misp

Material das Palestras de 2026 14º Fórum Brasileiro de CSIRTs 7º Workshop MISP Amcham Business Center Rua da Paz, 1431 Chácara Santo Antônio, São Paulo/SP. Estacionamento no local. Valor único por dia: R$40,00 Inscrições Cada evento tem sua própria inscrição, e é necessário ter conta no Portal de Cursos e Eventos do NIC.br. As inscrições foram encerradas dia 20 de julho. O evento é gratuito. Agenda 14º Fórum Brasileiro de CSIRTs 28 e 29 de julho de 2026 Horários sujeitos a alterações. A indicação de marcações TLP é colocada na agenda para referência. Sempre respeite o TLP que está no slide do palestrante e nas telas indicativas da sala do evento. Dia 1 - 28 de julho de 2026 Ivo de Carvalho Peixinho, Polícia Federal TLP:CLEAR SLIDES A apresentação detalhará como construir um analisador de malware automatizado usando ferramentas gratuitas como IDA Free, Ghidra, JADX, APKtool e outras, interligadas via vscode ou opencode com modelos LLM locais ou na nuvem. Ao fim serão mostrados exemplos reais de relatórios criados usando a ferramenta a partir de campanhas reais como Grandoreiro, Sorvepotel, Eternidade Stealer entre outros. Matheus Moura, Apura Cybersecurity Intelligence TLP:CLEAR SLIDES Incidentes envolvendo exposição de dados pessoais costumam ser tratados como eventos isolados, limitados ao momento do vazamento ou da publicação indevida das informações. No entanto, a experiência prática demonstra a existência de uma camada operacional posterior e frequentemente negligenciada: a reutilização estruturada desses dados por painéis ilícitos de consulta. Esses ambientes clandestinos consolidam múltiplas fontes informacionais, bases históricas expostas, credenciais comprometidas, integrações indevidas e mecanismos automatizados de consulta, convertendo dados dispersos em capacidade operacional imediata. Para equipes de tratamento de incidentes, o fenômeno impõe novo desafio: responder não apenas ao vazamento original, mas também ao uso continuado e operacionalizado das informações expostas. O objetivo é ampliar a leitura tradicional de incidentes de dados, demonstrando que, em muitos casos, o evento inicial não encerra o problema, apenas inaugura sua fase mais explorável. Henrique Shinki Kodama, FEBRABAN TLP:CLEAR TLP:AMBER+STRICT SLIDES Toda análise post-mortem revela mais sobre detecção do que sobre o ataque em si. Esta palestra apresenta as lições aprendidas a partir da análise post-mortem de um incidente envolvendo ransomware, com foco na investigação de logs e registros de servidores. A apresentação percorre o caminho reconstruído a partir da análise, destacando oportunidades de detecção precoce, falhas de visibilidade e práticas que podem fortalecer a postura de resposta a incidentes de outras equipes de segurança. Edney Fernandes, Banco da Amazônia TLP:CLEAR SLIDES A palestra propõe uma abordagem técnica e operacional sobre o uso de NetFlow/IPFIX como apoio à segurança cibernética e ao tratamento de incidentes em instituições financeiras, considerando requisitos das Resoluções CMN nº 5.274/2025 e BCB nº 538/2025. O objetivo é mostrar como a telemetria de fluxo de rede pode complementar controles como firewall, SIEM, EDR, IDS/IPS, NDR, proxy e logs, ajudando equipes de SOC, CSIRT, redes, infraestrutura e segurança a responder perguntas essenciais em investigações, como quem se comunicou com quem, quando, por qual porta, com qual volume e em qual direção. A apresentação relaciona o uso de NetFlow com temas como rastreabilidade, proteção de rede, validação de segmentação, identificação de conexões indevidas, monitoramento de ambientes críticos como Pix, STR e RSFN, detecção de tráfego atípico e suporte à resposta a incidentes. Também serão apresentados dois cenários práticos hipotéticos: uma conexão externa suspeita realizada por servidor de produção fora do horário útil e uma tentativa indevida de comunicação direta com ambiente crítico. O conteúdo terá linguagem técnica, objetiva e acessível, com foco na aplicação prática para profissionais envolvidos em segurança e resposta a incidentes. Tiago Neves, Vinícius Azevedo e Guilherme Ochsendorf, Opice Blum TLP:CLEAR SLIDES A apresentação abordará como os incidentes de grande impacto financeiro deixaram de se apoiar exclusivamente em vulnerabilidades técnicas complexas (como zero-days) para explorar um encadeamento de falhas estruturais, arquiteturais e de regras de negócio. O conteúdo trará uma análise das principais causas raízes identificadas em investigações forenses reais, devidamente anonimizadas, incluindo a exposição de credenciais hardcoded, ausência de Múltiplo Fator de Autenticação (MFA) em sistemas críticos, falhas de segregação de funções (SoD), comprometimento da cadeia de suprimentos (DevOps inseguro) e aliciamento de insiders. O objetivo é fornecer ao público do 14º Fórum Brasileiro de CSIRTs lições práticas de defesa, resposta e a importância da integração de uma governança técnico-jurídica, demonstrando como a rastreabilidade (logs) e a resposta rápida moldam o risco legal e regulatório perante órgãos como a ANPD e o Banco Central. Andrews Leal Moraes, Einstein Hospital Israelita TLP:CLEAR TLP:AMBER SLIDES O aumento do volume de dados pessoais armazenados por organizações e a crescente pressão regulatória associada à proteção dessas informações tornam cada vez mais relevante a capacidade de equipes de resposta a incidentes investigarem eventos envolvendo acessos potencialmente indevidos a dados sensíveis. Para equipes de CSIRT, um dos principais desafios está em distinguir atividades legítimas de comportamentos anômalos em ambientes complexos, onde usuários autorizados podem acessar grandes volumes de informação como parte de suas funções operacionais. Esta apresentação discute uma abordagem metodológica para investigação de eventos envolvendo dados sensíveis, combinando práticas de resposta a incidentes (CSIRT), investigação forense digital (DFIR) e avaliação de impacto sob a perspectiva de proteção de dados. Também serão discutidas práticas para reduzir falsos positivos, aprimorar a priorização de incidentes e estruturar playbooks específicos para investigações envolvendo acesso a informações sensíveis. Por fim, serão compartilhadas lições aprendidas relacionadas à evolução de processos de resposta a incidentes e à integração entre equipes de segurança da informação e programas de proteção de dados. André Torres Breves Gonçalves, TCU TLP:CLEAR SLIDES A palestra aborda a mudança de paradigma nos ataques cibernéticos modernos, onde os adversários não mais "hackeiam" sistemas, mas sim utilizam credenciais válidas para realizar acessos não autorizados. O foco central é a mitigação de riscos associados à gestão de contas privilegiadas (como senhas fracas, estáticas ou compartilhadas), demonstrando como implementar uma arquitetura Zero Trust robusta e de baixo custo utilizando ferramentas Open Source. Marlon Fabro, Globo TLP:CLEAR SLIDES Esta palestra discute o que é CTI, inlcuindo a a diferença entre dados, informação e inteligência, e o ciclo de vida do CTI. Também são discutidas a função do CTI na organização, as competências essenciais do analista de CTI, o que é produzido e para quem, e os níveis de maturidade do Modelo CTI-CMM. Atila Santos, Charles Lima e Grazielle Alessa, Mercado Bitcoin TLP:CLEAR TLP:GREEN SLIDES A adoção massiva de IA generativa nas organizações amplia a superfície de ataque e introduz riscos que não se encaixam nos modelos tradicionais de resposta a incidentes. O desafio deixa de ser exclusivamente técnico: como viabilizar o uso de IA em escala, com eficiência, sem comprometer a segurança e a continuidade do negócio? Nesta apresentação, demonstramos como o CSIRT do Mercado Bitcoin estruturou uma abordagem de adoção segura de IA baseada em risco, eficiência operacional e ganho de escala. A abordagem combina a definição de limites de risco com a implementação de workflows específicos para tratamento de incidentes relacionados a IA e proteção de modelos e dados associados. Também exploramos o uso da própria IA como aliada na segurança, potencializando processos de triagem, análise e automação, bem como os mecanismos adotados para manter governança e controle operacional sem inviabilizar a inovação. Por fim, compartilhamos práticas adotadas, desafios enfrentados e lições aprendidas ao longo da jornada. Cristine Hoepers, CERT.br/NIC.br TLP:CLEAR SLIDES Na última década houve um crescimento expressivo no número de CVEs registrados. Esse aumento é resultado de vários fatores, incluindo ferramentas de análise de código mais eficazes, sistemas mais complexos e maior interesse dos atacantes nesses sistemas. Em contrapartida, a comunidade também amadureceu e padrões foram criados para identificação de componentes da cadeia de dependências, atribuição de severidade e priorização de vulnerabilidades. As ferramentas de IA disponibilizadas recentemente tornaram ainda mais curto o tempo entre uma vulnerabilidade ser descoberta e um exploit funcional estar disponível. Este cenário torna crucial que as organizações consigam rapidamente identificar o seu grau de exposição e qual o risco de estarem prestes a ser ou já terem sido comprometidas. Esta palestra vai discutir como organizações podem usar os padrões já existentes para fazer gestão de vulnerabilidades realmente baseada