No dia 10 de novembro, fui convidado a participar de um programa de televisão para falar de um possível vazamento envolvendo um serviço de segurança pública de São Paulo. As informações que circulavam indicavam que o comprometimento teria dado acesso a câmeras e a outros dados. Até onde sei, o mesmo serviço já é usado em outros estados, e a expectativa é que chegue a mais deles.
Nesse tipo de tema, a pressão por uma resposta rápida e definitiva é grande. O público quer saber se houve invasão, quem está por trás e se existe risco. Só que, naquele momento, a investigação ainda estava em andamento e muita coisa não estava confirmada.
Esse é o ponto que quero tratar aqui. Existe uma diferença entre o que sabemos, o que acreditamos ter acontecido e o que conseguimos demonstrar. Quem trabalha com cibersegurança, em qualquer área, precisa respeitar essa diferença. Transformar hipótese em fato, ou deixar que um dado isolado crie a sensação de que algo aconteceu, coloca em risco a nossa credibilidade e a reputação das pessoas e organizações envolvidas.
Fiz o possível para tratar o assunto com responsabilidade ética e para apresentar os fatos de um jeito que ninguém interpretasse de forma errada. Neste artigo eu compartilho os recursos que uso para isso. Eles valem para relatórios de inteligência, investigações de incidente, reuniões com executivos e entrevistas.
O problema é a falsa certeza
Em investigações de segurança, quase nunca temos todas as informações logo de cara. Encontramos indicadores de comprometimento, registros de autenticação suspeitos, conexões com servidores externos, arquivos maliciosos ou sinais de movimentação lateral. Esses elementos não respondem sozinhos a três perguntas: quem atacou, por quê e até onde o ataque foi.
Compare duas frases:
Frase 1: “O ataque foi realizado por um grupo de hackers associado a um governo estrangeiro.”
Frase 2: “As evidências têm semelhanças com técnicas usadas antes por grupos associados a governos estrangeiros. Os elementos disponíveis ainda não permitem estabelecer a autoria.”
A segunda separa a observação técnica da atribuição de responsabilidade. O analista que escreve a frase 2 conhece o assunto e reconhece os limites das evidências. O problema começa quando uma hipótese aparece como fato. Num relatório de Cyber Threat Intelligence (CTI), uma palavra mal escolhida pode levar um executivo a decidir com base numa certeza que não existe.
Fato, hipótese, inferência e conclusão
Antes de comunicar qualquer avaliação, vale separar quatro conceitos.
Fato observado. Informação que se demonstra com evidência verificável. Exemplo: “Os registros do firewall mostram uma conexão de saída para o endereço IP 203.0.113.10 às 03h42.” (Um endereço de exemplo.) O fato continua válido enquanto os registros estiverem íntegros e bem interpretados.
Hipótese. Explicação possível que ainda precisa ser investigada. Exemplo: “A conexão pode estar relacionada a uma infraestrutura de comando e controle (C2).” O verbo pode indica uma possibilidade, sem confirmar nada.
Inferência. Interpretação construída a partir das evidências. Exemplo: “A frequência das conexões, os intervalos regulares e a associação do destino com campanhas maliciosas anteriores sugerem atividade de beaconing.”
Conclusão analítica. Julgamento que pesa as evidências, as hipóteses alternativas e as limitações da investigação. Exemplo: “Avaliamos como provável que o equipamento tenha se comunicado com uma infraestrutura de comando e controle. Nossa confiança é moderada, porque temos os registros de rede e não temos telemetria do endpoint.”
Existe uma sequência entre observar, levantar hipóteses, interpretar e concluir. O erro acontece quando pulamos etapas e a suspeita vira verdade.
Possível não significa provável
“É possível que o incidente tenha envolvido um agente interno” apenas reconhece uma hipótese. “É provável que o incidente tenha envolvido um agente interno” é uma avaliação bem mais forte, e precisa de elementos investigativos que a sustentem.
O mesmo vale para outros casos. Um ataque contra uma infraestrutura crítica pode estar ligado a espionagem, mas isso não faz da espionagem a explicação mais provável. Uma vulnerabilidade existir num sistema também não prova que alguém a explorou.
Possibilidade descreve o que pode ocorrer. Probabilidade expressa o quanto consideramos plausível que tenha ocorrido. Misturar os dois transforma análise técnica em especulação.
