Integração com Governo (CISA, NCSC)

Nota 02 da subpasta 02 do capítulo 22 (Compartilhamento e Colaboração), dedicada aos canais de troca entre setor privado e governo.
Cobre CISA e seus produtos (AIS, KEV, Shields Up, joint advisories), o NCSC britânico e seus programas, os análogos brasileiros e o consumo técnico do feed AIS via TAXII.
Dialoga com a nota 01 (plataformas federadas), com a nota 02 do capítulo 02 (fontes governamentais) e com o controle PLT.4 do framework CTH.

1. Contexto e Posicionamento na Biblioteca

O compartilhamento entre organizações privadas, tema das subpastas anteriores, tem um complemento institucional que programas maduros tratam como fonte própria: os canais estruturados de troca com governo. Estes canais operam em dois sentidos, e o desenho correto do programa exige os dois. No sentido de consumo, governos distribuem inteligência de alta autoridade, alertas de campanha patrocinada por estado, catálogos de vulnerabilidade explorada e avisos de crise, material que nenhuma fonte privada replica em credibilidade. No sentido de reporte, a organização que sofre um incidente relevante precisa notificar, e a qualidade dessa notificação determina se o governo consegue avisar os próximos alvos a tempo.

A nota cobre os dois programas nacionais de referência, o CISA dos Estados Unidos e o NCSC do Reino Unido, com seus produtos e formatos, e depois o quadro brasileiro, com CERT.br e a estrutura de resposta do governo federal, incluindo o GSIER na esfera do Executivo federal. Fecha com o consumo técnico do feed AIS via TAXII, que é o caso concreto de integração que a maioria dos programas implanta primeiro. O capítulo 02 já tratou fontes governamentais como categoria de coleta; aqui o foco é a operação da relação, com SLA, formato e ciclo de feedback.

2. Por Que Integrar Canais Governo-Privado

A justificativa da integração repousa em três atributos que só o canal governamental entrega. O primeiro é a autoridade de fonte: um joint advisory assinado por agências de múltiplos países carrega contexto de inteligência que produz por acesso de governo, e a organização pode usar esse material como base de alto grau de confiança para priorização, na lógica de confiabilidade de fontes do capítulo 05. O segundo é a visão sistêmica: o governo agrega telemetria de proteção em escala nacional, reportes de múltiplos setores e capacidade de coleta que nenhuma empresa privada possui, e por isso enxerga campanhas antes e depois do horizonte de qualquer membro individual. O terceiro é o dever de aviso: em várias jurisdições, e de forma crescente, o governo tem obrigação legal ou política de avisar entidades sob ameaça ativa, e estar no canal correto é o que determina se o aviso chega em horas ou em semanas.

A integração também tem motivação defensiva institucional, e não só de consumo. Regulações de infraestrutura crítica, do lado europeu com a NIS2 e do lado brasileiro com as políticas de segurança cibernética do Executivo federal, transformam reporte em obrigação, e o canal integrado antecipadamente é o que evita notificação improvisada em crise. Há ainda o argumento de reciprocidade: programas governamentais dependem de reporte privado para funcionar, e comunidades que apenas consomem enfraquecem o ecossistema de que dependem, tema que a nota sobre ROI da subpasta 04 retoma sob a ótica de custo coletivo.

O quadro histórico ajuda a calibrar a expectativa do leitor. O AIS nasceu da ordem executiva de compartilhamento de informação cibernética de 2015 e da lei correspondente, que criaram imunidade legal para a troca e obrigações de privacidade, e por isso o programa opera com marco normativo explícito de proteção de dado pessoal em trânsito; na Europa, a NIS2 reforça a troca como dever de gestão de risco; e no Brasil, a evolução das políticas nacionais de segurança da informação e dos canais dos setores regulados caminha na mesma direção, com velocidade menor. Para o programa de CTI, o efeito prático é que a integração com governo tem base legal a examinar, e o parecer jurídico do capítulo 12 deve preceder a assinatura de qualquer acordo de troca.

3. CISA: AIS, KEV, Shields Up e Joint Advisories

A CISA (Cybersecurity and Infrastructure Security Agency) é a agência estadunidense de segurança cibernética e de infraestrutura, e concentra a maior oferta pública e privada de produtos de inteligência governamental. O AIS (Automated Indicator Sharing) é o programa de troca automatizada de indicadores, com distribuição via TAXII e STIX para participantes credenciados, entregando fluxo contínuo de IOC, com a ressalva de que o volume é grande e a taxa de acionamento baixa, o que exige o tratamento de fonte barata e ruidosa descrito na subpasta 04. O KEV (Known Exploited Vulnerabilities) é o catálogo de vulnerabilidades com exploração confirmada em ambiente real, atualizado com prazo de remediação sugerido, e se consolidou como lista de ação obrigatória em programas de gestão de vulnerabilidade, porque corta o debate teórico de CVSS e aponta o que está sendo explorado agora.