em riscos, cobrindo não somente sistemas operacionais e aplicações de mercado, mas também software desenvolvido internamente e toda a cadeia de dependências. Junte-se a nós neste momento descontraído e acompanhado de "comes e bebes". Faça novos contatos, coloque a conversa em dia com antigos colegas e troque ideias com os palestrantes. Dia 2 - 29 de julho de 2026 Jamilson Ramos Evangelista, Anatel TLP:CLEAR SLIDES Esta palestra apresenta a atuação da Anatel no enfrentamento ao uso massivo de decodificadores piratas infectados, associados ao malware BadBox 2.0. Demonstra como esses dispositivos, amplamente distribuídos na borda da rede, são explorados como vetores para formação de botnets, execução de fraudes e ataques distribuídos. A palestra destaca desafios operacionais enfrentados por CSIRTs, incluindo baixa visibilidade, uso de CGNAT e infraestrutura distribuída. São discutidas estratégias práticas de detecção, mitigação e resposta coordenada, bem como lições aprendidas e recomendações aplicáveis à comunidade. Marcos P. Miranda de Souza, CTIR Gov TLP:CLEAR SLIDES A elevação da complexidade e do número de casos de incidentes cibernéticos no escopo da Administração Pública Federal (APF) cria desafios para a padronização e a eficácia da comunicação de incidentes e de centros de resposta com seus respectivos públicos. Neste sentido, esta palestra apresenta os processos de comunicação de incidentes executados pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) no período de 2025 a 2026, dando ênfase à estruturação, automação e direcionamento da comunicação. Como organização descritiva, será utilizado o modelo de comunicação de Lasswell – "quem diz o quê, por qual canal, para quem e com que efeito". Valdenir Júnior, Fernando Ebrahim e Ulisses Jardim, TRE-TO TLP:CLEAR TLP:GREEN TLP:RED SLIDES A gestão de vulnerabilidades em ambientes institucionais enfrenta um desafio recorrente: o volume de achados costuma superar a capacidade operacional das equipes responsáveis por analisá-los e tratá-los. Esta palestra apresenta a experiência do Tribunal Regional Eleitoral do Tocantins (TRE-TO) na evolução de seu processo de priorização de vulnerabilidades e como passou a incorporar referências como KEV (Known Exploited Vulnerabilities) e EPSS (Exploit Prediction Scoring System) na sua lógica de priorização, buscando maior aderência entre a decisão operacional e o risco efetivo. Serão apresentados os critérios adotados, a adaptação desses conceitos à ferramenta já utilizada pela instituição, a construção de consultas operacionais, a automação da extração de dados e a integração com painéis de apoio à decisão. Trata-se de um relato aplicado e operacional, voltado a organizações que precisam tomar decisões práticas diante de restrições concretas de tempo, pessoal e capacidade de remediação. André Ricardo Landim, CAIS / RNP TLP:CLEAR TLP:GREEN SLIDES A gestão da superfície de ataque continua sendo um grande desafio para equipes de segurança. Em ambientes dinâmicos e distribuídos, as organizações frequentemente não possuem visibilidade contínua dos serviços expostos dentro de seu próprio espaço de endereçamento. Esta apresentação introduz os resultados iniciais do projeto ARGUS na RNP, uma iniciativa focada em melhorar a visibilidade dos ativos expostos na infraestrutura de rede. O projeto utiliza o framework IVRE para coletar, indexar e analisar dados relacionados à superfície de ataque exposta, combinando-o com outros componentes open source para viabilizar varredura contínua, análise histórica e processamento de dados em larga escala. A apresentação demonstra como dados de varredura ativa, quando coletados e analisados continuamente ao longo do tempo, podem ser transformados em inteligência acionável para apoiar operações de Blue Team, SOC, CSIRT e Inteligência de Ameaças. Paulo Matheus Nicolau Silva, CEPESC TLP:AMBER+STRICT Um dos objetivos principais da etapa de análise no processo de resposta a incidentes, mais do que apontar a extensão dos danos, é possibilitar melhorias de segurança em diversos aspectos, como organizacionais, correção de vulnerabilidades, mudanças de arquitetura de rede, processos de detecção de ameaças, otimização do uso de ferramentas, entre outras. Esta palestra trará a análise de um caso real de ransomware, com o objetivo de demonstrar que de cada achado deriva uma lição aprendida ou oportunidade perdida de detecção que poderão ser revertidas em melhorias para evitar incidentes futuros. Zoziel Freire, Telefônica Brasil S.A. (Vivo) TLP:CLEAR SLIDES Esta palestra explora a evolução do ransomware sob a perspectiva de uma corrida armamentista contínua entre atacantes e defensores. Em vez de analisar apenas as técnicas de ransomware ou apenas as ferramentas de defesa, a apresentação mostra como cada avanço nas técnicas de ataque força uma evolução nas estratégias de defesa, e como novas capacidades de detecção levam os atacantes a desenvolver métodos cada vez mais sofisticados de evasão. Ransomware deixou de ser apenas um tipo de malware. Hoje, ele representa um ecossistema criminoso altamente adaptável, que evolui constantemente em resposta às melhorias nas defesas corporativas. No cenário atual, o campo de batalha do ransomware já não é definido apenas por quem executa o malware, mas também por quem possui maior visibilidade e capacidade de resposta no ambiente comprometido. Alencar Silva e Luiz Jussen, Soow Sigma TLP:CLEAR TLP:RED SLIDES A palestra tem como objetivo apresentar uma visão prática, baseada em casos reais de resposta a incidentes, sobre como o cenário de ameaças tem evoluído com a combinação de engenharia social, comprometimento de credenciais, abuso de ambientes de desenvolvimento, uso indevido de chaves de API, ransomware-as-a-service e uso inconsequente de agentes de inteligência artificial. Luiz Eduardo Paes Salomão, Polícia Civil do Distrito Federal (PCDF) TLP:AMBER+STRICT TLP:RED SLIDES Apesar de as defesas de endpoint corporativo estarem cada vez mais maduras, os Initial Access Brokers (IABs) continuam inundando a dark web com credenciais válidas. A explicação para esse fato está em um vetor silencioso, massivo e que opera fora do controle dos SOCs: a contaminação de dispositivos pessoais é facilitada por plataformas de compartilhamento de conteúdo, como o YouTube. Nesta apresentação, sairemos da teoria e abriremos os dados de um estudo empírico recente focado em mapear a cadeia de suprimentos de Infostealers distribuídos em vídeos no YouTube. Demonstraremos, com métricas e artefatos reais coletados em campo, como essas campanhas operam uma verdadeira "industrialização do cibercrime". A apresentação abordará o dilema prático de quem lida com incidentes: como responder a um comprometimento corporativo grave quando a "paciente zero" é a máquina não gerenciada (pessoal) de um funcionário? A palestra fornecerá insights operacionais para melhorar a triagem baseada em risco, integrar a inteligência de ameaças dessas campanhas na defesa ativa da identidade e adaptar os playbooks de resposta a incidentes para uma realidade onde a infecção acontece sem gerar um único alerta no EDR da empresa. Ednaldo Sousa e Rodrigo Tiago de França Silva, CSIRT Núclea TLP:CLEAR TLP:AMBER+STRICT TLP:RED Apresentaremos a exploração de processos legítimos em departamentos administrativos como vetor de ataque, com foco em cenários reais, como a resposta a ofícios e demandas formais no departamento Jurídico. A apresentação reforçará a postura que times de suporte técnico e resposta a incidentes (CSIRT/Help Desk) devem adotar em situações de urgência, especialmente quando lidam com demandas aparentemente válidas, mas potencialmente exploradas por agentes maliciosos. O objetivo é promover uma visão prática e aplicável, conectando processo, tecnologia e pessoas, para reduzir o risco operacional associado à exploração de fluxos administrativos legítimos. 7º Workshop MISP 30 de julho de 2026 Horários sujeitos a alterações. A indicação de marcações TLP está na agenda para referência. Sempre respeite o TLP que está no slide do palestrante e nas telas indicativas da sala do evento. 