Como a inteligência profissional comunica incerteza
Comunicar incerteza faz parte das práticas de produção de inteligência. A FIRST (Forum of Incident Response and Security Teams), a comunidade de inteligência dos Estados Unidos e o governo britânico têm orientações próprias. Dois conceitos aparecem em todas elas.
Words of Estimative Probability (WEP)
São expressões padronizadas para a probabilidade estimada de uma hipótese ou de um evento. A FIRST recomenda, nos relatórios de CTI, uma escala de cinco termos baseada na terminologia da OTAN:
| Expressão | Faixa de referência |
|---|---|
| Muito improvável | Menos de 10% |
| Improvável | 10% a 40% |
| Chance equilibrada | 40% a 60% |
| Provável | 60% a 90% |
| Muito provável | Mais de 90% |
A própria FIRST explica que os percentuais mostram como os termos se relacionam entre si e que o analista não calculou uma probabilidade exata.
Outras escalas existem e não coincidem. Em “provável”, por exemplo, a FIRST usa 60% a 90%, a comunidade de inteligência dos EUA usa 55% a 80% (segundo o CIS) e o governo britânico usa cerca de 55% a 75%, numa escala de sete níveis. Escolha um padrão, documente e use sempre o mesmo. Misturar escalas no mesmo relatório gera interpretações diferentes para a mesma palavra.
Levels of Confidence in Assessment (LCA)
Enquanto a WEP trata da probabilidade, a LCA trata da confiança na base da análise. A FIRST descreve três níveis:
- Alta confiança: informação de boa qualidade, com evidências de várias capacidades de coleta, que permite um julgamento claro.
- Confiança moderada: as evidências admitem mais de uma interpretação, ou são plausíveis mas faltam correlações.
- Baixa confiança: informação fragmentada, ou vinda de fontes de confiabilidade duvidosa.
Probabilidade e confiança são coisas diferentes. O governo britânico explica a distinção assim: a probabilidade mede o quanto um julgamento tende a ser verdadeiro, e a confiança mede o quanto são sólidas e estáveis as evidências e o raciocínio por trás dele.
Um analista pode dizer: “Avaliamos como muito improvável que tenha ocorrido exfiltração de dados no período analisado. Nossa confiança é alta, considerando a cobertura dos registros, a telemetria de rede e o resultado da investigação.” Também pode considerar um cenário provável e ter baixa confiança por falta de evidências. Reportar os dois números dá ao leitor uma imagem muito mais útil.
Palavras que pedem cuidado
Algumas palavras criam uma impressão de certeza maior do que as evidências sustentam. A tabela mostra alternativas:
| Evite afirmar sem sustentação | Prefira |
|---|---|
| “Confirmamos que houve uma invasão.” | “Identificamos evidências compatíveis com acesso não autorizado.” |
| “O grupo X realizou o ataque.” | “Foram observadas técnicas associadas antes ao grupo X, sem atribuição conclusiva.” |
| “Os dados foram roubados.” | “Há indícios de possível exfiltração de dados, ainda não confirmada.” |
| “O ataque teve motivação política.” | “A motivação política é uma das hipóteses consideradas e ainda não foi estabelecida.” |
| “Não houve comprometimento.” | “Não foram identificadas evidências de comprometimento no escopo analisado.” |
| “O incidente foi causado por um funcionário.” | “A investigação considera a possibilidade de participação interna, sem conclusão sobre autoria.” |
| “O sistema está completamente seguro.” | “Os controles avaliados não apresentaram falhas nos testes realizados.” |
Isso não significa fugir de palavras como “confirmado” ou “comprovado”. Quando um fato foi demonstrado por evidências suficientes, comunique com clareza. A linguagem precisa ser proporcional à força das evidências. Um relatório hesitante demais também prejudica, sobretudo quando atrasa decisões urgentes.
Ausência de evidência não prova ausência
Imagine uma equipe investigando um possível vazamento. A análise inicial não encontra registros de transferência de arquivos para fora da organização. Dá para concluir que nenhum dado foi roubado?
Não. Os registros podem não ter sido preservados, a ferramenta de monitoramento pode ter pouca visibilidade, ou a transferência pode ter usado um canal que a investigação não cobriu. Por isso, “Não houve vazamento de dados” e “Até o momento, não foram identificadas evidências de exfiltração nos registros e sistemas analisados” dizem coisas diferentes. A segunda frase delimita o alcance da investigação.
Há um contraponto. Quando existe monitoramento confiável, boa cobertura e a expectativa técnica de que um evento seria registrado, a ausência dele passa a ser uma evidência relevante. A análise precisa considerar o que foi encontrado e também a qualidade dos mecanismos usados na busca.