Os avisos e diretrizes cobrem a camada analítica. Os joint advisories, documentos assinados em conjunto pela CISA com agências como FBI, NSA e contrapartes internacionais, detalham grupos de ameaça patrocinados por estado com TTPs, detecções e mitigação, e são o produto de maior densidade analítica do canal governamental estadunidense. As diretrizes de crise como Shields Up, ativadas em contextos de escalada geopolítica, orientam a postura de proteção de toda a base de infraestrutura com ações priorizadas. E osalertas de vulnerabilidade e boletins de campanha fecham o espectro com material de prazo curto. A tabela abaixo organiza os produtos com formato e uso recomendado.

4. NCSC do Reino Unido: CiSP e Early Warning

O NCSC (National Cyber Security Centre) do Reino Unido opera com um modelo de engajamento mais comunitário e menos automatizado que o estadunidense, com produtos de valor equivalente. O CiSP (Cyber-security Information Sharing Partnership) é a plataforma de troca entre governo e setor privado, organizada em comunidades por setor, com fóruns de discussão, relatórios do NCSC e alertas com marcação TLP, funcionando como comunidade governamental análoga a um ISAC. O Early Warning é o serviço de notificação proativa: o NCSC detecta comprometimento, exposição ou mau uso de infraestrutura britânica em suas fontes e notifica a organização afetada, sem custo, transformando a relação com governo em fonte de alerta de incidente que a própria organização não percebeu.

O portfólio de orientação do NCSC também merece nota, com guias de resposta a incidente, frameworks de coleção de log e análises de grupos de ameaça publicadas publicamente com marcação TLP:CLEAR, material de qualidade analítica que sustenta programas sem orçamento de inteligência comercial. Para organizações fora do Reino Unido, o CiSP é limitado a entidades britânicas, mas os guias, os relatórios públicos e os advisories conjuntos com a CISA são consumíveis por qualquer programa, e a leitura do modelo britânico rende lição de desenho: notificação proativa de vítima sem custo, e comunidade de troca com identidade verificada, são os dois produtos que o lado brasileiro ainda oferece de forma desigual.

Vale registrar também a lógica de marcação que os dois programas compartilham, porque é ela que torna o material herdado manejável. Os produtos do NCSC e os advisories da CISA saem com TLP explícito, e a regra de herança governa todo reuso: a organização pode extrair detecções e técnicas e publicar internamente em TLP mais aberto, mas não pode repassar o material com marcação para círculos além do previsto. Essa disciplina, tratada em detalhe no capítulo 02, é a diferença entre consumir inteligência governamental e expor a organização a incidente de divulgação.

5. Como Consumir e Como Reportar

O consumo segue a disciplina de qualquer fonte da biblioteca, com três diferenças práticas. A primeira é o credenciamento: o AIS exige registro e aprovação de organização, com credenciais por entidade, e a nota de gestão de credenciais do capítulo 02 aplica-se integralmente. A segunda é a calibração de expectativa: inteligência governamental tem autoridade alta e velocidade variável, com KEV e avisos de crise rápidos e produtos analíticos densos em ciclos de semanas, e o programa precisa tratar cada produto com o SLA certo. A terceira é a integração operacional: o material entra no TIP com deduplicação, marcação de fonte e expiração, e os advisories geram tarefas de revisão de cobertura, e não apenas leitura.

O reporte é a metade do canal que a maioria dos programas ignora até a crise. O desenho correto inclui quatro elementos: definir quem reporta, com autoridade formal e contato 24 por 7; padronizar o que reporta, com formato mínimo de incidente alinhado ao que a agência pede; saber o que é compartilhável, com política TLP interna que se sobrepõe à marcação da agência; e exercitar o fluxo em simulação anual, porque reporte em crise improvisado chega incompleto e atrasa o aviso aos próximos alvos. A reciprocidade tem efeito prático mensurável: organizações que reportam bem entram em listas de notificação prioritária, recebem convites para grupos fechados e ganham acesso a briefings que não circulam no canal aberto.

A tabela abaixo organiza os quatro elementos do desenho de reporte com o artefato interno que cada um exige.

O ciclo completo de feedback fecha a justificativa econômica do canal: o reporte da organização alimenta a agregação do governo; a agregação vira advisory e aviso antecipado; o aviso volta para a organização em forma de detecção antecipada; e a métrica de incidentes cortados pelo canal, da subpasta 04, materializa o valor da relação em números que a diretoria entende.

6. Comparação dos Programas US, UK e Brasil

A tabela abaixo compara os programas com os critérios que orientam a decisão de integração de um programa de CTI, incluindo o quadro brasileiro.

O quadro brasileiro é menos automatizado e mais fragmentado, e o programa deve compensar com mapeamento consciente. O CERT.br, mantido pelo NIC.br, cumpre a função nacional de tratamento de incidentes, publica estatística, avisos e documentação, e atende qualquer organização. Na esfera federal, a estrutura de segurança cibernética do Executivo concentra-se historicamente no grupo de segurança da rede corporativa do governo federal, o GSIER, operado junto ao processamento federal de dados, com o CTIR Gov para incidentes governamentais e as políticas e estratégias nacionais editadas pela autoridade da área. Setores regulados, como financeiro e energia, mantêm GSIRTs e canais próprios com prazos e formatos específicos, e o programa deve integrar o canal do seu regulador antes de qualquer outro, porque é o canal com poder de exigir e o prazo legal de reporte.