7º Workshop MISP – 30 de julho de 2026 Beyond Sharing: Integrating MISP into Security Operations Luciano Righetti, MISP Development Team / CIRCL Tradução Simultânea Espanhol/Português/Espanhol TLP:CLEAR SLIDES Este tutorial prático, ministrado por um dos membros da Equipe de Desenvolvimento do MISP, mostrará como integrar a plataforma MISP com ferramentas de operação de segurança, como Wazuh, Zeek e Suricata. Além destas integrações, o tutorial também cobrirá workflows e como fazer a curadoria de IoCs antes de integrá-los com as demais ferramentas. Beyond Sharing: Integrating MISP into Security Operations Luciano Righetti, MISP Development Team / CIRCL Tradução Simultânea Espanhol/Português/Espanhol Thiago Cesar e Ismael Rocha, Vision Cybersecurity TLP:CLEAR TLP:AMBER+STRICT SLIDES Honeypots permitem observar ataques reais na internet e coletar dados valiosos sobre atividades maliciosas. No entanto, transformar esses dados em inteligência acionável ainda é um desafio para muitas organizações. Nesta apresentação, demonstramos como dados coletados por honeypots podem ser processados, enriquecidos e transformados em indicadores de comprometimento (IOCs) estruturados. Mostraremos uma abordagem prática para integrar essas informações ao MISP, permitindo o compartilhamento de inteligência entre equipes de segurança e CSIRTs. A palestra apresentará exemplos reais de ataques coletados, bem como o processo de transformação desses eventos em inteligência utilizável para detecção, correlação e defesa. Mailson Ribeiro Santos e Ulisses de Sá Alencar e Moraes, SERPRO TLP:CLEAR SLIDES O compartilhamento de inteligência é motivado por diferentes objetivos, incluindo resposta em tempo real a incidentes, análise pós-incidente e produção de inteligência estratégica. Entretanto, esse processo apresenta desafios significativos, como a presença de dados sensíveis, o risco de vazamento e a falta de confiança entre organizações. Nesse contexto, o compartilhamento sem controle pode ser tão prejudicial quanto a ausência de compartilhamento, evidenciando a necessidade de abordagens estruturadas. Esta palestra apresenta o uso de MISP pelo SERPRO e evidencia que o uso eficiente do MISP depende não apenas de sua adoção tecnológica, mas da integração entre processos, automação e governança, reforçando que o compartilhamento inteligente sobre ameaças exige uma abordagem estruturada, segura e orientada à geração de valor. Cleber Soares, Owasp e Vision Cybersecurity TLP:CLEAR SLIDES Esta palestra apresenta uma abordagem prática para enriquecimento de Threat Hunting utilizando MISP e Maltego, integrados a múltiplas fontes como SIEM, sandbox de malware e feeds externos de Threat Intelligence. O fluxo contempla a coleta inicial de artefatos a partir de atividades de Threat Hunting proativo ou de alertas gerados por soluções de SIEM, seguida do enriquecimento e correlação de indicadores (IOCs) no MISP. Esses dados são expandidos com análise em sandbox e validação em fontes externas, permitindo maior contexto e redução de falsos positivos. O Maltego é utilizado para pivoting e análise visual das relações entre indicadores, possibilitando a identificação de infraestruturas maliciosas e padrões de ataque. A partir dessa correlação, são aplicadas técnicas de Threat Hunting orientadas por inteligência para busca ativa no ambiente. Por fim, os resultados apoiam ações de resposta e mitigação, incluindo bloqueios em controles como Firewall, IDS/IPS e WAF. Chamada de Palestras Chamada de Palestras — 14º Fórum de CSIRTs Convidamos todos os profissionais atuantes em Grupos de Tratamento de Incidentes de Segurança (CSIRTs) ou que trabalhem com segurança e tratamento de incidentes no seu dia a dia, a submeter propostas de palestras de interesse da Comunidade de Tratamento de Incidentes no Brasil, para o 14º Fórum Brasileiro de CSIRTs, que ocorrerá nos dias 28 e 29 de julho de 2026, na AMCHAM, em São Paulo/SP. Para cada proposta aceita, o NIC.br proverá apoio para transporte e estadia de um profissional para apresentá-la (o evento cobre somente deslocamento dentro do Brasil). Temas de Interesse A apresentação deve tratar de aspectos práticos e operacionais das atividades de tratamento e gestão de incidentes de segurança, bem como de aspectos da segurança da informação ou da Internet que sejam relacionados com ou tenham impacto no processo de tratamento de incidentes. Uma lista não exaustiva de temas de interesse para este evento segue: Estudos de caso e tendências relacionados com incidentes tratados Automatização de processos de tratamento de incidentes Compartilhamento automatizado de informações sobre ataques e ameaças Threat hunting como parte do processo de gestão de incidentes Uso de netflows no contexto de segurança e tratamento de incidentes Detecção, mitigação e remediação de códigos maliciosos (RATs, ransomware, botnets, etc) Detecção e mitigação de ataques em diversos ambientes, como rede, Web, nuvem, ICS e IoT Impactos, para CSIRTs, de novos regulamentos e legislação Iniciativas de conscientização sobre segurança Implementação de boas práticas e combate a abusos Outros temas de interesse para CSIRTs Importante: é desejável que as apresentações sejam aplicadas e práticas, e *não* devem ser voltadas a produtos e soluções de fornecedores específicos, com fins comerciais, nem trabalhos que sejam com ênfase puramente acadêmica. Submissão de Propostas As propostas de palestras deverão ser enviadas para o e-mail [email protected] com os seguintes dados: "[FORUM] " no início do Subject. Título completo. Resumo (Abstract) estendido, rascunho dos slides ou descrição detalhada. O importante é que seja possível avaliar o conteúdo e a abordagem. O comitê avaliador de trabalhos poderá, a seu critério, solicitar informações adicionais ou complementares. Nome completo, endereço de e-mail, mini CV e organização a que pertence cada um dos autores. TLP da palestra (pode ser misto, por exemplo: TLP:CLEAR com partes TLP:AMBER+STRICT). Datas Importantes 03 de maio de 2026 Prazo para envio de propostas de palestra 29 de maio de 2026 Divulgação da agenda 28 e 29 de julho 2026 14º Fórum Brasileiro de CSIRTs Chamada de Palestras — 7º Workshop MISP Convidamos todos os profissionais que trabalham com MISP, seja na manutenção de instâncias ou no uso dos dados compartilhados em seu dia a dia, a submeter propostas de palestras para o 7º Workshop MISP, que ocorrerá no dia 30 de julho de 2026, na AMCHAM, em São Paulo/SP. Para cada proposta aceita, o NIC.br proverá apoio para transporte e estadia de um profissional para apresentá-la (o evento cobre somente deslocamento dentro do Brasil). Temas de Interesse A apresentação deve tratar de aspectos práticos e operacionais relacionados com uso e operação da Plataforma MISP. Uma lista não exaustiva de temas de interesse para este evento segue: Estudos de caso de uso do MISP para proteção de infraestrutura, gestão de vulnerabilidades, threat hunting, threat intelligence, tratamento de incidentes e áreas correlatas Uso da plataforma de forma automatizada, por exemplo via PyMISP Integração do MISP com outras soluções Uso de MISP por comunidades e setores específicos Outros assuntos de interesse da comunidade de usuários de MISP Importante: é desejável que as apresentações sejam aplicadas e práticas, e *não* devem ser voltadas a produtos e soluções de fornecedores específicos, com fins comerciais, nem trabalhos que sejam com ênfase puramente acadêmica. Submissão de Propostas As propostas de palestras deverão ser enviadas para o e-mail [email protected] com os seguintes dados: "[MISP] " no início do Subject. Título completo. Resumo (Abstract) estendido, rascunho dos slides ou descrição detalhada. O importante é que seja possível avaliar o conteúdo e a abordagem. O comitê avaliador de trabalhos poderá, a seu critério, solicitar informações adicionais ou complementares. Nome completo, endereço de e-mail, mini CV e organização a que pertence cada um dos autores. TLP da palestra (pode ser misto, por exemplo: TLP:CLEAR com partes TLP:AMBER+STRICT). Datas Importantes 03 de maio de 2026 Prazo para envio de propostas de palestra 29 de maio de 2026 Divulgação da agenda 30 de julho de 2026 7º Workshop MISP TLP Uso de TLP no Fórum de CSIRTs e Workshops Todas as palestras terão indicação de expectativa de compartilhamento de acordo com o padrão TLP do FIRST. Uma discussão mais detalhada sobre TLP pode ser encontrada na página do CERT.br. Há também uma palestra sobre o assunto, cujo vídeo está disponível no YouTube. Abaixo está um resumo da expectativa de compartilhamento das palestras, dependendo do TLP escolhido pelo palestrante.

MISP heeft meerdere kwetsbaarheden verholpen in het MISP platform. De kwetsbaarheden betreffen onder andere het manipuleren van client-supplied primary en foreign keys door geauthenticeerde gebruikers, wat leidde tot ongeautoriseerd overschrijven van data, eigendomsoverdracht en wijziging van de scope van records. Verder was er een gebrekkige toegangcontrole bij bulkverwijdering van Event Reports en Sharing Groups, waardoor gebruikers met brede rolrechten items van andere organisaties konden verwijderen. Ook waren er meerdere toegangcontroleproblemen die het mogelijk maakten om ongeautoriseerde wijzigingen of verwijderingen over organisatiegrenzen heen uit te voeren. Daarnaast bevatte het platform een kwetsbaarheid waarbij geauthenticeerde sitebeheerders de NDJSON error log path konden instellen naar een webtoegankelijk PHP-bestand, wat leidde tot remote code execution via geïnjecteerde PHP-code in logbestanden. Verder konden geauthenticeerde beheerders willekeurige Kafka configuratiebestanden specificeren, waarmee arbitrary code execution mogelijk was door het laden van kwaadaardige libraries. Deze kwetsbaarheden zijn gemitigeerd door het invoeren van server-side validatie, strikte autorisatiecontroles, beperkingen op logpadconfiguraties, en het afdwingen van toegestane locaties voor configuratiebestanden.

Rilevate vulnerabilità in MISP Project Alert AL04/260623/CSIRT-ITA Sintesi Rilevate sei nuove vulnerabilità, di cui due con gravità "critica" e quattro con gravità “alta”, in MISP Project, nota piattaforma collaborativa di cyber threat intelligence. Tipologia Remote Code Execution Security Restrictions Bypass Data Manipulation Tampering Prodotti e/o versioni affette MISP Project, versioni precedenti alla 2.5.42 Azioni di mitigazione Ove non provveduto, si raccomanda di aggiornare il prodotto alla versione più recente disponibile.

