Catálogo de Fontes Primárias

Nota 04 do capítulo 27 - Governança da Biblioteca de CTI. Cataloga as fontes primárias que mantêm a biblioteca viva: alertas governamentais, bases de técnica, feeds e registros públicos, blogs de pesquisa, repositórios de detecção e conferências, com cadência, custo e modo de uso de cada uma.
É o insumo operacional da atualização do acervo, transformando o consumo de fontes em rotina governada em vez de hábito individual de cada analista.
Complementa o capítulo 02, que ensina a coletar, e as notas 01, 03 e 05 deste capítulo, que mapeiam o acervo, indexam os padrões citados pelas fontes e organizam a literatura mais profunda.

1. Contexto e Posicionamento na Biblioteca

Uma biblioteca de CTI envelhece mais rápido do que qualquer outro acervo técnico, porque adversários mudam infraestrutura, ferramentas mudam versão e padrões mudam de nome. O capítulo 02 ensinou a coletar dado bruto, e este catálogo resolve a etapa seguinte da governança: quais fontes primárias merecem consumo recorrente, em que cadência, a que custo e com que destino dentro da biblioteca. A diferença entre fonte primária e nota de terceiro importa aqui: fontes primárias são os órgãos, bases, registros e equipes de pesquisa que publicam o dado na origem, e cada camada de repasse adicional entre a origem e o leitor degrada contexto, fidelidade e direito de uso.

O critério de inclusão foi pragmático: entraram fontes que a biblioteca inteira já cita em capítulos, fontes de referência para o mercado brasileiro e ferramentas gratuitas que sustentam programas de maturidade baixa sem orçamento. Fontes comerciais de intelligence pagas aparecem onde fazem diferença real, mas o catálogo não é comparativo de fornecedores; essa função está no capítulo 24, que compara plataformas. Cada linha da tabela aponta o destino recomendado dentro do acervo, porque fonte sem destino vira tabuleiro de leitura abandonada.

O público desta nota são os mantenedores do acervo e, por extensão, cada analista que assume um papel de consumo. A leitura completa das tabelas já entrega uma política de fontes operável em uma sessão, e o contrato de uso é simples: fonte catalogada tem dono, cadência e destino; o que não tem, não é política, é coleção.

2. Critérios de Avaliação e Cadastro de Fontes

Antes de consumir, a fonte precisa passar por seis critérios de avaliação que evitam dois defeitos simétricos: acumular fontes que ninguém lê e depender de uma fonte única para um tema inteiro. A tabela define a pergunta que cada critério responde e o sinal objetivo de aprovação usado na sessão de governança.

O cadastro de cada fonte aprovada fica registrado com campos mínimos que permitem auditoria da rotina: nome, endereço, tipo, cadência, custo, rótulo TLP máximo que costuma publicar, consumidor responsável e data da próxima revisão. O bloco abaixo mostra o formato adotado, que pode viver em repositório ou em nota técnica do capítulo 27, e a revisão trimestral revalida campo por campo, removendo fonte morta e rebaixando fonte intermitente para observação. O campo de TLP merece atenção especial do jurídico: ele registra o teto de circulação que a fonte declara para o próprio material, e o respeito a esse teto é condição de permanência da organização nas comunidades das quais ela bebe.

fonte:
  nome: "CISA Cybersecurity Advisories"
  url: "https://www.cisa.gov/news-events/cybersecurity-advisories"
  tipo: alerta_governamental
  cadencia: "por campanha"
  custo: "gratuito"
  tlp_maximo: "CLEAR"
  consumidor: "analista_cti"
  proxima_revisao: "2026-07-01"

3. Alertas Governamentais e Equipes Nacionais

Os avisos governamentais são a camada de maior confiança e menor custo do catálogo: atribuição cuidadosa, IOC revisado, direito de uso claro e, no caso do CERT.br, idioma e contexto brasileiros. O custo operacional de acompanhá-los é baixo e o retorno em material de treino e de caça é alto, e por isso são a primeira camada do cadastro.

Uma prática que multiplica o valor desta camada é o cruzamento entre fontes: a mesma campanha quase sempre recebe advisory de mais de um governo, e comparar os IOCs de cada versão expõe o que cada sensor nacional enxergou. A equipe de CTI deve manter o hábito de citar em cada nota de campanha qual advisory, com qual número, sustentou a análise, o que dá rastreabilidade ao acervo inteiro.

4. Bases de Técnica e Conhecimento

Esta camada reúne os sítios de referência que definem o vocabulário técnico usado na biblioteca. Não são feeds de indicador, mas bases de conhecimento com ciclo de versão próprio, e a regra de citação é sempre conferir a página oficial antes de citar ID, nome ou definição.

5. Feeds, Registros e Serviços de Enriquecimento

Esta camada entrega o dado técnico bruto que abastece triagem, enriquecimento e caça. A biblioteca insiste, desde o capítulo 02, em que feed de indicador sem contexto não é inteligência, e por isso a coluna de uso define sempre um destino analítico, nunca a ingestão cega no SIEM.

O erro recorrente desta camada é confundir ingestão com consumo: órgãos que apontam dez feeds para o SIEM e não possuem rotina de leitura produzem volume, não inteligência. O cadastro da seção 2 exige consumidor nomeado e destino analítico por fonte, e a revisão trimestral exclui a fonte cujo consumidor não consegue descrever a última ação tomada a partir dela.

