05 - Bibliografia e Referências Acadêmicas
video: https://youtu.be/... no frontmatter da nota.Bibliografia e Referências Acadêmicas
Nota 05 do capítulo 27 - Governança da Biblioteca de CTI. Nota temática que cataloga a literatura e os corpora de referência da área: doutrina de inteligência, obras clássicas de CTI e hunting, relatórios anuais do setor, publicações acadêmicas e conjuntos de dados de pesquisa.
Descreve cada obra pelo nome, com o que cobre, por que importa e como extrair valor prático para o acervo, sem formatação de citação formal, porque o objetivo é orientar leitura e não documentar fonte acadêmica.
Complementa o catálogo de fontes primárias (04), que aponta onde acompanhar publicação nova, e as trilhas de leitura do mapa (01), que indicam em que ordem cada perfil deve consumir este material.
1. Contexto e Posicionamento na Biblioteca
Esta nota é a exceção temática do capítulo: enquanto as demais notas de governança catalogam o acervo, esta cataloga o material de fora que merece entrar no fluxo de leitura da equipe. A distinção com a nota 04 é de propósito: lá estão as fontes primárias de monitoramento contínuo, aqui estão as obras que se estuda com profundidade, de doutrina de inteligência a corpora de pesquisa, e o consumo delas é mais lento, mais profundo e gera produto diferente, notas de conceito e revisões de metodologia em vez de IOC e regra. A biblioteca sem essa camada produz analistas bons em operar e fracos em pensar, e a com ela produz profissionais capazes de questionar a própria metodologia.
O recorte segue três eixos complementares. O eixo de doutrina vem da inteligência clássica e ensina a pensar: vieses, análise estruturada, estimativa e incerteza. O eixo aplicado vem da prática de mercado: os textos que fundaram CTI e hunting como disciplinas e os relatórios anuais que descrevem o adversário em operação. O eixo acadêmico vem da pesquisa formal: os veículos que publicam ciência de detecção e os corpora que sustentam experimentos reproduzíveis. Os três eixos se alimentam, e a nota fecha com o método de conversão de leitura em acervo, que é o que impede que bibliografia vire estante de exibição.
A regra de valor desta nota é a mesma do capítulo inteiro: obra catalogada tem papel declarado, público-alvo na trilha e produto esperado. A lista que se segue não é uma coleção de clássicos para adornar currículo, e cada linha responde à pergunta de governança, o que muda no acervo quando alguém lê isso com método.
2. Doutrina de Inteligência e Análise Estruturada
Este eixo é a herança mais valiosa da inteligência nacional e militar para a CTI, e é o menos lido da área técnica. As obras abaixo fundam o vocabulário de requisitos, estimativa, incerteza e vieses que os capítulos 01 e 05 usam em toda a produção, e a leitura delas transforma técnica em método.
| Obra | O que cobre | Por que importa | Como extrair valor prático |
|---|---|---|---|
| Psychology of Intelligence Analysis | Vieses cognitivos do analista, percepção, memória e julgamento sob incerteza, a partir da experiência de inteligência | É a origem da discussão de vieses que o capítulo 05 inteiro herda e que nenhuma ferramenta substitui | Ler por capítulos-tema e converter cada viés em checklist de revisão par |
| Structured Analytic Techniques for Intelligence Analysis | Catálogo de técnicas estruturadas de análise, de brainstorming estruturado a análise de causa e indicadores | É o repertório que separa análise de opinião bem articulada | Escolher três técnicas por trimestre e aplicá-las em produto real, com ata |
| Método ACH e suas implementações | Analysis of Competing Hypotheses: matriz de evidências contra hipóteses com foco em refutação | É a base disciplinada de atribuição e de análise de intrusões complexas | Usar a implementação de software ou planilha em todo caso de atribuição; nota 10 do capítulo 05 |
| Critical Thinking for Strategic Intelligence | Pensamento crítico aplicado a produto de inteligência estratégica, com listas de autoavaliação | Conecta técnica analítica à decisão executiva e ao questionamento de premissas | Aplicar as listas de perguntas antes de publicar qualquer assessment |
| Analytic Culture in the US Intelligence Community | Estudo da cultura de análise entre agências, incluindo a resistência às técnicas estruturadas | Ensina o lado organizacional: por que método bom não é adotado e como agir sobre isso | Usar na implantação de cultura analítica com o capítulo 12 |
| A Tradecraft Primer | Primer oficial de técnicas estruturadas, com resumo gráfico das principais matrizes e fluxos | É a porta de entrada curta para as técnicas completas e serve de material de treinamento | Usar como material de sessão de treinamento interno antes da obra completa |
| Doutrina de inteligência conjunta (JP 2-0) | Processo de inteligência militar, níveis de inteligência e integração de esforço | É a origem formal do ciclo e dos níveis que a biblioteca adapta em CTI | Ler como fonte dos conceitos de PIR, EEI e coleção, para entender o porquê das adaptações |
A leitura deste eixo rende mais quando é feita em duplas com revisão cruzada, porque as técnicas estruturadas só mostram valor quando alguém contesta a matriz com sinceridade. A recomendação operacional é alocar um capítulo de obra por mês e exigir um produto derivado por obra, mesmo curto, porque leitura sem produto não deixa rastro no acervo.