Rilevata vulnerabilità in MISP Project Alert AL06/260605/CSIRT-ITA Sintesi Rilevata una vulnerabilità con gravità "critica" in MISP Project, nota piattaforma collaborativa di cyber threat intelligence. Tipologia Data Manipulation Tampering Descrizione e potenziali impatti In dettaglio, la vulnerabilità della CVE-2026-10868 – di tipo “Improper Privilege Management” – presente nella funzione UsersController::edit() di MISP Project, è dovuta alla mancanza di controlli sufficientemente rigorosi sui campi inviati. Di conseguenza, un utente autenticato può alterare record esistenti specificandone l'ID, portando alla manipolazione non autorizzata dei dati sul sistema target. Prodotti e/o versioni affette Misp Project versioni precedenti alla 2.5.39 Azioni di mitigazione In linea con le dichiarazioni del vendor, si raccomanda di aggiornare il prodotto alla versione più recente disponibile.

Rilevata vulnerabilità in MISP Project Alert AL04/260522/CSIRT-ITA Sintesi Rilevata una vulnerabilità di gravità "alta" nel componente MISP Project, legata alla creazione delle proposte ShadowAttribute. A causa di una mancata rimozione del campo id nei dati sottoposti dall'utente, il sistema interpretava la richiesta come un aggiornamento anziché come una nuova creazione. Di conseguenza, un utente autenticato può sovrascrivere un record esistente specificandone l'ID, portando alla manipolazione non autorizzata dei dati sul sistema. Tipologia Data Manipulation Prodotti e/o versioni affette Misp Project versioni precedenti alla 2.5.38 Azioni di mitigazione In linea con le dichiarazioni del vendor, si raccomanda di aggiornare il prodotto alla versione più recente disponibile.

Risolta vulnerabilità in MISP Alert AL09/260410/CSIRT-ITA Sintesi Rilevata vulnerabilità in MISP (Malware Information Sharing Platform), nota piattaforma open source per lo scambio delle informazioni, arricchimento e correlazione dei dati esterni. Tale vulnerabilità, qualora sfruttata, potrebbe permettere l’elusione dei meccanismi di autententicazione. Tipologia Authentication Bypass Prodotti e versioni affette MISP, versione 2.5.35 Azioni di mitigazione Si raccomanda di aggiornare la piattaforma all’ultima versione disponibile.

Every CISO knows the uncomfortable truth about their Security Operations Center: the people most responsible for catching threats in real time are the people with the least experience. Tier 1 analysts sit at the front line of detection, and yet they are also the most vulnerable to the cognitive and organizational pressures that quietly erode SOC performance over time. The Paradox at the Gate: Why Tier 1 Carries the Weight but Lacks the Armor Tier 1 is the layer that processes the highest volume of alerts, performs initial triage, and determines what gets escalated. But it is built on a foundation that is structurally fragile. Entry-level analysts, high turnover rates, and relentless alert queues create conditions where even well-designed detection rules fail to translate into timely, accurate responses. The paradox is here: Tier 1 performance defines SOC performance; But Tier 1 is often the least supported, least empowered, and most cognitively overloaded layer Tier 1 analysts face a daily avalanche of alerts. Over time, this leads to: Alert fatigue: constant exposure to high volumes reduces sensitivity to real danger. Decision fatigue: repeated micro-decisions degrade judgment quality. Cognitive overload: too many dashboards, too little context. False-positive conditioning: when 90% of alerts are benign, skepticism becomes automatic. Burnout and turnover: institutional memory evaporates For CISOs, these are not HR problems. It’s a business risk. When Tier 1 hesitates, misses, or delays escalation: Dwell time increases, Incident costs rise, Detection quality degrades, Executive confidence in security drops. If Tier 1 is weak, the entire SOC becomes reactive rather than predictive. The Core Engine Room: Monitoring and Triage as Business-Critical Workflows Tier 1 owns two foundational SOC processes: monitoring and alert triage. Monitoring is the continuous process of ingesting signals from across the environment — endpoints, networks, cloud infrastructure, identity systems — and applying detection logic to surface events of potential concern. Triage is what happens next: the structured, human-driven process of evaluating those events, assigning severity, ruling out false positives, and determining whether escalation is warranted. Basically, these are routine tasks. Watch telemetry. Sort alerts into true positive/false positive/needs escalation. But these also are revenue protection mechanisms since they determine MTTR, MTTD, and resource allocation efficiency. When these workflows are inefficient: Tier 2 and Tier 3 drown in noise, Incident response begins late, Business disruption expands, Operational costs increase, Regulatory exposure grows. Intelligence as Oxygen: The Foundation of Tier 1 Effectiveness Tier 1 cannot operate effectively in a vacuum, and raw alerts without context are just digital shadows. Actionable threat intelligence turns data into decisions. For a Tier 1 analyst asking, “Is this connected to an active campaign targeting our sector?”, it provides: IOC validation, Campaign context, TTP mapping, Infrastructure associations, Malware family attribution. Tier 1 analysts need threat intelligence more urgently than anyone else in the SOC, precisely because they make the most time-sensitive decisions with the least contextual background. Integrate actionable feeds and lookup enrichment into your SOC workflows to speed detection and improve operational resilience Step 1: Detect What Others Miss. Powering Monitoring with Live Threat Intelligence Feeds The first step toward a high-impact Tier 1 is upgrading the intelligence foundation of monitoring itself. Most SOC environments rely on detection rules built from static signatures or behavioral heuristics — logic that was accurate when written but degrades as adversaries adapt. Actionable threat intelligence feeds continuously inject fresh, verified indicators of compromise directly into the detection infrastructure. Rather than flagging anomalies and waiting for an analyst to research them, a feed-enriched monitoring layer flags activity that has already been confirmed as malicious through real-world analysis. Detections become based on behavioral ground truth, not statistical deviation. The operational effect on early detection is substantial. It compresses the window of exposure and dramatically reduces the cost of eventual containment. ANY.RUN's Threat Intelligence Feeds aggregate indicators (malicious IPs, URLs, domains) drawn from a continuously operating malware analysis sandbox that processes real-world threats in real time. This means the data reflects active threat activity observed through dynamic execution analysis, not historical reporting or third-party aggregation alone. Adversaries who modify their malware to evade static signatures cannot easily evade behavioral observation. Delivered in STIX and MISP formats, TI Feeds integrate directly with SIEMs, firewalls, DNS resolvers, and endpoint detection systems. Each indicator carries contextual metadata like malware families and behavioral tags, so that a detection is not just a flag but an explanation. For the business, intelligence-powered monitoring reduces MTTD, improves detection precision, and generates a measurable return on the broader security stack investment by ensuring that what gets detected is what actually matters. Step 2: From Flag to Finding. Enriching Every Alert with the Context Analysts Actually Need Before an analyst can enrich an alert, they often face a more immediate problem: a suspicious file or link has surfaced, and its nature is genuinely unknown. This is where the ANY.RUN Interactive Sandbox becomes a direct triage asset. Rather than relying on static reputation checks alone, analysts can submit the artifact to the sandbox and observe its actual behavior in a live execution environment — watching in real time as the file makes network connections, modifies the registry, drops additional payloads, or attempts to evade detection. Within minutes, the sandbox produces a verdict grounded in what the sample actually does, not just what it looks like. But detection is only the beginning of a T1 analyst's job. Once an alert surfaces, the analyst must determine whether it represents a genuine threat, understand what it means, and decide what to do with it — all under time pressure and against a queue of competing alerts. Without enrichment, this determination relies on analyst experience and manual research, both of which are in short supply at Tier 1. The quality and speed of enrichment determine the quality and speed of triage. Deep enrichment, grounded in behavioral analysis, allows analysts to reason about the actual risk of a detection rather than guessing at it. ANY.RUN's Threat Intelligence Lookup delivers this depth on demand. Analysts can query any indicator — domain, IP, file hash, URL — and receive immediate context drawn from the sandbox's analysis repository: full behavioral reports showing how the artifact executed, associated malware families and threat categories, network indicators observed during analysis, and connections to broader malicious infrastructure. A lookup is fast enough to fit into the triage workflow rather than interrupting it. domainName:"priutt-title.com" A single lookup allows us to understand that a doubtful domain spotted in the network traffic is most probably malicious, engaged in campaigns targeting IT, finance, and educational businesses all over the world right now, and linked to more indicators that can be used for further detection tuning. This changes how T1 operates across several dimensions: Analysts make faster, more confident decisions because they have evidence rather than inference. Escalation notes improve because analysts can articulate what they found and why it matters, reducing back-and-forth with Tier 2 and accelerating the handoff. False positives are closed with greater certainty, improving the precision of the escalation pipeline. For business objectives, enriched triage supports