Datasets e Laboratórios de Treinamento

Nota 09 do capítulo 27 - Governança da Biblioteca de CTI. Cataloga datasets públicos e laboratórios para treinar CTI e hunting sem depender de incidente real para aprender.
Cobre datasets públicos de logs e telemetria, laboratórios montáveis em casa com docker e máquinas de prática, plataformas de treino guiado e o laboratório mínimo recomendado, com o que oferece, custo e como montar.
Dialoga com o capítulo 16 de exercícios práticos, com os templates da nota 07 deste capítulo e com as ferramentas do capítulo 24, que é o que o laboratório instala.

1. Contexto e Posicionamento na Biblioteca

Nenhum time aprende a caçar lendo, e nenhum programa consegue treinar em incidente real, porque incidente real não se repete sob demanda e não perdoa erro de novato. A resposta do programa é a infraestrutura de treino: datasets públicos que reproduzem ataques conhecidos em formatos de log reais, laboratórios montáveis em hardware comum e plataformas guiadas que fecham o ciclo com feedback. Esta nota cataloga essas três camadas com critério de governança, fixando o que cada recurso oferece, quanto custa e como montar em casa, para que a decisão de investimento em treino seja técnica e não aleatória.

O capítulo governa o acervo, e o acervo precisa de leitores treinados para ser mantido; a relação é bidirecional. Os templates da nota 07 são o material de exercício natural sobre estes datasets, o capítulo 16 traz os roteiros de exercício que consomem os laboratórios aqui descritos e as notas do capítulo 24 documentam as ferramentas que o laboratório instala. O analista que termina esta nota com um MISP rodando, um dataset carregado e uma caça executada sobre ele fechou o ciclo mínimo de maturidade que o capítulo 06 define nos níveis 1 e 2. A nota também serve de resposta à pergunta mais frequente de quem começa: por onde investir o primeiro real e a primeira hora, e a resposta, repetida nas tabelas seguintes, é dado gratuito, ferramenta gratuita e plataforma paga só depois de saturado o gratuito.

2. Princípios do Laboratório de CTI-TH

Três princípios evitam que o laboratório vire peso morto ou risco. Primeiro, isolamento total: datasets com malware real, agentes de emulação e máquinas vulneráveis vivem em rede separada, sem credencial corporativa e sem acesso à internet de produção quando o exercício envolve execução de código. Segundo, custo progressivo: começa-se com datasets prontos e docker, que não custam licença nem hardware, e só se avança para plataformas pagas quando o treino gratuito já está saturado, porque a limitação que trava o aprendizado quase nunca é a ferramenta. Terceiro, documentação do treino: todo exercício produz caderno de caça, e o material gerado alimenta o próprio acervo, o que transforma treino em produção de conteúdo para os capítulos práticos.

Um quarto princípio, menos óbvio, é a simetria do dado. Laboratório de caça só ensina quando o dataset contém tanto o ataque quanto o ruído normal de fundo, porque caça sem baseline ensina a achar o que já se sabe que está lá. Datasets que vêm com tráfego benigno integrado, como os pacotes de simetria do capítulo 16, valem mais que coletâneas de eventos isolados de ataque, e essa é a primeira pergunta a fazer sobre qualquer dataset novo antes de incorporá-lo ao treino.

Vale fixar ainda a fronteira ética e legal do treino: simulação de ataque com Caldera ou Atomic Red Team acontece só em VM própria, em rede isolada, e nunca em rede de produção ou de terceiros, mesmo que a intenção seja de teste. A governança do programa mantém regras simples de engajamento para o laboratório, escritas em uma página, e cada novo analista as lê antes do primeiro exercício, o mesmo espírito das considerações legais do capítulo 12.

3. Datasets Públicos de Logs e Telemetria

Os datasets públicos resolvem o problema mais barato e mais frequente do treino: dar ao analista uma massa de log realista, com ataque embutido, para consultar em um SIEM ou notebook próprio. A tabela resume os principais, todos de uso gratuito, com a observação de licença e a forma de consumo em casa.

A regra de uso da casa é a mesma para todos os datasets: baixar, ingerir, executar uma caça com o template da nota 07 e registrar o desfecho, mesmo negativo. Dataset baixado e não ingerido é estoque morto, e o objetivo do catálogo não é acumular fontes, e sim garantir que cada uma gere pelo menos um ciclo completo de exercício documentado. Datasets de eventos do Windows, em particular, combinam bem com os capítulos 08 e 18, porque permitem validar regras Sigma antes de levá-las à telemetria real.

