PLT.4 - Gestão de Fontes de Inteligência

Controle PLT.4 do grupo PLT (Plataformas de Inteligência de Ameaças) do Framework CTH, derivado do Capítulo 8 do PDF de referência. Define a gestão sistêmica das fontes que abastecem as plataformas de inteligência, cobrindo tipologia, catálogo, avaliação de confiabilidade, deduplicação, expiração e rotação. O controle sustenta CTI, DAT e PLT.1/PLT.2 ao garantir que a inteligência produzida reflita fontes diversas, avaliadas e mensuradas, e não apenas o acúmulo de feeds.

1. Contexto e Posicionamento no Framework CTH

A qualidade da inteligência produzida é diretamente proporcional à qualidade e à diversidade das fontes utilizadas. Fontes únicas ou homogêneas criam viés analítico e deixam lacunas de cobertura; fontes de baixa confiabilidade introduzem ruído e falsos positivos que sobrecarregam o SOC. O Framework CTH trata a gestão de fontes como controle próprio, porque o problema raramente é a falta de feeds, e sim a ausência de avaliação, deduplicação e desligamento.

Este controle opera acima das plataformas do PLT.1 e do PLT.2, decidindo o que entra, com qual confiança e por quanto tempo permanece. A gestão sistêmica cobre o ciclo completo de cada fonte: categorização, avaliação antes do onboarding, monitoramento contínuo de qualidade e offboarding estruturado quando o valor cai. O objetivo é maximizar o retorno do programa de CTI com recursos limitados de tempo, cota de API e orçamento.

2. Tipologia de Fontes

As fontes devem ser categorizadas em cinco tipos básicos, cada um com valor e risco próprios. A categorização orienta a estratégia de cobertura, porque tipos distintos enxergam partes diferentes do panorama de ameaças. A tabela resume os tipos essenciais adotados pelo Framework CTH.

Nenhuma combinação dispensa a telemetria interna, que é a única fonte capaz de validar indicadores contra o ambiente real. A distribuição saudável costuma combinar telemetria interna com pelo menos uma fonte de cada outro tipo, ajustada aos PIRs do ciclo de inteligência. A falta de qualquer tipo cria ponto cego previsível, documentável no relatório de cobertura de fontes.

3. Catálogo de Fontes e Atributos Obrigatórios

Todo programa precisa de um inventário vivo das fontes ativas e potenciais, revisado trimestralmente. O catálogo transforma decisões implícitas em dados gerenciáveis e é a base para métricas de qualidade e renovação de contratos. Para cada fonte, os atributos mínimos são os seguintes:

• Nome, tipo da fonte, método de acesso e responsável pela gestão interna.
• Formato de entrega, como STIX/TAXII, CSV, JSON ou API proprietária, e frequência de atualização.
• Latência típica entre o evento no mundo e a publicação, com alvo definido em SLA.
• Escopo e cobertura de tipos de ameaça, mapeados aos PIRs ativos.
• Custo anual, TLP máximo recebido e classificação inicial de confiabilidade.

O exemplo abaixo ilustra uma entrada de catálogo em formato estruturado, pronta para controle em repositório versionado. O formato exato varia por organização, mas o conjunto de campos deve permitir comparar fontes entre si em comitês de avaliação.

O catálogo também cumpre função de comunicação com áreas externas ao CTI. Compras e jurídico usam os campos de custo e de TLP máximo recebido em renegociações e acordos; a liderança usa a coluna de relevância por PIR para entender a conexão entre gasto e prioridade de negócio. Manter o catálogo visível internamente, com dono definido, evita que decisões de contratação de inteligência ocorram sem a equipe de CTI ser consultada.

fonte:
  nome: Feed público de C2 (exemplo)
  tipo: OSINT
  formato: STIX 2.1 via TAXII 2.1
  frequencia: a cada 30 minutos
  latencia_alvo_horas: 6
  tlp_maximo_recebido: green
  confiabilidade_base: B
  custo_anual: 0
  pir_relacionados: [PIR-02, PIR-05]
  metricas:
    taxa_acionamento: 0.07
    taxa_falso_positivo: 0.03

4. Avaliação de Confiabilidade e Credibilidade

A avaliação clássica usa o modelo Admiralty, com duas notas combinadas. A nota da fonte, de A a F, mede a confiabilidade histórica da origem, e a nota da informação, de 1 a 6, mede a credibilidade do conteúdo específico. As duas notas são independentes, porque uma fonte confiável pode relatar informação não corroborada, e uma fonte desconhecida pode acertar.