several priorities simultaneously: It accelerates MTTD and MTTR, which are key metrics for both security program effectiveness and regulatory compliance. It improves the quality of incident documentation for post-incident review, insurance claims, and regulatory reporting. It reduces analyst burnout by replacing frustrating ambiguity with actionable clarity. Finally, it ensures that the SOC's output reflects genuine analysis rather than overwhelmed guesswork. Step 3: Security That Compounds. Integrating ANY.RUN into Your Existing Stack Individual capabilities — however strong — deliver limited value when they operate in isolation. The third and most strategically significant step is integration: connecting ANY.RUN's Threat Intelligence Feeds, Lookup, and Sandbox into the existing security infrastructure so that intelligence flows automatically across every layer of the environment. This is where investment in T1 intelligence capabilities translates into organization-wide risk reduction. SIEMs that ingest TI Feeds generate higher-precision alerts, because the detection layer is operating from verified behavioral indicators rather than generic rules. Firewalls and DNS resolvers that consume the same feeds block malicious infrastructure at the perimeter, reducing the volume of threats that reach endpoints and analysts in the first place. EDR systems enriched with sandbox-derived behavioral signatures detect malware that evades signature-based approaches. The entire stack becomes more coherent because it shares a common intelligence foundation. ANY.RUN supports this integration architecture through standard formats and APIs designed for compatibility with the security products already in deployment. STIX and MISP feed delivery integrates with leading SIEM and SOAR solutions. The TI Lookup API enables direct enrichment from within analyst workflows(ticketing systems, investigation dashboards, custom scripts) without requiring analysts to leave their primary interface. The sandbox itself can receive samples programmatically, enabling automated analysis pipelines that feed results back into detection and response systems. For T1 teams, the day-to-day effect of integration is a reduction in the manual effort that currently consumes analyst time. Indicators enriched automatically before triage, feeds that update detection logic without human intervention, escalation data that populates from sandbox analysis rather than manual documentation — these changes shift analyst effort from information gathering to genuine investigation. T1 becomes faster without becoming larger. For CISOs, the business case for integration centers on compounding returns. Each point of integration multiplies the value of the intelligence investment: a feed consumed by five security controls delivers five times the coverage of a feed consumed by one. This coherence also strengthens the organization's posture in conversations with the board, insurers, and regulators. An integrated, intelligence-driven security architecture demonstrates not just that controls exist, but that they are actively informed by current threat activity, a substantively different claim than checkbox compliance. Integrate dynamic malware analysis, fresh intelligence feeds, and contextual search to improve detection quality and business outcomes Three Steps, One Outcome: A Tier 1 That Actually Protects the Business The path to a high-impact Tier 1 is not hiring more analysts or writing more detection rules. It lies in addressing the structural shortcomings that make T1 fragile: monitoring that cannot reflect current threats, triage that lacks the context to be decisive, and intelligence capabilities that remain disconnected from the stack they should be informing. ANY.RUN's Threat Intelligence Feeds, Lookup, and Interactive Sandbox form a closed loop — from behavioral analysis to detection to investigation — that addresses each of the steps to top performance without adding operational complexity. The Sandbox generates ground truth. The Feeds operationalize it across the detection layer. The Lookup makes the same analytical depth available on demand for every analyst, regardless of experience. CISOs who prioritize this investment are not just improving SOC metrics. They are changing the equation for every threat actor who targets their organization. A Tier 1 team that detects early, triages with confidence, and escalates accurately is one of the highest-leverage risk reduction assets a security program can build. Combine live TI Feeds with indicator enrichment to transform monitoring into high-confidence detection.

Material das Palestras de 2026 14º Fórum Brasileiro de CSIRTs 7º Workshop MISP Amcham Business Center Rua da Paz, 1431 Chácara Santo Antônio, São Paulo/SP. Estacionamento no local. Valor único por dia: R$40,00 Inscrições Cada evento tem sua própria inscrição, e é necessário ter conta no Portal de Cursos e Eventos do NIC.br. As inscrições foram encerradas dia 20 de julho. O evento é gratuito. Agenda 14º Fórum Brasileiro de CSIRTs 28 e 29 de julho de 2026 Horários sujeitos a alterações. A indicação de marcações TLP é colocada na agenda para referência. Sempre respeite o TLP que está no slide do palestrante e nas telas indicativas da sala do evento. Dia 1 - 28 de julho de 2026 Ivo de Carvalho Peixinho, Polícia Federal TLP:CLEAR SLIDES A apresentação detalhará como construir um analisador de malware automatizado usando ferramentas gratuitas como IDA Free, Ghidra, JADX, APKtool e outras, interligadas via vscode ou opencode com modelos LLM locais ou na nuvem. Ao fim serão mostrados exemplos reais de relatórios criados usando a ferramenta a partir de campanhas reais como Grandoreiro, Sorvepotel, Eternidade Stealer entre outros. Matheus Moura, Apura Cybersecurity Intelligence TLP:CLEAR SLIDES Incidentes envolvendo exposição de dados pessoais costumam ser tratados como eventos isolados, limitados ao momento do vazamento ou da publicação indevida das informações. No entanto, a experiência prática demonstra a existência de uma camada operacional posterior e frequentemente negligenciada: a reutilização estruturada desses dados por painéis ilícitos de consulta. Esses ambientes clandestinos consolidam múltiplas fontes informacionais, bases históricas expostas, credenciais comprometidas, integrações indevidas e mecanismos automatizados de consulta, convertendo dados dispersos em capacidade operacional imediata. Para equipes de tratamento de incidentes, o fenômeno impõe novo desafio: responder não apenas ao vazamento original, mas também ao uso continuado e operacionalizado das informações expostas. O objetivo é ampliar a leitura tradicional de incidentes de dados, demonstrando que, em muitos casos, o evento inicial não encerra o problema, apenas inaugura sua fase mais explorável. Henrique Shinki Kodama, FEBRABAN TLP:CLEAR TLP:AMBER+STRICT SLIDES Toda análise post-mortem revela mais sobre detecção do que sobre o ataque em si. Esta palestra apresenta as lições aprendidas a partir da análise post-mortem de um incidente envolvendo ransomware, com foco na investigação de logs e registros de servidores. A apresentação percorre o caminho reconstruído a partir da análise, destacando oportunidades de detecção precoce, falhas de visibilidade e práticas que podem fortalecer a postura de resposta a incidentes de outras equipes de segurança. Edney Fernandes, Banco da Amazônia TLP:CLEAR SLIDES A palestra propõe uma abordagem técnica e operacional sobre o uso de NetFlow/IPFIX como apoio à segurança cibernética e ao tratamento de incidentes em instituições financeiras, considerando requisitos das Resoluções CMN nº 5.274/2025 e BCB nº 538/2025. O objetivo é mostrar como a telemetria de fluxo de rede pode complementar controles como firewall, SIEM, EDR, IDS/IPS, NDR, proxy e logs, ajudando equipes de SOC, CSIRT, redes, infraestrutura e segurança a responder perguntas essenciais em investigações, como quem se comunicou com quem, quando, por qual porta, com qual volume e em qual direção. A apresentação relaciona o uso de NetFlow com temas como rastreabilidade, proteção de rede, validação de segmentação, identificação de conexões indevidas, monitoramento de ambientes críticos como Pix, STR e RSFN, detecção de tráfego atípico e suporte à resposta a incidentes. Também serão apresentados dois cenários práticos hipotéticos: uma conexão externa suspeita realizada por servidor de produção fora do horário útil e uma tentativa indevida de comunicação direta com ambiente crítico. O conteúdo terá linguagem técnica, objetiva e acessível, com foco na aplicação prática para profissionais envolvidos em segurança e resposta a incidentes. Tiago Neves, Vinícius Azevedo e Guilherme Ochsendorf, Opice Blum TLP:CLEAR SLIDES A apresentação abordará como os incidentes de grande impacto financeiro deixaram de se apoiar exclusivamente em vulnerabilidades técnicas complexas (como zero-days) para explorar um encadeamento de falhas estruturais, arquiteturais e de regras de negócio. O conteúdo trará uma análise das principais causas raízes identificadas em investigações forenses reais, devidamente anonimizadas, incluindo a exposição de credenciais hardcoded, ausência de Múltiplo Fator de Autenticação (MFA) em sistemas críticos, falhas de segregação de funções (SoD), comprometimento da cadeia de suprimentos (DevOps inseguro) e aliciamento de insiders. O objetivo é fornecer ao público do 14º Fórum Brasileiro de CSIRTs lições práticas de defesa, resposta e a importância da integração de uma governança técnico-jurídica, demonstrando como a rastreabilidade (logs) e a resposta rápida moldam o risco legal e regulatório perante órgãos como a ANPD e o Banco Central. Andrews Leal Moraes, Einstein Hospital Israelita TLP:CLEAR TLP:AMBER SLIDES O aumento do volume de dados pessoais armazenados por organizações e a crescente pressão regulatória associada à proteção dessas informações tornam cada vez mais relevante a capacidade de equipes de resposta a incidentes investigarem eventos envolvendo acessos potencialmente indevidos a dados sensíveis. Para equipes de CSIRT, um dos principais desafios está em distinguir atividades legítimas de comportamentos anômalos em ambientes complexos, onde