4. Laboratórios Montáveis em Casa

Os laboratórios montáveis dão ao analista a camada que o dataset não cobre: operar a ferramenta de verdade, com instalação, configuração, conector e falha, que é onde se aprende o que o relatório não conta. A tabela cobre os seis ambientes padrão do programa, todos de código aberto ou de uso comunitário.

O par Caldera com Atomic Red Team é o coração do treino de simetria: o Caldera executa a cadeia do adversário e a telemetria cai no SIEM, onde o analista caça o que acabou de ser executado, e o Atomic Red Team serve para testes pontuais de técnica, um de cada vez, com a vantagem de cada teste documentar os campos de log que devem aparecer. A combinação básica de casa, uma VM atacante, uma VM vítima Windows com coletor e um SIEM em docker, roda em um notebook de 16 GB de RAM e cobre a maior parte dos exercícios do capítulo 16.

5. Plataformas de Treino Guiado

As plataformas guiadas entram quando o analista precisa de trilha pronta, de correção e de variedade, e valem pela curadoria que economiza tempo. O custo é em assinatura, e a decisão de pagar deve seguir a saturação do treino gratuito, conforme o princípio da seção 2.

A escolha pragmática do programa é usar TryHackMe como trilha de onboarding, CyberDefenders como ginásio gratuito contínuo, HackTheBox para os Sherlocks de profundidade e BlueTeamLabs para treino cronometrado antes de avaliações. Nenhuma plataforma substitui o laboratório próprio de ferramenta, porque nenhuma ensina a operar MISP ou OpenCTI em produção, e a governança deve tratar as duas camadas como complementares.

A regra de aproveitamento das plataformas é transformar desafio em artefato de acervo: cada Sherlocks resolvido ou trilha concluída gera um caderno de caça resumido, com as consultas usadas e as lições, vinculado ao capítulo relevante da biblioteca. O desafio resolvido e não documentado treina apenas o indivíduo, e o desafio documentado treina o time inteiro, que passa a herdar as consultas e os raciocínios sem repetir o custo.

6. Roteiro de Progressão de Treino

O catálogo anterior só vira capacidade com sequência, e a governança do programa fixa um roteiro de progressão trimestral que consome os três níveis em ordem crescente de custo e de complexidade. O roteiro abaixo é o padrão recomendado para um analista novo ou para um time reativando o treino, e cada trimestre termina com um entregável documentado conforme a nota 07.

O roteiro é deliberadamente conservador no custo: até o trimestre 3 nada sai de licença, e a assinatura de plataforma entra apenas quando o time já demonstra consumo dos recursos gratuitos nos cadernos. Time pequeno pode esticar o ritmo para um ciclo de seis meses, mantendo a ordem, porque a sequência importa mais que a velocidade.

Para times com perfis mistos, a adaptação é por ênfase e não por trilha diferente: analista de CTI concentra o trimestre 2 na produção de eventos e na taxonomia, hunter concentra os trimestres 1 e 3 nas caças e na simetria, e engenheiro de detecção antecipa o uso de EVTX para validar regras. O entregável de cada período continua igual, porque o objetivo do roteiro é produzir artefatos reutilizáveis e não apenas horas de estudo registradas.

7. Laboratório Mínimo Recomendado: MISP em Docker

O laboratório mínimo do programa é um MISP local, porque ele habilita os exercícios de ciclo de vida de IOC, de taxonomia, de compartilhamento e de enriquecimento que atravessam os capítulos 02, 03 e 22, e porque roda em qualquer máquina com docker. O compose a seguir é o ponto de partida da seção 4, com os quatro serviços mínimos, e a primeira senha de administrador deve ser trocada no primeiro acesso.