Vale registrar o ponto em que a doutrina clássica precisa de adaptação honesta: a inteligência tradicional assume adversário humano mensurável por fontes humanas, e a CTI lida com telemetria de máquina, ameaças automatizadas e ciclo de vida de infraestrutura de dias. As obras seguem valendo pelo método de julgamento, e a adaptação do insumo, de fonte humana a sensor, é exatamente o que os capítulos 02 e 03 da biblioteca resolvem.
3. Literatura Clássica de CTI e Threat Hunting
Este eixo reúne os textos que fundaram a disciplina aplicada e que continuam sendo a melhor introdução séria ao campo. São obras curtas ou artigos, quase todos públicos, e a biblioteca inteira assume que o leitor conhece o essencial deles.
| Obra | O que cobre | Por que importa | Como extrair valor prático |
|---|---|---|---|
| Intelligence-Driven Computer Network Defense | Paper que propôs o Kill Chain e a defesa guiada por inteligência, com campanha como unidade de análise | Fundou a ponte entre inteligência e defesa que toda a biblioteca atravessa | Ler em conjunto com a nota 03 do capítulo 04 e anotar o que mudou desde então |
| The Diamond Model of Intrusion Analysis | Proposta do modelo de quatro vértices e das axiomas de agrupamento de eventos | É o vocabulário de correlação de intrusões usado no clustering do capítulo 05 | Aplicar os axiomas a um caso real e comparar com o agrupamento atual da equipe |
| The Pyramid of Pain | Artigo de David Bianco que ordena indicadores pelo custo ao adversário | É o argumento econômico por trás da caça por TTP e da fidelidade de detecção | Usar como base de qualquer discussão de priorização de IOC no capítulo 03 |
| The Practice of Network Security Monitoring | Manual de NSM por Richard Bejtlich, do desenho do ambiente à investigação | É a base de dados de rede como fonte de investigação, antes do EDR dominar o debate | Reaplicar o conceito de NSM ao ambiente atual e identificar o que falta de telemetria |
| The Threat Hunting Field Guide | Guia de hunting por equipe que popularizou o modelo de maturidade de caça | Documenta a transição de detecção reativa para caça hipotética que o capítulo 06 descreve | Comparar o modelo de maturidade com o estágio real do programa e documentar a lacuna |
| Crafting the InfoSec Playbook | Abordagem de detecção centrada em dado, prioridade e medição, com origem em resposta a incidente | É o antecessor direto do Detection as Code e do ADS do capítulo 18 | Extrair o método de priorização por dado e aplicar ao backlog de detecção |
| Threat Intelligence Handbook | Guia de bolso de CTI aplicada, do ciclo à operação de plataforma, publicado como obra livre | É o material de onboarding mais direto para quem entra na função sem base | Usar como primeiro material da trilha de analista CTI antes dos capítulos 01 e 02 |
| Intelligence Preparation of the Battlespace for Cyber | Adaptação do planejamento de inteligência militar ao ciberespaço, com produtos por fase | É a origem dos produtos de preparação de ambiente que alimentam hipóteses de caça | Produzir uma versão simplificada do IPB para o próprio ambiente e revisar semestralmente |
| MITRE ATT&CK: Design and Philosophy | Documento do MITRE que explica as decisões de desenho da matriz e o que ela pretende e não pretende ser | Evita o uso incorreto da matriz como checklist de maturidade ou banco de detecção pronto | Ler antes de qualquer projeto de mapeamento e citar nas decisões de arquitetura do capítulo 15 |
Duas dessas obras merecem releitura programada, e não apenas primeira leitura: a Pirâmide de Dor, porque o custo do adversário muda com o tempo de infraestrutura, e o paper do Kill Chain, porque reler com experiência acumulada revela o que o modelo ainda resolve e o que o ATT&CK passou a resolver melhor. A releitura programada é um item do ciclo de governança, não um esforço heroico de fim de ano.