usuários autorizados podem acessar grandes volumes de informação como parte de suas funções operacionais. Esta apresentação discute uma abordagem metodológica para investigação de eventos envolvendo dados sensíveis, combinando práticas de resposta a incidentes (CSIRT), investigação forense digital (DFIR) e avaliação de impacto sob a perspectiva de proteção de dados. Também serão discutidas práticas para reduzir falsos positivos, aprimorar a priorização de incidentes e estruturar playbooks específicos para investigações envolvendo acesso a informações sensíveis. Por fim, serão compartilhadas lições aprendidas relacionadas à evolução de processos de resposta a incidentes e à integração entre equipes de segurança da informação e programas de proteção de dados. André Torres Breves Gonçalves, TCU TLP:CLEAR SLIDES A palestra aborda a mudança de paradigma nos ataques cibernéticos modernos, onde os adversários não mais "hackeiam" sistemas, mas sim utilizam credenciais válidas para realizar acessos não autorizados. O foco central é a mitigação de riscos associados à gestão de contas privilegiadas (como senhas fracas, estáticas ou compartilhadas), demonstrando como implementar uma arquitetura Zero Trust robusta e de baixo custo utilizando ferramentas Open Source. Marlon Fabro, Globo TLP:CLEAR SLIDES Esta palestra discute o que é CTI, inlcuindo a a diferença entre dados, informação e inteligência, e o ciclo de vida do CTI. Também são discutidas a função do CTI na organização, as competências essenciais do analista de CTI, o que é produzido e para quem, e os níveis de maturidade do Modelo CTI-CMM. Atila Santos, Charles Lima e Grazielle Alessa, Mercado Bitcoin TLP:CLEAR TLP:GREEN SLIDES A adoção massiva de IA generativa nas organizações amplia a superfície de ataque e introduz riscos que não se encaixam nos modelos tradicionais de resposta a incidentes. O desafio deixa de ser exclusivamente técnico: como viabilizar o uso de IA em escala, com eficiência, sem comprometer a segurança e a continuidade do negócio? Nesta apresentação, demonstramos como o CSIRT do Mercado Bitcoin estruturou uma abordagem de adoção segura de IA baseada em risco, eficiência operacional e ganho de escala. A abordagem combina a definição de limites de risco com a implementação de workflows específicos para tratamento de incidentes relacionados a IA e proteção de modelos e dados associados. Também exploramos o uso da própria IA como aliada na segurança, potencializando processos de triagem, análise e automação, bem como os mecanismos adotados para manter governança e controle operacional sem inviabilizar a inovação. Por fim, compartilhamos práticas adotadas, desafios enfrentados e lições aprendidas ao longo da jornada. Cristine Hoepers, CERT.br/NIC.br TLP:CLEAR SLIDES Na última década houve um crescimento expressivo no número de CVEs registrados. Esse aumento é resultado de vários fatores, incluindo ferramentas de análise de código mais eficazes, sistemas mais complexos e maior interesse dos atacantes nesses sistemas. Em contrapartida, a comunidade também amadureceu e padrões foram criados para identificação de componentes da cadeia de dependências, atribuição de severidade e priorização de vulnerabilidades. As ferramentas de IA disponibilizadas recentemente tornaram ainda mais curto o tempo entre uma vulnerabilidade ser descoberta e um exploit funcional estar disponível. Este cenário torna crucial que as organizações consigam rapidamente identificar o seu grau de exposição e qual o risco de estarem prestes a ser ou já terem sido comprometidas. Esta palestra vai discutir como organizações podem usar os padrões já existentes para fazer gestão de vulnerabilidades realmente baseada em riscos, cobrindo não somente sistemas operacionais e aplicações de mercado, mas também software desenvolvido internamente e toda a cadeia de dependências. Junte-se a nós neste momento descontraído e acompanhado de "comes e bebes". Faça novos contatos, coloque a conversa em dia com antigos colegas e troque ideias com os palestrantes. Dia 2 - 29 de julho de 2026 Jamilson Ramos Evangelista, Anatel TLP:CLEAR SLIDES Esta palestra apresenta a atuação da Anatel no enfrentamento ao uso massivo de decodificadores piratas infectados, associados ao malware BadBox 2.0. Demonstra como esses dispositivos, amplamente distribuídos na borda da rede, são explorados como vetores para formação de botnets, execução de fraudes e ataques distribuídos. A palestra destaca desafios operacionais enfrentados por CSIRTs, incluindo baixa visibilidade, uso de CGNAT e infraestrutura distribuída. São discutidas estratégias práticas de detecção, mitigação e resposta coordenada, bem como lições aprendidas e recomendações aplicáveis à comunidade. Marcos P. Miranda de Souza, CTIR Gov TLP:CLEAR SLIDES A elevação da complexidade e do número de casos de incidentes cibernéticos no escopo da Administração Pública Federal (APF) cria desafios para a padronização e a eficácia da comunicação de incidentes e de centros de resposta com seus respectivos públicos. Neste sentido, esta palestra apresenta os processos de comunicação de incidentes executados pelo Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) no período de 2025 a 2026, dando ênfase à estruturação, automação e direcionamento da comunicação. Como organização descritiva, será utilizado o modelo de comunicação de Lasswell – "quem diz o quê, por qual canal, para quem e com que efeito". Valdenir Júnior, Fernando Ebrahim e Ulisses Jardim, TRE-TO TLP:CLEAR TLP:GREEN TLP:RED SLIDES A gestão de vulnerabilidades em ambientes institucionais enfrenta um desafio recorrente: o volume de achados costuma superar a capacidade operacional das equipes responsáveis por analisá-los e tratá-los. Esta palestra apresenta a experiência do Tribunal Regional Eleitoral do Tocantins (TRE-TO) na evolução de seu processo de priorização de vulnerabilidades e como passou a incorporar referências como KEV (Known Exploited Vulnerabilities) e EPSS (Exploit Prediction Scoring System) na sua lógica de priorização, buscando maior aderência entre a decisão operacional e o risco efetivo. Serão apresentados os critérios adotados, a adaptação desses conceitos à ferramenta já utilizada pela instituição, a construção de consultas operacionais, a automação da extração de dados e a integração com painéis de apoio à decisão. Trata-se de um relato aplicado e operacional, voltado a organizações que precisam tomar decisões práticas diante de restrições concretas de tempo, pessoal e capacidade de remediação. André Ricardo Landim, CAIS / RNP TLP:CLEAR TLP:GREEN SLIDES A gestão da superfície de ataque continua sendo um grande desafio para equipes de segurança. Em ambientes dinâmicos e distribuídos, as organizações frequentemente não possuem visibilidade contínua dos serviços expostos dentro de seu próprio espaço de endereçamento. Esta apresentação introduz os resultados iniciais do projeto ARGUS na RNP, uma iniciativa focada em melhorar a visibilidade dos ativos expostos na infraestrutura de rede. O projeto utiliza o framework IVRE para coletar, indexar e analisar dados relacionados à superfície de ataque exposta, combinando-o com outros componentes open source para viabilizar varredura contínua, análise histórica e processamento de dados em larga escala. A apresentação demonstra como dados de varredura ativa, quando coletados e analisados continuamente ao longo do tempo, podem ser transformados em inteligência acionável para apoiar operações de Blue Team, SOC, CSIRT e Inteligência de Ameaças. Paulo Matheus Nicolau Silva, CEPESC TLP:AMBER+STRICT Um dos objetivos principais da etapa de análise no processo de resposta a incidentes, mais do que apontar a extensão dos danos, é possibilitar melhorias de segurança em diversos aspectos, como organizacionais, correção de vulnerabilidades, mudanças de arquitetura de rede, processos de detecção de ameaças, otimização do uso de ferramentas, entre outras. Esta palestra trará a análise de um caso real de ransomware, com o objetivo de demonstrar que de cada achado deriva uma lição aprendida ou oportunidade perdida de detecção que poderão ser revertidas em melhorias para evitar incidentes futuros. Zoziel Freire, Telefônica Brasil S.A. (Vivo) TLP:CLEAR SLIDES Esta palestra explora a evolução do ransomware sob a perspectiva de uma corrida armamentista contínua entre atacantes e defensores. Em vez de analisar apenas as técnicas de ransomware ou apenas as ferramentas de defesa, a apresentação mostra como cada avanço nas técnicas de ataque força uma evolução nas estratégias de defesa, e como novas capacidades de detecção levam os atacantes a desenvolver métodos cada vez mais sofisticados de evasão. Ransomware deixou de ser apenas um tipo de malware. Hoje, ele representa um ecossistema criminoso altamente adaptável, que evolui constantemente em resposta às melhorias nas defesas corporativas. No cenário atual, o campo de batalha do ransomware já não é definido apenas por quem executa o malware, mas também por quem possui maior visibilidade e capacidade de resposta no ambiente comprometido. Alencar Silva e Luiz Jussen, Soow Sigma TLP:CLEAR TLP:RED SLIDES A palestra tem como objetivo apresentar uma visão prática, baseada em casos reais de resposta a incidentes, sobre como o cenário de ameaças tem evoluído com a combinação de engenharia social, comprometimento de credenciais, abuso de ambientes de desenvolvimento, uso indevido de chaves de API, ransomware-as-a-service e uso inconsequente de agentes de inteligência artificial. Luiz Eduardo Paes Salomão, Polícia Civil do Distrito Federal (PCDF) TLP:AMBER+STRICT TLP:RED SLIDES Apesar de as defesas de endpoint corporativo estarem cada vez mais maduras, os Initial Access Brokers (IABs) continuam inundando a dark web com credenciais válidas. A explicação para esse fato está em um vetor silencioso, massivo e que opera fora do controle dos SOCs: a contaminação de dispositivos pessoais é facilitada por plataformas de compartilhamento de conteúdo, como o YouTube. Nesta apresentação, sairemos da teoria e abriremos os dados de um estudo empírico recente focado em mapear a cadeia de suprimentos de Infostealers distribuídos em vídeos no YouTube. Demonstraremos, com métricas e artefatos reais coletados em campo, como essas campanhas operam uma verdadeira "industrialização do cibercrime". A apresentação abordará o dilema prático de quem lida com incidentes: como responder a um comprometimento corporativo grave quando a "paciente zero" é a máquina não gerenciada (pessoal) de um funcionário? A palestra fornecerá insights operacionais para melhorar a triagem baseada em risco, integrar a inteligência de ameaças dessas campanhas na defesa ativa da identidade e adaptar os playbooks de resposta a incidentes para uma realidade onde a infecção acontece sem gerar um único alerta no EDR da empresa. Ednaldo Sousa e Rodrigo Tiago de França Silva, CSIRT Núclea TLP:CLEAR TLP:AMBER+STRICT TLP:RED Apresentaremos a exploração de processos legítimos em departamentos administrativos como vetor de ataque, com foco em cenários reais, como a resposta a ofícios e demandas formais no departamento Jurídico. A apresentação reforçará a postura que times de suporte técnico e resposta a incidentes (CSIRT/Help Desk) devem adotar em situações de urgência, especialmente quando lidam com demandas aparentemente válidas, mas potencialmente exploradas por agentes maliciosos. O objetivo é promover uma visão prática e aplicável, conectando processo, tecnologia e pessoas, para reduzir o risco operacional associado à exploração de fluxos administrativos legítimos. 