O risco da atribuição precipitada
Atribuir um ataque é uma das tarefas mais difíceis em CTI. Suponha que uma investigação encontre um malware já usado por um grupo conhecido. Isso prova que o mesmo grupo fez o novo ataque? Não. Ferramentas são reutilizadas, vendidas, modificadas e, em alguns casos, usadas para plantar falsas pistas. Grupos diferentes também usam técnicas parecidas.
A atribuição exige análise de contexto e correlação de vários elementos:
- infraestrutura usada na operação;
- táticas, técnicas e procedimentos (TTPs);
- características de malware e ferramentas;
- padrões operacionais e escolha de alvos;
- histórico de campanhas.
Mesmo assim, a conclusão pode continuar incerta. O CERT-EU, em seu framework de CTI, faz atribuição apenas técnica, baseada em evidências, e declara que não faz atribuição política. Quando um parceiro confiável estabelece um vínculo geográfico, o CERT-EU o descreve como “agentes de ameaça ligados a [país]” e avisa que isso não indica direção do Estado. Atribuição técnica, motivação e responsabilidade estatal são questões relacionadas e distintas. Além disso, a atribuição vale para um período e um escopo definidos e pode ser revista.
Diante da imprensa
Profissionais de cibersegurança são convidados a comentar incidentes, e a pressão por respostas diretas é natural. As perguntas costumam ser: foi um ataque hacker, o sistema foi invadido, quem está por trás, existe risco para a população. A rapidez da resposta não elimina o rigor técnico.
Imagine uma pergunta sobre um suposto vazamento de dados pessoais. Uma resposta precipitada seria: “Sim, o sistema foi invadido e os hackers roubaram os dados.” Uma resposta responsável:
“Precisamos diferenciar a exposição de informações de uma invasão ao sistema. Dados expostos sem autorização não provam, por si só, que houve acesso malicioso à infraestrutura. É preciso investigar a origem da exposição e os mecanismos envolvidos.”
Essa resposta continua objetiva. Ela esclarece o problema sem confirmar o que ainda não foi demonstrado.
Uso uma estrutura simples para essas situações: fato, cautela e lição. Primeiro digo o que se sabe. Depois explico o que ainda não pode ser confirmado. Por último, apresento a consequência prática para quem está assistindo. Por exemplo:
“Existe uma investigação sobre uma possível exposição de informações. Ainda não temos elementos para dizer se houve invasão ou exploração de alguma vulnerabilidade. Seja qual for a origem, o episódio reforça a importância de controle de acesso, monitoramento contínuo e proteção de dados pessoais.”
O modelo permite transmitir conhecimento sem transformar conjectura em afirmação definitiva.
Quando a especulação vira alarmismo
A comunicação imprecisa tem consequências sociais. Imagine uma sequência de notícias sobre ataques a instituições financeiras, interrupções em serviços públicos e alertas governamentais. Os eventos podem ser reais e não ter causa comum. Quando eventos independentes são apresentados como parte de uma operação coordenada, sem evidência suficiente, nasce uma narrativa artificial, e hipóteses passam a circular como fatos.
Frases como “estamos diante de uma guerra cibernética”, “isso comprova uma sabotagem internacional” ou “um grande ataque global está prestes a acontecer” exigem evidências proporcionais à gravidade. A possibilidade de uma ameaça merece atenção. Isso não a transforma em ameaça confirmada.
O papel do especialista é dar contexto para que as pessoas entendam o risco real. Isso inclui não minimizar ameaças nem ignorar sinais de alerta, e distinguir preparação legítima de alarmismo enquanto os fatos ainda se esclarecem.
Saber dizer “ainda não sabemos”
Às vezes a resposta mais correta é reconhecer que as informações disponíveis não bastam. Isso faz parte do trabalho analítico, e identificar lacunas de inteligência é uma etapa dele.
A diretiva ICD 203, da comunidade de inteligência dos Estados Unidos, estabelece padrões de análise que incluem distinguir a informação de base dos julgamentos e das premissas do analista, expressar incertezas e considerar hipóteses alternativas. O último ponto merece atenção: uma análise não busca só evidências que confirmem a hipótese inicial, ela procura também o que a contradiz. Em CTI, Threat Hunting e DFIR, isso se traduz em perguntas como:
- Quais evidências sustentam a hipótese?