Um segundo cuidado nesta camada é a higiene de infraestrutura compartilhada: serviços como VirusTotal, quando usados no plano gratuito, podem expor a organização ao submeter arquivo interno que só existe ali, e a recomendação das notas do capítulo 03 é reservar a submissão para o plano pago com automação controlada ou enviar hashes quando o objetivo for apenas consulta. Enriquecimento é leitura; submissão é publicação, e as duas operações têm governanças diferentes.

6. Blogs Técnicos de Vendors e Pesquisadores

Os times de pesquisa corporativa publicam a maior parte da análise de campanha de qualidade do mercado, e o consumo disciplinado deles substitui com folga qualquer agregador. A coluna de cadência descreve o ritmo observado, não compromisso contratual, e a leitura deve usar as técnicas de avaliação de fontes e de vieses do capítulo 05, porque vendor tem interesse comercial em enaltecer a própria detecção.

Duas disciplinas fazem esta camada render mais que a soma das leituras. Primeira, a harmonização de nomenclatura: cada vendor batiza o mesmo ator de forma diferente, e o analista que mantém a tabela de correspondência de nomes, apoiada na análise de atribuição do capítulo 05, evita que a biblioteca trate um mesmo adversário como três. Segunda, o registro da data de leitura na nota derivada, porque campanha de blog envelhece em semanas e citação sem data é a origem clássica de IOC expirado circulando como atual.

7. Repositórios de Regras e Conteúdo de Detecção

Esta camada é o estoque de conteúdo executável da biblioteca: regras prontas, testes de validação e plugins de forense. O uso correto é reutilizar com revisão, adaptar e contribuir de volta, e não copiar sem teste, porque regra comunitária sem ajuste de telemetria é a maior fonte de falso positivo dos programas jovens.

O uso disciplinado desta camada tem uma regra de três passos que evita a cópia acrítica: rodar a regra em ambiente de teste com telemetria controlada, medir a taxa de falso positivo na janela de avaliação e só então publicar com revisão registrada, seguindo a esteira DDLC do capítulo 18. Contribuir de volta é a segunda metade da disciplina: regra adaptada que funciona em telemetria incomum é candidata natural a pull request, e a contribuição pública devolve à comunidade o custo que ela subsidia.

8. Conferências e Comunidades

As conferências antecipam o que os blogs publicarão seis meses depois e expõem o que o mercado realmente está fazendo, com o filtro de qualidade variando bastante entre elas. Para a biblioteca, o papel da camada é duplo: antecipação técnica e calibração humana, porque ver a apresentação e conversar com quem pesquisou encurta a distância entre paper e prática.

O consumo de conferência não precisa de passagem aérea: a maioria das comunidades libera proceedings, slides e gravações em semanas, e a rotina trimestral da seção 9 inclui uma janela de catch-up com as gravações mais citadas do período. O retorno maior, porém, é presencial quando o orçamento permite, porque conversar com o pesquisador encurta o caminho entre o paper e a caça executável na organização.

9. Rotina de Consumo e Erros Comuns

A rotina recomendada divide o consumo em três velocidades, e o cadastro de cada fonte declara a velocidade atribuída: diária para alertas governamentais e feeds de alta cadência, com janela fixa de quinze minutos; semanal para blogs de pesquisa, com fichamento conforme a bibliografia da nota 05; e trimestral para bases de técnica, conferências e relatórios anuais, com revisão agendada em sessão de governança. Fontes fora dessas velocidades ou entram no cadastro com justificativa, ou são removidas, porque o catálogo que não governa a rotina vira lista de favoritos.

O bloco abaixo é o checklist semanal adotado como padrão da rotina, pensado para caber em uma hora de trabalho e para deixar rastro auditável de consumo.

CHECKLIST SEMANAL DE FONTES - semana de 2026-03-16
1. Alertas CISA, NCSC e CERT.br varridos; itens relevantes anotados
2. URLhaus e MalwareBazaar revisados; IOC novos enriquecidos
3. Blogs da semana lidos; fichas abertas para os dois mais relevantes
4. Pulses OTX seguidos; sightings internos registrados
5. Pendências da semana anterior fechadas ou reescalonadas
Consumidor: analista_cti | Evidência: notas criadas e ata da sessão

Os erros comuns desta camada são previsíveis e o cadastro os impede.

• Consumir feed sem destino analítico: ingestão automática no SIEM sem consumidor nomeado produz volume e falsa sensação de cobertura, e a revisão trimestral deve perguntar qual decisão a fonte sustentou.
• Ignorar o rótulo TLP da fonte: material de comunidade que nasce TLP:AMBER não pode reaparecer em wiki interna sem checagem, e o campo de TLP máximo do cadastro existe para esse freio.
• Dependência de fonte única: tema coberto por uma só fonte é risco silencioso, e a sessão de governança deve revisar o mapa de cobertura por tema do catálogo, não apenas a lista de fontes.
• Acumular fonte morta: sítio que parou de publicar sem aviso envenena o cadastro, e o campo de próxima revisão com data real é o detector barato desse defeito.

A integração deste catálogo com o acervo segue uma regra de fluxo: cada fonte tem um capítulo dono para o que ela entrega de melhor, alertas alimentam campanhas no capítulo 05, feeds alimentam indicadores no capítulo 03, repositórios alimentam detecção no capítulo 18 e conferências alimentam metodologia no capítulo 23. O catálogo é o mapa de entrada desses fluxos, e mantê-lo revisado trimestralmente é o que garante que a biblioteca continue descrevendo o adversário de hoje e não o de três versões de ATT&CK atrás.