7º Workshop MISP 30 de julho de 2026 Horários sujeitos a alterações. A indicação de marcações TLP está na agenda para referência. Sempre respeite o TLP que está no slide do palestrante e nas telas indicativas da sala do evento. 7º Workshop MISP – 30 de julho de 2026 Beyond Sharing: Integrating MISP into Security Operations Luciano Righetti, MISP Development Team / CIRCL Tradução Simultânea Espanhol/Português/Espanhol TLP:CLEAR SLIDES Este tutorial prático, ministrado por um dos membros da Equipe de Desenvolvimento do MISP, mostrará como integrar a plataforma MISP com ferramentas de operação de segurança, como Wazuh, Zeek e Suricata. Além destas integrações, o tutorial também cobrirá workflows e como fazer a curadoria de IoCs antes de integrá-los com as demais ferramentas. Beyond Sharing: Integrating MISP into Security Operations Luciano Righetti, MISP Development Team / CIRCL Tradução Simultânea Espanhol/Português/Espanhol Thiago Cesar e Ismael Rocha, Vision Cybersecurity TLP:CLEAR TLP:AMBER+STRICT SLIDES Honeypots permitem observar ataques reais na internet e coletar dados valiosos sobre atividades maliciosas. No entanto, transformar esses dados em inteligência acionável ainda é um desafio para muitas organizações. Nesta apresentação, demonstramos como dados coletados por honeypots podem ser processados, enriquecidos e transformados em indicadores de comprometimento (IOCs) estruturados. Mostraremos uma abordagem prática para integrar essas informações ao MISP, permitindo o compartilhamento de inteligência entre equipes de segurança e CSIRTs. A palestra apresentará exemplos reais de ataques coletados, bem como o processo de transformação desses eventos em inteligência utilizável para detecção, correlação e defesa. Mailson Ribeiro Santos e Ulisses de Sá Alencar e Moraes, SERPRO TLP:CLEAR SLIDES O compartilhamento de inteligência é motivado por diferentes objetivos, incluindo resposta em tempo real a incidentes, análise pós-incidente e produção de inteligência estratégica. Entretanto, esse processo apresenta desafios significativos, como a presença de dados sensíveis, o risco de vazamento e a falta de confiança entre organizações. Nesse contexto, o compartilhamento sem controle pode ser tão prejudicial quanto a ausência de compartilhamento, evidenciando a necessidade de abordagens estruturadas. Esta palestra apresenta o uso de MISP pelo SERPRO e evidencia que o uso eficiente do MISP depende não apenas de sua adoção tecnológica, mas da integração entre processos, automação e governança, reforçando que o compartilhamento inteligente sobre ameaças exige uma abordagem estruturada, segura e orientada à geração de valor. Cleber Soares, Owasp e Vision Cybersecurity TLP:CLEAR SLIDES Esta palestra apresenta uma abordagem prática para enriquecimento de Threat Hunting utilizando MISP e Maltego, integrados a múltiplas fontes como SIEM, sandbox de malware e feeds externos de Threat Intelligence. O fluxo contempla a coleta inicial de artefatos a partir de atividades de Threat Hunting proativo ou de alertas gerados por soluções de SIEM, seguida do enriquecimento e correlação de indicadores (IOCs) no MISP. Esses dados são expandidos com análise em sandbox e validação em fontes externas, permitindo maior contexto e redução de falsos positivos. O Maltego é utilizado para pivoting e análise visual das relações entre indicadores, possibilitando a identificação de infraestruturas maliciosas e padrões de ataque. A partir dessa correlação, são aplicadas técnicas de Threat Hunting orientadas por inteligência para busca ativa no ambiente. Por fim, os resultados apoiam ações de resposta e mitigação, incluindo bloqueios em controles como Firewall, IDS/IPS e WAF. Chamada de Palestras Chamada de Palestras — 14º Fórum de CSIRTs Convidamos todos os profissionais atuantes em Grupos de Tratamento de Incidentes de Segurança (CSIRTs) ou que trabalhem com segurança e tratamento de incidentes no seu dia a dia, a submeter propostas de palestras de interesse da Comunidade de Tratamento de Incidentes no Brasil, para o 14º Fórum Brasileiro de CSIRTs, que ocorrerá nos dias 28 e 29 de julho de 2026, na AMCHAM, em São Paulo/SP. Para cada proposta aceita, o NIC.br proverá apoio para transporte e estadia de um profissional para apresentá-la (o evento cobre somente deslocamento dentro do Brasil). Temas de Interesse A apresentação deve tratar de aspectos práticos e operacionais das atividades de tratamento e gestão de incidentes de segurança, bem como de aspectos da segurança da informação ou da Internet que sejam relacionados com ou tenham impacto no processo de tratamento de incidentes. Uma lista não exaustiva de temas de interesse para este evento segue: Estudos de caso e tendências relacionados com incidentes tratados Automatização de processos de tratamento de incidentes Compartilhamento automatizado de informações sobre ataques e ameaças Threat hunting como parte do processo de gestão de incidentes Uso de netflows no contexto de segurança e tratamento de incidentes Detecção, mitigação e remediação de códigos maliciosos (RATs, ransomware, botnets, etc) Detecção e mitigação de ataques em diversos ambientes, como rede, Web, nuvem, ICS e IoT Impactos, para CSIRTs, de novos regulamentos e legislação Iniciativas de conscientização sobre segurança Implementação de boas práticas e combate a abusos Outros temas de interesse para CSIRTs Importante: é desejável que as apresentações sejam aplicadas e práticas, e *não* devem ser voltadas a produtos e soluções de fornecedores específicos, com fins comerciais, nem trabalhos que sejam com ênfase puramente acadêmica. Submissão de Propostas As propostas de palestras deverão ser enviadas para o e-mail [email protected] com os seguintes dados: "[FORUM] " no início do Subject. Título completo. Resumo (Abstract) estendido, rascunho dos slides ou descrição detalhada. O importante é que seja possível avaliar o conteúdo e a abordagem. O comitê avaliador de trabalhos poderá, a seu critério, solicitar informações adicionais ou complementares. Nome completo, endereço de e-mail, mini CV e organização a que pertence cada um dos autores. TLP da palestra (pode ser misto, por exemplo: TLP:CLEAR com partes TLP:AMBER+STRICT). Datas Importantes 03 de maio de 2026 Prazo para envio de propostas de palestra 29 de maio de 2026 Divulgação da agenda 28 e 29 de julho 2026 14º Fórum Brasileiro de CSIRTs Chamada de Palestras — 7º Workshop MISP Convidamos todos os profissionais que trabalham com MISP, seja na manutenção de instâncias ou no uso dos dados compartilhados em seu dia a dia, a submeter propostas de palestras para o 7º Workshop MISP, que ocorrerá no dia 30 de julho de 2026, na AMCHAM, em São Paulo/SP. Para cada proposta aceita, o NIC.br proverá apoio para transporte e estadia de um profissional para apresentá-la (o evento cobre somente deslocamento dentro do Brasil). Temas de Interesse A apresentação deve tratar de aspectos práticos e operacionais relacionados com uso e operação da Plataforma MISP. Uma lista não exaustiva de temas de interesse para este evento segue: Estudos de caso de uso do MISP para proteção de infraestrutura, gestão de vulnerabilidades, threat hunting, threat intelligence, tratamento de incidentes e áreas correlatas Uso da plataforma de forma automatizada, por exemplo via PyMISP Integração do MISP com outras soluções Uso de MISP por comunidades e setores específicos Outros assuntos de interesse da comunidade de usuários de MISP Importante: é desejável que as apresentações sejam aplicadas e práticas, e *não* devem ser voltadas a produtos e soluções de fornecedores específicos, com fins comerciais, nem trabalhos que sejam com ênfase puramente acadêmica. Submissão de Propostas As propostas de palestras deverão ser enviadas para o e-mail [email protected] com os seguintes dados: "[MISP] " no início do Subject. Título completo. Resumo (Abstract) estendido, rascunho dos slides ou descrição detalhada. O importante é que seja possível avaliar o conteúdo e a abordagem. O comitê avaliador de trabalhos poderá, a seu critério, solicitar informações adicionais ou complementares. Nome completo, endereço de e-mail, mini CV e organização a que pertence cada um dos autores. TLP da palestra (pode ser misto, por exemplo: TLP:CLEAR com partes TLP:AMBER+STRICT). Datas Importantes 03 de maio de 2026 Prazo para envio de propostas de palestra 29 de maio de 2026 Divulgação da agenda 30 de julho de 2026 7º Workshop MISP TLP Uso de TLP no Fórum de CSIRTs e Workshops Todas as palestras terão indicação de expectativa de compartilhamento de acordo com o padrão TLP do FIRST. Uma discussão mais detalhada sobre TLP pode ser encontrada na página do CERT.br. Há também uma palestra sobre o assunto, cujo vídeo está disponível no YouTube. Abaixo está um resumo da expectativa de compartilhamento das palestras, dependendo do TLP escolhido pelo palestrante.