Além do Admiralty, o programa deve manter pontuação própria, calculada a partir de métricas observáveis no ambiente. Uma pontuação prática combina taxa de acionamento no ambiente, taxa de falsos positivos e exclusividade da informação, recalculada mensalmente. A pontuação interna substitui impressões pessoais por evidência, e a tabela de origem registra a nota Admiralty de cada item recebido, permitindo auditoria futura das decisões analíticas.

Um exemplo numérico torna o método claro. Uma fonte OSINT com taxa de acionamento de 7 por cento, falsos positivos de 3 por cento e exclusividade de 40 por cento merece prioridade sobre um feed genérico com acionamento de 1 por cento, mesmo que o segundo seja gratuito. Para fontes comerciais, a mesma pontuação interna, confrontada com o custo anual, vira argumento objetivo em renovação de contrato, substituindo a percepção de valor por dados comparáveis.

5. Deduplicação e Resolução de Conflitos

A deduplicação começa pelo valor técnico, normalizado antes da comparação. Domínios em caixa alta, IPs com notação diferente e hashes em maiúsculas devem virar forma canônica, senão a mesma informação conta três vezes e infla estatísticas. No nível de plataformas, o MISP já correlaciona valores idênticos, e o OpenCTI reúne observáveis por valor, mas a deduplicação semântica continua responsabilidade da equipe.

O conflito entre fontes é o caso mais delicado, exemplificado por um mesmo IP com rótulos diferentes: uma fonte declara C2 de botnet e outra declara domínio de phishing. O procedimento recomendado evita decisão apressada e segue etapas claras:

1. Registrar todas as afirmações com fonte, data e nota Admiralty de cada uma.
2. Verificar sobreposição temporal, porque infraestrutura muda de função em poucos dias.
3. Buscar corroboração em fonte independente ou na telemetria interna do ambiente.
4. Aplicar o rótulo mais restritivo enquanto a dúvida persiste, com revisão em janela curta.
5. Documentar a decisão final no catálogo, criando precedente consultável para conflitos futuros.

A tabela abaixo ilustra a resolução do conflito clássico do mesmo IP com rótulos divergentes. O registro exemplo mostra como cada afirmação permanece rastreável, com data e nota de origem, até a decisão final documentada.

6. Vida Útil de Indicadores e Expiração

Indicadores não têm validade infinita, e a expiração deve ser definida por tipo e não por regra única. Vida útil excessiva gera falsos positivos e custo de processamento; vida útil curta demais descarta material ainda útil em investigações históricas. A tabela traz referências práticas, a calibrar com a telemetria própria.

A política de expiração deve estar implementada nas exportações, e não apenas no papel. Indicadores vencidos saem da lista enviada ao SIEM e ao EDR, mas permanecem consultáveis na base histórica para investigações forenses. A revisão periódica confirma se as janelas praticadas acompanham o comportamento real dos adversários que visam a organização.

Comportamentos merecem nota adicional nessa política. IOAs e IOBs normalmente se expressam como regras Sigma, YARA ou lógica de correlação, e não como valores soltos em um feed, e por isso o desligamento desses artefatos segue o ciclo de revisão de detecções, e não a expiração automática. Cada revisão deve registrar se a técnica ainda aparece na telemetria recente do ambiente, convertendo a decisão de aposentar uma regra em processo datado e auditável.

