PLT.5 - Compartilhamento de Inteligência (TLP)

Controle PLT.5 do grupo PLT (Plataformas de Inteligência de Ameaças) do Framework CTH, derivado do Capítulo 8 do PDF de referência. Define o TLP 2.0 como protocolo de controle de divulgação e estabelece a cultura de compartilhamento responsável com a comunidade de defesa. O controle sustenta CTI, PLT.1, PLT.2 e PLT.3 ao garantir que a inteligência circule para quem precisa, na velocidade necessária, sem expor a organização nem os parceiros.

1. Contexto e Posicionamento no Framework CTH

A defesa coletiva multiplica o valor da inteligência. Enquanto adversários compartilham livremente ferramentas, técnicas e infraestrutura em fóruns e marketplaces, defensores isolados enfrentam sozinhos campanhas que já passaram por dezenas de organizações. O compartilhamento reduz o tempo de detecção, porque indicadores validados por outros podem ser implementados preventivamente, e contribui para a segurança coletiva do setor. O Framework CTH trata o compartilhamento não como opcional, mas como obrigação ética e estratégica da comunidade de cibersegurança.

Compartilhar sem controle, porém, gera riscos legais, contratuais e operacionais. Dados de incidentes podem expor clientes, vulnerabilidades não corrigidas ou informações pessoais; conteúdo de parceiro pode circular além do permitido e quebrar confiança construída em anos. O TLP 2.0 (Traffic Light Protocol, versão 2.0, mantido pela FIRST) resolve esse dilema com um vocabulário pequeno e universal de regras de divulgação, aplicável a relatórios, tickets, plataformas e conversas. Este controle define como aplicar o TLP tecnicamente e culturalmente, com o PLT.3 garantindo que a marcação viaje embutida nos objetos STIX.

2. Níveis do TLP 2.0 e Regras de Divulgação

O TLP 2.0 define cinco níveis, que substituem a nomenclatura antiga e eliminam a tag TLP:WHITE. Cada nível responde a duas perguntas: quem pode receber o conteúdo e com quais cautelas. A escolha correta do nível é decisão analítica no momento da criação do produto, e não decisão administrativa posterior.

Três cuidados evitam erros de classificação. Primeiro, AMBER+STRICT é novo no 2.0 e exige destinação explícita de pessoas ou grupos, diferente do AMBER clássico que permite retransmissão interna. Segundo, TLP:RED não proíbe conversas internas entre quem já recebeu o material, e sim qualquer divulgação adicional. Terceiro, a marcação deve seguir o formato padrão com dois pontos, como TLP:AMBER, e permanecer legível em cópias parciais do documento.

O TLP é um protocolo social, e não um controle técnico por si só. Ele descreve permissões de divulgação para humanos e para processos, mas não criptografa, não bloqueia cópias não autorizadas nem impede erros por conta própria. A implementação técnica da seção 4 existe justamente para traduzir as regras sociais do protocolo em controles verificáveis de plataforma e pipeline.

2.1 Escolha do Nível em Cinco Perguntas

Para acelerar decisões no dia a dia, a política interna deve oferecer um roteiro de classificação. As cinco perguntas abaixo, respondidas em ordem, resolvem a grande maioria dos casos sem reunião adicional.

1. O conteúdo cita vítima identificável ou exploit não corrigido? Se sim, TLP:RED.
2. O material depende de acordo específico com parceiros nomeados? Se sim, TLP:AMBER+STRICT.
3. O conteúdo expõe posição da organização, mas é útil internamente e a parceiros diretos? TLP:AMBER.
4. O conteúdo permanece útil para a comunidade ampla sem expor ninguém? TLP:GREEN ou TLP:CLEAR.
5. Persiste a dúvida? Classificar como TLP:AMBER e enfileirar revisão com SLA curto.

3. Aplicação em Relatórios, Tickets, Plataformas e Canais

A marcação TLP precisa estar presente em todos os produtos do programa, independentemente do canal. Relatórios táticos e estratégicos recebem o nível no título e no rodapé de cada página; tickets de incidente herdam o nível do caso correspondente; plataformas como MISP e OpenCTI convertem tags em marcações de objeto; canais de chat de resposta a incidente aplicam o nível do assunto discutido. A tabela orienta a aplicação por superfície.

A regra prática para conversas em canais compartilhados é reduzir o nível sempre que possível. Detalhes técnicos de um incidente ativo podem ser descritos em AMBER sem citar nomes de sistemas ou clientes, e essa descrição alcança mais defensores úteis do que uma nota RED com todos os detalhes. O analista deve se perguntar qual é o menor nível que preserva as pessoas e os sistemas envolvidos.

O recebimento de material TLP também segue procedimento, e não apenas o envio. A sequência abaixo define o tratamento mínimo ao ingressar conteúdo marcado de parceiros, garantindo que a confiança recebida não se perca na retransmissão interna.