Este eixo também define o vocabulário de trabalho da biblioteca, e a conferência de termos com o glossário da nota 02 é um passo da revisão trimestral: quando a literatura usa um nome e o glossário usa outro, é o glossário que precisa justificar a diferença, e não o contrário.
4. Relatórios Anuais do Setor
Os relatórios anuais são o retrato periódico do adversário em operação e a fonte mais barata de benchmark estatístico. Nenhum deles é inteligência para ação imediata, e o uso correto é alimentar requisitos, hipóteses e métricas, nunca copiar IOC diretamente, porque o dado da amostra deles não é a sua população.
| Relatório | O que cobre | Como extrair valor prático |
|---|---|---|
| Verizon Data Breach Investigations Report | Estatística agregada de violações reais: vetores, atores, tempo e impacto, com metodologia VERIS | Extrair benchmarks para KPIs do capítulo 11 e validar hipóteses de prioridade com dados de população ampla |
| Mandiant M-Trends | Tendências de intrusão vistas em resposta: dwell time, detecção externa versus interna, exploração inicial | Usar o dwell time como referência de meta e os vetores iniciais como insumo do capítulo 21 |
| CrowdStrike Global Threat Report | Panorama de atores por motivação e patrocinador, com destaque para atividade de Estado | Atualizar perfis de ator do capítulo 01 e mapear quais grupos são relevantes para os PIRs da organização |
| IBM X-Force Threat Intelligence Index | Estatística de exploração, phishing, ransomware e vazamento de credenciais | Cruzar vetores iniciais com DBIR para checar divergência de população antes de citar |
| Microsoft Digital Defense Report | Visão de ameaça em escala de provedor, com identidade, cloud e nação-estado em destaque | Insumo para assessment estratégico e para a discussão de identidade do capítulo 08 |
| ENISA Threat Landscape | Panorama europeu com técnica, setor e regulação em destaque | Referência para leitura regulatória e para comparar prioridade de ameaça entre regiões |
| Sophos Active Adversary Report | Dados operacionais de resposta: o que o adversário faz depois do acesso, com foco em EDR | Realismo operacional para caças do capítulo 08 e para a discussão de sobrecarga do capítulo 12 |
| Kaspersky Securelist APT Trends | Consolidado periódico de campanhas APT observadas globalmente | Radar de campanhas para checar se a organização tem telemetria para cada família destacada |
| Sophos State of Ransomware | Pesquisa de percepção e impacto de ransomware com administradores de milhares de organizações | Benchmark de percepção de mercado para calibrar o discurso executivo, com cuidado metodológico |
| Recorded Future Insights | Estudos temáticos de crime financeiro, infraestrutura e nação-estado com dado de fonte aberta em escala | Insumo para PIRs de infraestrutura e para a leitura de tendência de crime organizado |
A rotina recomendada para este eixo é uma ficha por relatório no trimestre de publicação, com três produtos obrigatórios: três números citáveis para o executivo, uma hipótese de caça derivada e uma atualização de perfil de ator. Relatório anual lido sem produto derivado é leitura de passatempo, e o custo de oportunidade de uma semana de trabalho da equipe é alto demais para isso.
Um cuidado de honestidade analítica acompanha este eixo: os relatórios têm viés de amostra e de negócio, porque cada um enxerga a base de clientes e sensores do publicante, e comparações diretas entre eles produzem conclusões falsas. A disciplina correta é citar o relatório com a população que ele cobre e preferir tendências convergentes entre publicantes diferentes quando a decisão é importante.
