Questão de Segurança da Informação — MITRE ATT&CK — INSTITUTO AOCP 2023

MITRE ATT&CK: Táticas de Reconhecimento e Descoberta

Gabarito: letra D. A etapa de Reconhecimento tem como propósito geral obter informações que possam ser utilizadas futuramente para planejar operações, conforme a descrição oficial da tática no framework MITRE ATT&CK. As demais alternativas erram ao classificar as técnicas como exclusivamente passivas ou ativas, ou ao inverter os propósitos das duas táticas.

O MITRE ATT&CK (Adversarial Tactics, Techniques, and Common Knowledge) é um framework de cibersegurança que documenta o comportamento de adversários por meio de Táticas (o "porquê" do ataque), Técnicas e Subtécnicas (o "como") e Procedimentos (os passos detalhados). As táticas representam os objetivos estratégicos do invasor em cada fase do ataque, e cada uma delas agrupa diversas técnicas que podem ser executadas de formas diferentes. O framework é dividido em matrizes (Enterprise, Mobile e ICS), e a matriz Enterprise é subdividida em várias outras, incluindo a Matriz PRE, que abrange técnicas preparatórias como reconhecimento e desenvolvimento de recursos.

A tática de Reconhecimento, segundo a descrição oficial da MITRE, é quando "o adversário está tentando reunir informações que possam usar para planejar operações futuras". Isso inclui tanto técnicas passivas (como observar informações disponíveis publicamente, sem interagir diretamente com o alvo) quanto técnicas ativas (como varrer redes ou interagir com sistemas do alvo para coletar dados). O ponto central é que o reconhecimento é a fase de coleta de informações para subsidiar as etapas seguintes do ataque.

Já a tática de Descoberta é quando "o adversário está tentando descobrir o seu ambiente". Ou seja, após obter acesso inicial a um sistema, o invasor explora o ambiente interno para mapear recursos, sistemas, usuários e dados que possam ser úteis para avançar no ataque. A Descoberta também pode envolver técnicas ativas e passivas, mas seu foco é o ambiente já acessado, não a coleta preliminar de informações externas.

A distinção fundamental entre as duas táticas é o momento e o objetivo: o Reconhecimento ocorre antes do acesso, buscando informações sobre o alvo para planejar o ataque; a Descoberta ocorre após o acesso, buscando informações dentro do ambiente comprometido para avançar. Essa fronteira é exatamente o que as alternativas tentam confundir.

Alternativa A — ❌ Incorreta

Afirma que as técnicas de Reconhecimento são apenas passivas e as de Descoberta são apenas ativas. Isso é falso: o Reconhecimento pode incluir técnicas ativas (como varredura de portas ou interação com sistemas do alvo) e a Descoberta pode incluir técnicas passivas (como observar arquivos e configurações já acessíveis). A classificação binária "apenas" é o erro central.

Alternativa B — ❌ Incorreta

Afirma que as técnicas de Reconhecimento são apenas passivas e as de Descoberta são ativas e passivas. O erro está na primeira parte: o Reconhecimento não se limita a técnicas passivas. O adversário pode realizar reconhecimento ativo, como escanear a rede ou enviar requisições ao alvo para coletar informações. A segunda parte está correta, mas a alternativa como um todo é falsa.

Alternativa C — ❌ Incorreta

Afirma que tanto o Reconhecimento quanto a Descoberta são apenas passivas. Isso é duplamente errado: ambas as táticas podem empregar técnicas ativas. O Reconhecimento ativo envolve interação direta com o alvo (ex.: varredura de vulnerabilidades), e a Descoberta ativa envolve a exploração do ambiente comprometido (ex.: enumerar usuários e permissões).

Alternativa D — ✅ Correta ⟵ GABARITO

A descrição está correta: a tática de Reconhecimento tem como propósito geral obter informações que possam ser utilizadas futuramente para planejar operações. Isso está alinhado com a definição oficial da MITRE, que descreve o Reconhecimento como a tentativa de reunir informações para planejar operações futuras. A alternativa captura a essência da tática sem impor restrições indevidas sobre os métodos (passivos ou ativos).

Alternativa E — ❌ Incorreta

Afirma que na etapa de Descoberta o propósito geral é buscar informações em bases de dados abertas. Isso inverte os propósitos: a busca em bases de dados abertas (OSINT) é uma técnica típica de Reconhecimento, não de Descoberta. A Descoberta ocorre após o acesso inicial e visa mapear o ambiente interno comprometido, não coletar informações externas públicas.

Gabarito: letra D — a única alternativa que descreve corretamente o propósito da tática de Reconhecimento, sem impor classificações absolutas de técnicas passivas/ativas e sem inverter os papéis das duas táticas.