- Quais evidências poderiam contradizê-la?
- Existem outras explicações plausíveis?
- Qual a confiabilidade das fontes?
- Que informações ainda faltam?
- Que novas evidências mudariam a conclusão?
Essas perguntas reduzem o viés de confirmação e evitam que o analista se comprometa cedo demais com uma narrativa.
Da incerteza à decisão
Comunicar bem não termina na lista do que sabemos e do que não sabemos. O relatório precisa apoiar decisões. Suponha que uma equipe encontre atividade suspeita num servidor crítico e ainda não consiga confirmar o comprometimento. Um relatório poderia trazer:
- Observação: foram identificadas conexões periódicas para um destino associado antes a atividades maliciosas.
- Hipótese: as conexões podem representar comunicação de comando e controle.
- Avaliação: consideramos provável a existência de atividade maliciosa relacionada ao equipamento.
- Confiança: moderada, por falta de telemetria suficiente do endpoint.
- Lacunas: não foi possível determinar a origem do processo responsável pelas conexões nem identificar eventual movimentação lateral.
- Recomendação: preservar evidências, investigar o endpoint, ampliar a análise de telemetria e avaliar medidas de contenção proporcionais.
Não precisamos afirmar que o servidor foi comprometido para recomendar uma investigação prioritária. Na gestão de risco, decidimos antes de resolver todas as incertezas. O responsável precisa entender a avaliação, os limites dela e o que está em jogo ao agir ou não agir. Uma avaliação também muda quando surgem novas evidências. Se a conclusão original estava bem fundamentada na época, atualizá-la mostra o processo funcionando.
Glossário de siglas
| Sigla | Significado |
|---|---|
| CTI | Cyber Threat Intelligence, inteligência de ameaças cibernéticas |
| WEP | Words of Estimative Probability, expressões padronizadas de probabilidade |
| LCA | Levels of Confidence in Assessment, níveis de confiança na avaliação |
| FIRST | Forum of Incident Response and Security Teams |
| CERT-EU | Equipe de resposta a incidentes das instituições da União Europeia |
| ICD | Intelligence Community Directive, diretiva da comunidade de inteligência dos EUA |
| OTAN | Organização do Tratado do Atlântico Norte |
| C2 | Comando e controle, a infraestrutura que o atacante usa para operar o malware |
| TTP | Táticas, técnicas e procedimentos do atacante |
| DFIR | Digital Forensics and Incident Response, forense digital e resposta a incidentes |
| IP | Internet Protocol, o endereço de uma conexão |
| Beaconing | Comunicação periódica e regular de um equipamento infectado com o servidor do atacante |
| Exfiltração | Saída não autorizada de dados de um ambiente |
| Endpoint | Computador, servidor ou celular que fica na ponta da rede |
| Telemetria | Dados coletados dos sistemas, como registros de rede e eventos do endpoint |
Conclusão: precisão é credibilidade
Termos como “confirmado”, “provável”, “possível”, “improvável” e “não identificado” têm significado e consequência. Eles influenciam a percepção de risco, a reputação de organizações e as decisões de outras pessoas. O que você pode fazer com isso, a partir de hoje:
- Separe fato, hipótese, inferência e conclusão em qualquer relatório.
- Adote uma escala de probabilidade e uma de confiança, documente e use sempre as mesmas.
- Delimite o alcance de afirmações negativas: “não foram identificadas evidências nos sistemas analisados”.
- Trate atribuição técnica e atribuição política como coisas separadas.
- Ao falar com a imprensa ou com executivos, use fato, cautela e lição.
- Registre o que contradiria a sua hipótese e revise a avaliação quando as evidências mudarem.
Também não esconda conclusões sólidas atrás de linguagem vaga. O objetivo é equilibrar clareza, precisão e responsabilidade. Reduzimos a incerteza com evidências, e a comunicamos com o rigor de quem sabe o que ainda falta saber.
Quer discutir esse tema com outros profissionais ou sugerir o assunto do próximo artigo? Entre no nosso Discord: discord.com/invite/6h6D9W7DFj.
Referências
- FIRST: Communicating Uncertainties in CTI Reporting
- Office of the Director of National Intelligence: ICD 203, Analytic Standards
- UK Government: Explaining Uncertainty in UK Intelligence Assessment
- CERT-EU: Cyber Threat Intelligence Framework
- Center for Internet Security: Words of Estimative Probability, Analytic Confidences, and Structured Analytic Techniques
Seja o primeiro a comentar