para transformar um indivíduo que não atacaria em atacante, por exemplo publicando convites explícitos, desafios ou promessas de ganho, sai do campo da defesa e entra no campo da indução, que nenhuma política corporativa séria autoriza. A regra editorial do capítulo é a da nota 01: iscas permanecem no caminho natural de quem já decidiu agir.

O segundo limite é o tratamento de dados pessoais e de terceiros. Sessões em terreno falso capturam informação sobre pessoas identificáveis, inclusive do próprio adversário, e o programa precisa de base legal, retenção limitada e sigilo, conforme a LGPD e a nota 03 do capítulo 12. O terceiro limite é a fronteira: nenhuma peça de decepção pode atacar de volta, espalhar conteúdo para infraestrutura alheia ou usar terceiros sem saber, e o egress de todo terreno falso segue o padrão restritivo da nota 05 do capítulo 02. O quarto limite é interno: engano contra funcionários, inclusive para testes de disposição, é matéria de RH e de política formal, não de contra-inteligência, e misturar os dois destrói o programa. A fronteira pede exemplo concreto para não virar frase de efeito: um compartilhamento isca dentro do ambiente, com nome plausível e permissão de leitura ampla, é esconder, porque a presença dele não muda o cálculo de quem já decidiu explorar compartilhamentos; um e-mail em massa anunciando que existe um cofre de senhas fácil de abrir é atrair, porque cria o interesse que não existia. Entre os dois extremos, a dúvida sempre se resolve pela pergunta: o engano encurta o caminho de quem já caminha, ou cria o caminho?

6. Implementação Prática: Arquitetura de Decepção

A arquitetura mínima organiza o engano em quatro camadas concêntricas, do perímetro para os dados, cada uma com mecanismo e objetivo próprios. O inventário abaixo descreve a estrutura de referência; os valores são sintéticos e a regra de ouro é que nenhum campo aponte para dado real de produção.

# Arquitetura de referencia de decepcao em quatro camadas
perimetro:
  mecanismo: subdominios_canario_e_face_externa_isca
  objetivo: detectar_reconhecimento_dirigido
  telemetry: dns_zeek_+_log_do_portal_isca
dmz:
  mecanismo: segmento_isca_com_servicos_replicados_sem_dado_real
  objetivo: canalizar_movimento_para_terreno_monitorado
  telemetry: captura_integral_+_egress_por_whitelist
rede_interna:
  mecanismo: hostnames_e_subnets_ficticias_em_dns_interno
  objetivo: inflar_triagem_e_revelar_metodo_de_enumeracao
  telemetry: logs_de_dns_interno_e_alertas_de_isca_de_rede
identidade_e_dados:
  mecanismo: credenciais_canario_e_documentos_marcados
  objetivo: desvalorizar_credenciais_e_marcar_estagio_pre_exfiltracao
  telemetry: eventos_4624_e_beacons_de_documento_no_siem
regras_globais:
  - nenhum_dado_real_em_nenhuma_camada
  - egress_restrito_e_auditoria_integral
  - cada_mecanismo_com_dono_hipotese_e_revisao

A implantação segue um fluxo de seis passos, executado em ordem e com registro:

1. Inventariar o que pode ser imitado: serviços, caminhos e dados que fazem sentido no contexto real da organização.
2. Definir o mark e o aim: para quem a história conta e que comportamento observável ela busca produzir.
3. Construir a camada isca: segmento, DNS, identidade e dados sintéticos verossímeis, revisados pelos donos.
4. Ligar telemetria: cada mecanismo com alerta priorizado e rota para o SIEM antes da ativação.
5. Homologar com os donos: aplicação, IAM e operações aprovam o impacto em produção e os falsos positivos aceitáveis.
6. Ativar e medir: as métricas da sequência no painel, com revisão mensal e rotação guiada por indicador.

A avaliação da arquitetura usa três métricas centrais, todas observáveis sem depender de incidente. A taxa de interação com terreno falso mede a proporção de contatos que escolhem o caminho falso, e o valor saudável cresce com a maturidade do desenho. O tempo médio entre entrada e primeira interação com isca mede quanto o adversário demora a morder, que é tempo ganho para a detecção. A razão entre eventos de isca e eventos de produção no SIEM mede o quanto o engano contribui para o sinal total, e cai quando o adversário aprende, sinal de hora para rotacionar as peças.

A maturidade do programa de decepção cresce por estágios observáveis, e a tabela abaixo resume a progressão usada no planejamento anual:

7. Erros Comuns e Pontos de Atenção

• Desenhar engano sem mark definido; efeito: ruído sem destinatário e custo sem retorno; correção: só ativar decepção ativa com perfil de operador existente, manter terreno falso passivo no resto.
• Não formular o aim como comportamento observável; efeito: engano impossível de avaliar; correção: objetivo expresso como ação mensurável no SIEM.
• Incoerência entre peças da história; efeito: plano-mestre desmorona e queima toda a malha; correção: revisão cruzada de datas, versões e nomes entre iscas.
• Usar isca como convite; efeito: indução de quem não atacaria e exposição ética; correção: iscas só no caminho natural, sem desafios ou promessas.
• Deixar dado real em qualquer camada ilusória; efeito: vazamento efetivo por via própria; correção: dados sintéticos e revisão prévia por dono do ativo.
• Construir labirinto que quebra a operação própria; efeito: falso positivo permanente e conflito com times de aplicação; correção: piloto em segmento isolado e homologação com os donos.
• Ignorar a métrica de deterioração; efeito: malha conhecida e inútil seguindo ligada; correção: rotação programada guiada pela razão isca sobre produção.
• Documentar só a técnica, não a história; efeito: equipe nova não sabe o que cada peça conta e desconstrói o plano-mestre; correção: registro do plano-mestre junto ao inventário de iscas.
• Definir aim sem dono de decisão; efeito: engano que ninguém autoriza nem encerra; correção: mandato ligado ao comitê da nota 01, com prazo e critério de encerramento.
• Confundir volume de iscas com maturidade; efeito: malha inchada sem telemetria e sem história coerente; correção: avançar por estágio com métrica, conforme a tabela de maturidade.

8. Integração com o Restante da Biblioteca

A teoria desta nota conecta os capítulos técnicos ao quadro de contra-inteligência: os honeypots e honeytokens do capítulo 02 ganham fundamento teórico no MAGPIE, os controles de rede e identidade do capítulo 15 ganham camada perceptiva, e as métricas do capítulo 11 recebem indicadores que medem vantagem e não apenas atividade. A linha do tempo das camadas alimenta diretamente as hipóteses de hunting do capítulo 06: contato que está no terreno falso é hipótese pronta, com dataset separado por construção.

Dentro do capítulo 13, a decepção é o meio da operação da nota 01 e prepara o terreno da neutralização da nota 04: um adversário que operou meses em terreno falso revelou infraestrutura, ferramentas e ritmo, material que a nota 04 converte em ações legais de remoção de capacidade. A pasta 04 do capítulo formaliza o ciclo de CI que absorve essas lições, e a pasta 06 registra a tradição teórica da qual o MAGPIE emerge. O ponto de síntese técnica: engano maduro não é produto comprado, é propriedade da arquitetura, e a prova de que ele funciona não é o alerta que dispara, e sim o caminho que o adversário escolhe sem saber que escolheu.