Nova ontologia busca formalizar atribuição e investigação de ciberataques
Dilpreet Kaur Gill e Erisa Karafili propõem, na Forensic Science International: Digital Investigation, uma ontologia para estruturar o processo de atribuição e investigação de ciberataques. O texto completo não pôde ser acessado (bloqueio da ScienceDirect); a análise abaixo é contextual, baseada no título e no tema geral do trabalho.
Atribuição de ciberataques — determinar quem esteve por trás de uma intrusão e com que grau de confiança — é hoje conduzida em boa parte de forma manual e pouco padronizada entre analistas, misturando indicadores técnicos (TTPs, infraestrutura, malware) com raciocínio investigativo qualitativo. Uma ontologia, no sentido usado aqui, é um modelo formal que define entidades (atores de ameaça, técnicas, indicadores, vítimas, evidências) e as relações permitidas entre elas, permitindo que ferramentas e analistas raciocinem sobre um caso de forma estruturada e computável, em vez de depender apenas de relatórios em texto livre.
Sem acesso ao artigo completo (o ScienceDirect bloqueou a coleta e o RSS não disponibiliza abstract), não é possível detalhar aqui a estrutura específica da ontologia proposta, as classes e relações que ela define, ou os casos de uso testados pelos autores — incluir esse nível de detalhe sem confirmação seria inventar conteúdo da fonte.
Do ponto de vista prático, ontologias formais para atribuição têm valor onde a explicabilidade importa: permitem documentar de forma auditável por que uma investigação chegou a determinada conclusão de atribuição, apoiando tanto a defesa técnica de um laudo pericial quanto a interoperabilidade entre ferramentas de diferentes equipes (CTI, DFIR, jurídico) que hoje frequentemente usam vocabulários e critérios distintos para descrever o mesmo incidente.