1. Confirmar o nível declarado e registrar a fonte no catálogo do PLT.4.
2. Propagar a marcação para tickets, notas e cópias derivadas do material.
3. Limitar o acesso interno aos grupos autorizados conforme a matriz da plataforma.
4. Verificar, antes de reencaminhar internamente, se o nível permite a nova audiência.
5. Documentar exceções solicitadas pelo parceiro, com validade e aprovador definidos.

4. Implementação Técnica da Marcação

A marcação obrigatória começa no texto, mas só é confiável quando automática. No pipeline de ingestão e de publicação, regras convertem tags em marcações e bloqueiam saídas incompatíveis. O exemplo abaixo descreve, em formato ilustrativo, uma regra de pipeline que impede sincronização externa de conteúdo restrito.

# Regras ilustrativas de pipeline de compartilhamento
marcacao_obrigatoria:
  fonte: [evento_misp, entidade_opencti, relatorio_pdf]
  niveis_aceitos: [tlp-clear, tlp-green, tlp-amber, tlp-amber-strict, tlp-red]
  sem_marcacao: aplicar_tlp_amber_e_alertar

sincronizacao_externa:
  tlp_maximo_enviado: green
  bloquear: [tlp-amber, tlp-amber-strict, tlp-red]
  log: registrar_evento_e_responsavel

validacao_periodica:
  frequencia: trimestral
  verificacao: amostras de exportação conferidas contra a política

No controle de acesso por grupo, cada nível mapeia para grupos específicos da plataforma. TLP:RED fica visível apenas ao grupo da equipe interna que trata o caso; TLP:AMBER alcança os grupos internos e parceiros nomeados; TLP:GREEN e TLP:CLEAR habilitam os grupos de sincronização comunitária. A ausência de marcação deve tratar o material como AMBER por padrão, gerando alerta para classificação, e nunca tratar como público o que não foi classificado.

A tabela abaixo mapeia cada nível TLP para os controles equivalentes nas plataformas usuais do programa. O mapeamento exato varia por organização, mas a correspondência precisa estar documentada e testada, porque divergências entre plataformas são a causa mais comum de vazamentos e de bloqueios indevidos.

Testes práticos validam esse mapeamento pelo menos uma vez por trimestre. Exporte amostras de cada nível para cada consumidor e verifique o resultado do lado receptor, porque o comportamento dos filtros varia entre versões de plataforma; documente as divergências encontradas e corrija a matriz. Esses testes rápidos convertem a política de TLP em garantia auditável diante de parceiros e auditorias internas.

5. Cultura de Compartilhamento Responsável

O maior obstáculo ao compartilhamento raramente é técnico, e sim cultural. O custo de não compartilhar é invisível no curto prazo: a campanha que derrubaria a vizinhança continua livre porque ninguém avisou, e a inteligência que a organização recebeu e não devolveu seca a fonte que a protegeria depois. Lideranças precisam ver o compartilhamento como parte do serviço de segurança, com métricas próprias, e não como exposição de risco reputacional.

Compartilhar sem se expor é uma técnica que se aprende e se padroniza. Os cuidados essenciais de anonimização e sanitização de dados de incidente incluem:

• Remover nomes de clientes, usuários, ativos internos e endereços IP próprios antes de qualquer envio externo.
• Substituir identificadores diretos por hashes ou marcadores consistentes, preservando a utilidade analítica dos dados.
• Suprimir detalhes que revelem vulnerabilidade não corrigida ou configuração sensível, mantendo a técnica em nível de TTP.
• Revisar anexos e capturas de tela, que frequentemente carregam metadados e caminhos internos não percebidos.
• Definir o nível TLP junto com jurídico e comunicação para produtos que citam o setor ou parceiros comerciais.

O equilíbrio entre abertura e cautela é operacional, e não filosófico. Uma política formal de compartilhamento, exigida no nível Básico deste controle, define critérios de classificação por tipo de produto, fluxo de aprovação e canais autorizados. Com a política treinada, a decisão individual de compartilhar deixa de depender do humor do dia e passa a seguir critérios auditáveis.

Treinamento periódico consolida a cultura. Simulações de classificação, em que a equipe rotula produtos fictícios e discute divergências, alinham o entendimento do grupo e revelam ambiguidades da política. Incluir jurídico e comunicação em pelo menos uma simulação por semestre prepara as áreas que autorizam compartilhamentos sensíveis, e transforma a revisão de TLP em parte natural do fluxo de publicação, e não em gargalo percebido.

A resposta a solicitações de inteligência de parceiros merece procedimento próprio. Toda solicitação deve ser registrada, classificada quanto à possibilidade de atendimento, aprovada conforme a política e respondida no nível TLP adequado, com material sanitizado. Responder rápido mesmo quando a resposta é negativa preserva a relação, enquanto silêncio prolongado degrada a confiança que sustenta a troca mútua.

A reclassificação também precisa de procedimento definido. Material AMBER que perde a sensibilidade, como IOC cuja campanha terminou e virou notícia pública, pode ser rebaixado com registro no log de decisões, incluindo aprovador, data e justificativa. Esse ciclo evita que restrições antigas travem conteúdo que hoje teria utilidade ampla, sem abrir espaço para rebaixamentos apressados feitos sob pressão de prazo.