7. Métricas de Qualidade e Rotação de Fontes

Métricas objetivas por fonte transformam a gestão em decisão reprodutível. As métricas mínimas recomendadas são as seguintes, calculadas mensalmente por fonte e comparadas no comitê de CTI:

• Taxa de acionamento no ambiente: percentual de indicadores da fonte que geram correspondência real na telemetria interna em janela de 30 dias.
• Taxa de falsos positivos: percentual de acionamentos que a triagem concluiu serem benignos ou incorretos.
• Cobertura de tipos de ameaça: categorias cobertas pela fonte, confrontadas com os PIRs ativos.
• Exclusividade: percentual do material que não aparece em outras fontes já contratadas.
• Aderência a SLA: percentual de entregas dentro da latência e da frequência acordadas.

A rotação periódica fecha o ciclo. Fontes com acionamento próximo de zero por dois trimestres, falsos positivos acima do limite acordado ou cobertura que não dialoga com nenhum PIR ativo entram em lista de desligamento, com decisão documentada. A rotina evita o acúmulo passivo de feeds pagos que ninguém lê, e libera tempo de triagem e orçamento para fontes com desempenho comprovado. Renovações de contrato de fontes comerciais devem citar as métricas do semestre, convertendo a gestão em poder de negociação.

Fontes de dark web e de HUMINT merecem tratamento complementar nas métricas, porque raramente produzem acionamento direto em telemetria. Para esses tipos, avalie antecipação documentada, como campanhas reportadas antes de aparecerem em feeds públicos, e qualidade do contexto analítico entregue. Registre também o custo de verificação, já que material não corroborado exige trabalho humano antes de virar detecção.

8. Implementação Prática e Salvaguardas por Nível

O Framework CTH organiza as salvaguardas do controle em três níveis cumulativos. Cada nível exige evidência arquivada, e a coluna de entregável orienta a auditoria. A tabela resume os objetivos.

9. Erros Comuns e Pontos de Atenção

Os erros abaixo são recorrentes e costumam passar despercebidos enquanto a operação cresce. Cada item traz o efeito observável e a correção recomendada.

• Acumular feeds sem avaliar, somando fontes pela quantidade; efeito: ruído crescente e analistas que ignoram alertas; correção: catálogo com métricas e comitê mensal de avaliação.
• Tratar fonte comercial como verdade absoluta; efeito: decisões sem corroboração e dependência excessiva; correção: nota Admiralty em todo item e verificação cruzada para material crítico.
• Falta de deduplicação entre fontes; efeito: estatísticas infladas e triagem repetida; correção: normalização canônica de valores antes da comparação.
• Expiração única para todos os tipos de indicador; efeito: falsos positivos de IPs velhos ou descarte prematuro de hashes; correção: janelas por tipo, conforme a seção 6.
• Desligar fonte pelo custo sem medir exclusividade; efeito: perda de cobertura única; correção: métrica de exclusividade no ranking antes da decisão.
• Medir exclusividade como soma bruta de itens; efeito: fontes de volume alto parecem valiosas; correção: ponderar exclusividade pela taxa de acionamento real.
• Onboarding sem dono definido; efeito: fonte órfã que falha silenciosamente; correção: responsável nomeado no catálogo com periodicidade de checagem.

10. Integração com Outros Controles do Framework CTH

O PLT.4 é o filtro de qualidade de todo o pipeline de inteligência. As fontes aprovadas alimentam o PLT.1 e o PLT.2, as notas de confiabilidade acompanham os objetos em STIX via confiança e marcação, e as métricas de acionamento retroalimentam DAT e AUT, que ajustam quais indicadores merecem detecção ativa. O compartilhamento do PLT.5 também depende daqui, porque contribuições externas só devem sair com avaliação de confiabilidade e revisão de TLP.

No plano de maturidade, o marco Básico exige catálogo vivo e processo de avaliação em uso; o Intermediário exige SLAs de frescor monitorados e métricas de qualidade por fonte; o Avançado exige ranking automático que direcione orçamento e atenção da equipe. A métrica de fechamento é a razão entre fontes com desempenho comprovado e fontes totais, que deve subir a cada ciclo de rotação, sinalizando um portfólio enxuto e orientado por PIR.