5. Publicações Acadêmicas e Corpora de Pesquisa
O eixo acadêmico tem duas entradas: os veículos que publicam ciência de detecção, malware e sistemas, e os corpora que tornam experimentos reproduzíveis. Os veículos de referência para a área são a USENIX Security Symposium, o ACM Conference on Computer and Communications Security, o IEEE Symposium on Security and Privacy, o DIMVA e o Virus Bulletin, além da sala de leitura da SANS, que publica trabalhos de certificação com boa qualidade aplicada. A leitura acadêmica exige filtro, e o critério da biblioteca é simples: paper citado deve ter método descrito de forma reproduzível, ou entra como curiosidade, e não como referência.
| Corpus | O que cobre | Como usar na pesquisa e na biblioteca |
|---|---|---|
| EMBER | Conjunto de dados de características estáticas de binários Windows com rótulos de família | Base de treino e de benchmark de classificação de malware em estudo de aprendizado de máquina |
| AndroZoo | Coleção de amostras Android com metadados e histórico de análise | Estudo de malware mobile e de evolução de famílias no tempo |
| CIC-IDS2017 e sucessores | Conjuntos de tráfego com ataques rotulados para avaliação de detecção de intrusão | Benchmark honesto de detecção de rede; usar com crítica, porque a captura não é tráfego real |
| MalwareBazaar | Repositório vivo de amostras com tags, YARA e configurações | Fonte de amostras atual para exercício do capítulo 25 e para comparação de família |
| VX-Underground | Maior coleção aberta de malware e papers da área | Referência histórica e de alcance de família, com acesso sob cuidado operacional e legal |
| Contagio Dump | Coleção longeva de maldocs, URLs e amostras por campanha | Material de treino de análise documental e de reconstrução de campanha |
| ATT&CK Evaluations | Dados públicos de emulação por fornecedor, com resultado por técnica | Benchmark crítico de detecção e insumo de leitura de método no capítulo 19 |
| SANS Reading Room | Repositório aberto de trabalhos de certificação com investigações reais | Material aplicado e reproduzível para treino de caça e de forense |
| Datasets de proveniência do DARPA Transparent Computing | Telemetria de fim a fim com intrusões de red team injetadas em host e rede | Base de estudo de detecção por cadeia de proveniência e de experimentos de hunting acadêmico |
O erro típico com corpora é o experimento sem controle: comparar detector treinado no próprio conjunto de teste, ignorar a distribuição de classes ou tratar tráfego sintético como produção. Toda nota do acervo que citar resultado experimental deve registrar a origem do dado, a versão do corpus e a limitação reconhecida pelo próprio autor do estudo, e a revisão por pares interna é quem cobra isso.
A escolha do corpus também é decisão de governança: corpus envelhece, e um estudo de família de malware feito sobre coleção de dez anos atrás descreve o adversário de outra era. A nota que usa corpus registra a janela temporal do dado, e a sessão trimestral revisa se a janela ainda sustenta a conclusão citada.
6. Trilhas de Leitura por Papel
Bibliografia só governa quando tem dono e prazo, e a distribuição por papel evita o padrão comum de todo mundo ler o relatório popular e ninguém ler a doutrina. A tabela abaixo distribui as obras por papel, com o ritmo esperado de consumo e o produto que cada leitura deve gerar.
| Papel | Leitura prioritária | Ritmo | Produto esperado |
|---|---|---|---|
| Analista CTI júnior | Threat Intelligence Handbook; capítulos-tema da Psychology of Intelligence Analysis | Uma obra por mês | Ficha de leitura e checklist pessoal de vieses |
| Analista CTI sênior | Structured Analytic Techniques; Critical Thinking for Strategic Intelligence | Um capítulo por semana | Aplicação documentada de uma técnica por produto real |
| Analista de SOC | Threat Intelligence Handbook; Pirâmide de Dor; capítulos-tema de vieses | Um material por trimestre | Checklist pessoal de consumo de IOC aplicado ao turno |
| Threat Hunter | Threat Hunting Field Guide; The Practice of Network Security Monitoring; Pirâmide de Dor em releitura | Trimestral por ciclo | Revisão do modelo de maturidade e da lacuna de telemetria |
| Engenheiro de detecção | Crafting the InfoSec Playbook; papers de detecção do Virus Bulletin | Uma obra por trimestre | Método de priorização de backlog aplicado ao pipeline |
| Gestor | Relatórios anuais do setor; Analytic Culture | Uma leitura por trimestre | Três números citáveis e uma decisão de portfólio |
| Pesquisador interno | Papers de USENIX, CCS e IEEE S&P da área; corpora do eixo acadêmico | Contínua | Experimento reproduzível com corpo de dados registrado |
A distribuição acima assume carga de leitura compatível com produção, cerca de duas a três horas semanais por pessoa, e a sessão de governança revisa a carga quando o time está em pico operacional. Leitura programada que não cabe na agenda real é abandonada com culpa coletiva, e agenda honesta com obra por trimestre vence lista ambiciosa abandonada no segundo mês.