6. Participação em Comunidades e ISACs

A participação ativa em pelo menos uma comunidade de compartilhamento é exigência do nível Básico do Framework CTH. Comunidades setoriais (ISACs e ISAOs), grupos de MISP, redes como a FIRST e fóruns nacionais de CSIRTs oferecem contexto que nenhum feed comercial reproduz: informação de vizinhança, com relevância direta e com possibilidade de diálogo bilateral. O responsável designado deve monitorar entradas, validar qualidade e garantir contribuição regular, porque comunidades se resentem de consumidores silenciosos.

A contribuição cresce em etapas e cada uma gera valor. Começar consumindo e respondendo solicitações; evoluir para enviar IOCs sanitizados em TLP:GREEN e TLP:AMBER; alcançar o nível Avançado liderando iniciativas setoriais, organizando exercícios de compartilhamento e publicando relatórios de incidentes anonimizados. Métricas de compartilhamento, como volume recebido, volume contribuído, taxa de utilização da inteligência recebida e tempo entre recepção e implementação em detecção, demonstram o retorno da participação e orientam o nível de investimento.

Exercícios de compartilhamento aceleram a maturidade de toda a comunidade, e não apenas da organização participante. Mesas de análise conjunta sobre incidentes sanitizados, envio de pacotes STIX fictícios entre parceiros e avaliação cruzada do tempo entre notificação e bloqueio produzem melhorias concretas no fluxo coletivo. A organização que lidera esses exercícios no setor ganha acesso antecipado a contexto, reputação que facilita pedidos de ajuda e visibilidade interna que sustenta o orçamento do programa.

7. Implementação Prática e Salvaguardas por Nível

O Framework CTH organiza as salvaguardas do controle em três níveis cumulativos. Cada nível requer evidência arquivada, e a coluna de entregável orienta a auditoria. Evidências do nível Básico incluem a política publicada, o registro de treinamento e a ata de participação na comunidade; no Intermediário, logs de sincronização e painel de métricas; no Avançado, os produtos publicados e os convites aceitos para liderança de iniciativas. A tabela resume os objetivos.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo surgem tanto do excesso de cautela quanto da pressa operacional. Cada item traz o efeito observável e a correção recomendada.

• Marcar tudo como RED por medo; efeito: isolamento da organização e perda de acesso a inteligência de pares; correção: política com critérios objetivos por tipo de produto e revisão de amostras mensais.
• Vazar conteúdo AMBER em feeds públicos ou sincronizações amplas; efeito: perda de confiança e possível exclusão da comunidade; correção: filtros de saída que bloqueiam níveis restritos e auditoria de exportações.
• Usar TLP:WHITE ou nomenclatura antiga em documentos novos; efeito: ambiguidade sobre a regra aplicável; correção: atualizar templates para TLP 2.0 e revisar acervos vivos.
• Contribuir apenas consumindo na comunidade; efeito: reputação negativa e perda de reciprocidade; correção: meta mínima de contribuições periódicas com responsável designado.
• Compartilhar dados de incidente sem sanitização; efeito: exposição de clientes, ativos e vulnerabilidades; correção: checklist de anonimização obrigatório antes do envio.
• Classificar por pressão de prazo, sem revisão; efeito: marcações inconsistentes que travam a automação; correção: padrão conservador automático (AMBER) e fila de revisão com SLA curto.
• Deixar a classificação depender de quem escreve o documento; efeito: níveis divergentes para tipos idênticos de produto; correção: tabela de classificação por tipo de produto na política, com exemplos reais.
• Tratar capturas de tela e anexos como isentos de marcação; efeito: material restrito circulando em imagem sem TLP visível; correção: exigir marcação na imagem e revisão de anexos no checklist de envio.

9. Integração com Outros Controles do Framework CTH

O PLT.5 governa a fronteira externa de todo o fluxo de inteligência. A marcação TLP nasce nos produtos de CTI, viaja como marking-definition nos objetos STIX do PLT.3, controla filtros de sincronização do MISP no PLT.1 e grupos de acesso no OpenCTI do PLT.2, e deve ser conferida nas fontes avaliadas pelo PLT.4, que registram o TLP máximo recebido de cada origem. No plano interno, GOV sustenta a política formal e MET mede o equilíbrio entre inteligência recebida e contribuída.

No plano de maturidade, o marco Básico exige política formal de classificação e participação em uma comunidade; o Intermediário exige automação de compartilhamento respeitando TLP e métricas de utilização; o Avançado exige liderança setorial reconhecida, com contribuições que influenciem a postura de defesa de todo o ecossistema. A evidência de maturidade madura é a combinação de auditorias de saída sem violação, contribuições regulares aceitas pela comunidade e tempo médio curto entre receber inteligência relevante e vê-la implementada nos controles de detecção.