services:
  db:
    image: mariadb:10.11
    restart: unless-stopped
    environment:
      MYSQL_ROOT_PASSWORD: trocar-root
      MYSQL_DATABASE: misp
      MYSQL_USER: misp
      MYSQL_PASSWORD: trocar-misp
    volumes:
      - misp-db:/var/lib/mysql

  redis:
    image: redis:7
    restart: unless-stopped

  misp-core:
    image: ghcr.io/misp/misp-docker/misp-core:latest
    restart: unless-stopped
    depends_on:
      - db
      - redis
    ports:
      - "8443:443"
    environment:
      HOSTNAME: misp.local
      MISP_BASEURL: https://localhost:8443
      MISP_ADMIN_EMAIL: admin@admin.test
      MISP_ADMIN_PASSPHRASE: Trocar.Esta.Senha.1
      MYSQL_HOST: db
      MYSQL_USER: misp
      MYSQL_PASSWORD: trocar-misp
      REDIS_HOST: redis

  misp-modules:
    image: ghcr.io/misp/misp-docker/misp-modules:latest
    restart: unless-stopped
    depends_on:
      - misp-core

volumes:
  misp-db:

O primeiro acesso é feito em https://localhost:8443 com a credencial de administrador definida no compose, e os passos iniciais recomendados são trocar a senha, criar a organização do laboratório, habilitar dois ou três feeds públicos de CTI e sincronizar um evento de teste para exercitar taxonomias e distribuição. Com o MISP rodando, o próximo passo do programa é conectar o OpenCTI a ele por conector nativo, o que fecha o ambiente para os exercícios de TIP do capítulo 24, e depois instalar o agente do Caldera em uma VM Windows com coletor, completando o range de simetria.

Dois cuidados operacionais completam o laboratório mínimo: backup do volume do banco antes de qualquer atualização de imagem, que permite voltar atrás quando a nova versão muda esquema, e snapshot da VM antes de cada exercício de emulação, que reduz a reconstrução de ambiente a um clique. Nenhum dos dois exige ferramenta paga, e os dois salvam horas exatamente no dia em que o treino fica mais interessante.

8. Erros Comuns e Pontos de Atenção

O erro mais comum é o laboratório espelho de produção: credenciais reais, rede corporativa e dados de clientes no ambiente de treino, que transforma exercício em risco. O laboratório usa sempre credencial dedicada, rede isolada e dado sintético ou público, e a regra vale com força dupla para ambientes com malware vivo, como a análise de pcaps com amostra armada. O segundo erro é a inversão de prioridade que compra assinatura cara antes de ingerir o primeiro dataset gratuito, e o antídoto é o ciclo mínimo da seção 3: dataset, caça, caderno e desfecho, antes de qualquer despesa.

O terceiro erro é treinar sem baseline e acreditar que caça em dataset de ataque puro é caça. Caça real é procurar agulha em palheiro, e o dataset que não tem palheiro ensina a detecção trivial, não a caça; prefira sempre os pacotes com tráfego benigno embutido ou gere ruído próprio na VM vítima antes de executar a simulação. Por fim, atenção ao ciclo de vida do próprio laboratório: imagens antigas de MISP e OpenCTI acumulam vulnerabilidade real, e a atualização periódica do laboratório deve entrar no calendário semestral da nota 11, junto com a revisão do acervo.

Um erro silencioso merece destaque: o laboratório que ninguém usa. Ambiente montado com esforço considerável morre por falta de rotina, e o antídoto é institucional e simples, agendar uma hora fixa de treino por semana no calendário do time, com o tema do dia escolhido entre os datasets catalogados e o resultado registrado no quadro de caça. Rotina semanal de uma hora supera, ao longo de um ano, qualquer intensivo isolado, porque aprendimento de caça é acumulação de repetições sobre dados variados.

9. Integração com o Restante da Biblioteca

O catálogo desta nota é o alicerce material do capítulo 16, que traz os roteiros de exercício passo a passo sobre estes mesmos datasets e laboratórios, e dos templates da nota 07, que definem como cada exercício é planejado e registrado. Nas notas de ferramenta do capítulo 24, o MISP, o OpenCTI, o Caldera e o Atomic Red Team aparecem em profundidade de operação, e o laboratório aqui descrito é o ambiente onde essas notas são verificadas na prática. Os datasets de EVTX e de telemetria simétrica sustentam ainda os exercícios de regra do capítulo 18, onde a detecção escrita no treino vira regra candidata ao pipeline real.

Para começar hoje, o caminho mais curto é: subir o compose da seção 7, baixar um pacote de EVTX-ATTACK-SAMPLES referente a uma técnica do capítulo 08 e executar uma caça de agregação simples sobre ele usando o plano da nota 07 como roteiro. Esse ciclo único já produz o primeiro artefato de treino documentado do time, e a cada ciclo novo o laboratório deixa de ser projeto e passa a ser rotina.