A tabela abaixo organiza os canais brasileiros relevantes para o desenho do programa, com o papel de cada um e a decisão de integração associada.

7. Exemplo Prático: Consumo do Feed AIS via TAXII

O consumo do AIS é o caso técnico mais recorrente de integração, e o ciclo mínimo cabe em um script de poucas linhas, com descoberta de coleção, consumo incremental por added_after e validação na entrada.

# Ciclo de consumo AIS via TAXII 2.1 com checkpoint incremental
TAXII_ROOT="https://ais.cisa.dhs.gov/taxii"
curl -s --cert ${CERT_PEM} --key ${KEY_PEM} "${TAXII_ROOT}/discovery/" | jq .
curl -s --cert ${CERT_PEM} --key ${KEY_PEM} \
  "${TAXII_ROOT}/collections/" | jq '.id, .title'
curl -s --cert ${CERT_PEM} --key ${KEY_PEM} \
  "${TAXII_ROOT}/collections/${COLECAO_AIS}/objects/?added_after=${CHECKPOINT}" \
  -o "/coleta/ais-$(date +%s).json"
# Persistir o checkpoint do lote para o próximo ciclo

import json, hashlib
from stix2 import parse

with open("/coleta/ais-lote.json") as f:
    bundle = json.load(f)

for obj in bundle.get("objects", []):
    o = parse(obj, allow_custom=True)
    if o.type == "indicator":
        # valida e envia ao TIP com marcação de fonte e expiração
        validar_e_publicar(o, fonte="cisa-ais",
                           expira_em_horas=72, confianca=40)

O ponto de calibração que decide o sucesso do consumo é a confiança inicial atribuída: o AIS entrega volume alto com precisão variável, e o programa deve ingestá-lo como fonte barata de baixa confiança, na escala de avaliação de fontes do capítulo 05, com expiração curta e sem bloqueio direto em controles de proteção, e evoluir a confiança conforme a taxa de acionamento medida. Tratar o AIS como se fosse feed de alta precisão é o erro clássico de primeiro trimestre, e as métricas da subpasta 04 são o antídoto.

Para programas fora dos Estados Unidos, o mesmo esqueleto serve para qualquer coleção TAXII governamental ou de ISAC: o que muda são credenciais, raiz de API e expectativa de volume, e a prática saudável é abstrair o consumidor em um conector parametrizável por fonte, alimentando o TIP com proveniência e marcação preservadas. Essa abstração permite adicionar ou remover programas governamentais sem tocar na lógica de validação, e é o desenho que o controle PLT.4 do framework CTH pressupõe na gestão de fontes.

8. Erros Comuns e Pontos de Atenção

• Consumir AIS sem deduplicação nem expiração; efeito: o TIP inunda o SOC de indicadores antigos e a fonte é desligada por ruído; correção: pipeline com checkpoint, expiração e medição de acionamento antes de escalar o consumo.
• Tratar KEV como lista informativa; efeito: vulnerabilidades exploradas ativamente ficam na mesma fila de priorização que o resto; correção: gatilho de prazo de remediação para itens KEV presentes no inventário.
• Reportar só quando exigido pelo regulador; efeito: a organização perde o aviso antecipado aos próximos alvos e o acesso a canais prioritários; correção: fluxo de reporte voluntário com formato padrão e contato de plantão.
• Ler joint advisory sem converter em cobertura; efeito: material de alta densidade vira leitura sem efeito em detecção; correção: tarefa formal de mapeamento ATT&CK e revisão de detecções por advisory recebido.
• Ignorar o canal do regulador do próprio setor; efeito: reporte no canal errado ou fora do prazo, com risco regulatório; correção: mapear GSIRT e obrigações do setor como primeiro passo da integração.
• Misturar material governamental com marcação própria; efeito: rebaixamento ou elevação indevida de TLP em material herdado; correção: propagar marcação original e aplicar regras de herança do capítulo 02.

9. Integração com o Restante da Biblioteca

A nota conecta a coleta governamental do capítulo 02 à operação prática do capítulo 22: os produtos CISA e NCSC entram no mesmo pipeline das fontes dos ISACs, são avaliados pelas mesmas métricas da subpasta 04 e alimentam a mesma pirâmide de priorização do capítulo 05, com o KEV dialogando diretamente com a nota de vulnerability intelligence e o joint advisory alimentando a revisão de cobertura do capítulo 18. O controle PLT.4 do framework CTH, sobre gestão de fontes de inteligência, é o endereço normativo da disciplina aqui descrita.

Para a organização brasileira, a sequência de integração recomendada começa pelo canal do regulador do setor, passa pelo CERT.br como base nacional, e chega ao AIS e aos advisories públicos como camada internacional, nessa ordem de custo e valor marginal. A nota de ROI da subpasta 04 fornece o modelo de justificativa executiva da integração, e o exercício de reporte anual conecta esta nota ao capítulo de resposta a incidentes do framework CTH, fechando o ciclo institucional que a colaboração governo-privado exige.