7. Como Extrair Valor Prático da Literatura
A conversão de leitura em acervo segue um único artefato: a ficha de leitura, que registra obra, resumo do ponto principal, notas derivadas e ação executável com prazo e responsável. A ficha é curta por design, e o modelo abaixo é o padrão do capítulo; o que ela garante é que toda leitura terminada tenha um destino no acervo, seja nota nova, revisão de nota existente ou decisão registrada em ata de governança.
FICHA DE LEITURA - FIC-2026-014
Obra: Psychology of Intelligence Analysis
Tipo: doutrina de analise | Extensao: quinze capitulos | Edicao em uso: primeira
Resumo BLUF: vieses cognitivos operam no analista competente, e o remedio
e tecnica estruturada com revisao por pares, nao conscientizacao isolada
Capitulos-alvo: vieses de percepção e julgamento; pequenos grupos
Notas derivadas: capitulo 05, notas 11 e 12; glossario da nota 02
Acao executavel: incluir revisao de vieses no template de assessment
Prazo: dez dias | Responsavel: analista_cti_senior
Status: em execucao | Registro: ata da sessao de governanca trimestral
A cadência de leitura acompanha as velocidades do catálogo de fontes: obras de doutrina avançam no ritmo semanal do papel, relatórios anuais se concentram no trimestre de publicação e a leitura acadêmica segue o calendário dos veículos, com revisão trimestral das fichas abertas. A distribuição por papel da seção 6 é revisada quando a trilha muda ou quando entra membro novo, e a ficha pendente mais antiga é o primeiro item da pauta da sessão, porque fila de ficha parada é o indicador mais honesto de que a bibliografia está virando estante.
8. Erros Comuns
- Ler relatório como se fosse inteligência acionável: relatório anual descreve população amostral de quem o publicou, e IOC extraído dele sem contexto vira falso positivo barato; o produto correto é hipótese, benchmark e perfil, nunca bloqueio direto.
- Confundir primeira edição com edição corrente: obras com edições revisadas, como as de técnicas estruturadas, exigem registro da edição em uso na ficha, porque capítulos mudam entre edições e citação ambígua atrapalha a leitura em grupo.
- Consumir só o eixo popular: o relatório anual circula sozinho e a doutrina fica para depois, e o resultado é um time que cita estatística sem saber julgá-la; a distribuição por papel da seção 6 existe para equilibrar esse viés.
- Ficha sem ação executável: leitura que não muda nota, checklist ou decisão não deixa rastro, e a regra do capítulo é simples, sem produto derivado a ficha não é arquivada como concluída.
- Citar obra sem ter lido o método: reler o sumário executivo de relatório alheio e repetir o número é a forma mais rápida de propagar estatística mal compreendida; quem cita, fichou.
9. Integração com o Restante da Biblioteca
A integração com o acervo segue o fluxo inverso do catálogo de fontes: aqui, a obra entra pela ficha e sai em nota dos capítulos temáticos, doutrina alimenta o capítulo 05, literatura clássica alimenta os capítulos 04, 06 e 18, relatórios anuais alimentam os capítulos 01 e 11, e corpora alimentam o capítulo 25 e os estudos de detecção do capítulo 18. A nota 04 cuida do que chega todos os dias, esta nota cuida do que forma o julgamento, e a sessão trimestral de governança revisa as duas juntas para garantir que o time esteja informado e formado ao mesmo tempo.