Il Dark Web è spesso raccontato come un luogo misterioso, popolato da criminali informatici e marketplace di merce illegale. In realtà, per chi si occupa di cybersecurity e threat intelligence, rappresenta un’enorme fonte di dati utili: forum dove vengono vendute credenziali rubate, dump di database aziendali, annunci di Ransomware-as-a-Service e molto altro. Monitorare questi spazi in modo sistematico e sicuro permette ai team di threat intelligence e ai SOC di guadagnare tempo prezioso: scoprire prima che i propri dati vengano pubblicati, anticipare nuove TTP degli attaccanti e arricchire la detection con indicatori in tempo reale. In questo articolo vediamo 5 tecniche pratiche per monitorare il Dark Web, con esempi concreti di strumenti, piccoli script e pipeline di automazione. L’obiettivo non è “navigare per curiosità”, ma capire come un SOC o un team di incident response possa integrare queste informazioni nei propri processi di detection e difesa. 1. Crawler .onion personalizzati Il punto di partenza per esplorare il Dark Web è la creazione di un piccolo crawler in grado di visitare hidden services e scaricare i contenuti di interesse. Dal punto di vista tecnico, basta configurare Tor come proxy locale e usare una libreria come Stem per Python o semplici richieste HTTP instradate via SOCKS5. Questo permette di predisporre script che si connettono a indirizzi .onion, scaricano le pagine e le salvano localmente per successive analisi. Un esempio pratico in Python può essere realizzato con poche righe di codice usando requests e una sessione proxata su 127.0.0[.]1:9050. Naturalmente, l’ambiente deve essere isolato tramite VM dedicata (QUI la nostra guida per navigare in sicurezza nel dark web). Questo approccio consente di raccogliere contenuti senza interazione diretta, riducendo il rischio, dall’altro permette di costruire un archivio locale su cui applicare ricerche e analisi successive. Setup tecnico: Installare Tor e usare la libreria Stem per Python. Creare uno script che si connette via socks5://127.0.0.1:9050 e scarica contenuti. Esempio di snippet in Python: import requests session = requests.session() session.proxies = {'http': 'socks5h://127.0.0.1:9050', 'https': 'socks5h://127.0.0.1:9050'} url = "http://exampleonionaddress[.]onion" response = session.get(url) print(response.text[:500]) 2. Monitoraggio marketplace e forum Se i crawler servono a raccogliere dati, i forum e i marketplace sono i luoghi dove quei dati vengono messi in circolazione. Qui si trovano credenziali, database, accessi RDP o VPN in vendita, ma anche discussioni che anticipano trend futuri. Per documentare e analizzare in modo strutturato queste fonti esistono strumenti come OnionScan, capace di mappare hidden services e correlare metadata, e Hunchly, utile a conservare prove in maniera forense. Un’altra opzione è Spiderfoot, che permette di automatizzare OSINT e integrare moduli dedicati al Dark Web. Il metodo efficace è definire una lista di parole chiave: domini email aziendali, nomi di brand, prodotti interni. Lo scraper raccoglie i testi, un parser li analizza e li archivia in un database. A quel punto, ogni volta che un termine di interesse appare in un thread, è possibile investigare immediatamente. La difficoltà sta nel distinguere i “fake leak” da annunci reali: molti attori pubblicano campioni incompleti come anche falsi. Serve quindi un processo di validazione, che può includere analisi di hash, confronti con credenziali interne o sandboxing di file sospetti. Strumenti utili: OnionScan: scanner open source per analizzare hidden services. Hunchly: utile per documentare e preservare prove (catena di custodia). Spiderfoot: per automatizzare OSINT, anche su domini .onion. Come impostare un monitoraggio: Definire una lista di keyword (es. nome azienda, dominio email, nomi di prodotto). Usare cronjob o scheduler per eseguire scraping periodico. Salvare contenuti in un database locale per successiva analisi. 3. Feed Dark Web + integrazione CTI Oltre alle attività di raccolta autonoma, esistono feed pubblici e piattaforme di condivisione che forniscono indicatori già arricchiti. MISP e OpenCTI sono due strumenti open source ormai standard in molti SOC, che consentono di centralizzare IoC (indicatori di compromissione), correlare eventi e storicizzare campagne. Integrare i dati del Dark Web in queste piattaforme consente di arricchire le indagini. Lo scenario tipico prevede una pipeline dove: Il crawler scarica pagine .onion. Un parser estrapola email, domini, indirizzi IP, fingerprint PGP. Gli indicatori vengono importati in MISP o OpenCTI. Il SIEM aziendale li usa come lista di correlazione nei log di autenticazione, proxy e firewall. Snippet shell per grep di domini nei dump raccolti: grep -i “example[.]com” darkweb_dumps/*.txt | cut -d: -f1 | sort | uniq 4. Analisi di PGP keys e reti di trust Un aspetto spesso sottovalutato è l’uso delle chiavi PGP nel Dark Web. Molti attori firmano i propri messaggi con la stessa chiave per creare una sorta di reputazione. Collezionare e analizzare queste chiavi consente di correlare identità apparentemente distinte su più forum. Con GPG (GNU Privacy Guard) è possibile importare fingerprint e creare un database locale. A questo punto, è possibile osservare le chiavi utilizzati dai threat actor: se una chiave compare associata a un vendor in due marketplace diversi, vuol dire che si tratta dello stesso attore. Questa informazione è preziosa per analisi di attribution, ma anche per verificare la credibilità di un annuncio di leak. Le reti di fiducia costruite intorno a PGP permettono anche di individuare pattern di collaborazione tra gruppi criminali: incrociando le firme si scoprono spesso alleanze, rivalità o transizioni di identità tra nickname. Come fare: Salvare i fingerprint PGP pubblicati nei forum. Confrontare se la stessa chiave appare su più marketplace. Usare gpg –recv-keys per collezionare chiavi da keyserver pubblici. Caso pratico: Se un venditore usa lo stesso fingerprint PGP in due forum diversi, è probabile che le sue attività siano collegate: informazione preziosa in un’indagine di attribution. 5. Automazione e alerting continuo Il limite principale del monitoraggio manuale è la scalabilità. Un analista può esplorare un forum, ma non centinaia di hidden services contemporaneamente. La soluzione è l’automazione. Un esempio pratico: se una lista di username trapelati viene importata in Splunk, è possibile scrivere una query che correla questi account con tentativi di login falliti o accessi da geografie insolite. Lo stesso vale per indirizzi IP o hash di file malevoli. Anche il monitoraggio del traffico Tor in uscita può fornire insight: non sempre è segno di attività malevola, ma può indicare un comportamento anomalo su endpoint aziendali. Strumenti come Zeek o Suricata consentono di generare alert quando un host interno inizia a comunicare con nodi noti della rete Tor. Integrazione con SIEM: Importare indicatori in Elastic/Splunk. Creare alert per correlare username leaked con login sospetti. Query esempio Splunk: index=auth (user IN [list_user_leaked]) | stats count by user, src_ip Monitoraggio di traffico verso Tor: Bloccare o almeno loggare outbound traffic su porte 9050/9150. Con Suricata/Zeek, rilevare pattern tipici di handshake Tor. Pipeline consigliata (schema): Dark Web crawler → Parser → MISP/OpenCTI → SIEM (alert) → Incident Response Una pipeline efficace prevede un crawler periodico, un parser che normalizza i dati in JSON o CSV, un’integrazione con MISP/OpenCTI e infine l’invio degli IoC al SIEM. A quel punto si possono creare regole di alerting. Conclusione Il Dark Web non è per forza un luogo da cui stare alla larga; in ambito cybersecurity può essere una miniera di dati che possono fare la differenza in un programma di cyber threat intelligence. La chiave è trasformare dati grezzi in intelligence: osservare, raccogliere, arricchire e correlare. In questo modo un potenziale leak diventa un alert concreto in un SIEM, una chiave PGP diventa un collegamento tra due attori, un annuncio di vendita diventa l’inizio di un investigation playbook. L’elemento fondamentale resta la sicurezza: lavorare sempre in ambienti isolati, non interagire direttamente con i criminali e rispettare il quadro legale. Fatto in questo modo, il monitoraggio del Dark Web non è un esercizio accademico, ma uno strumento operativo per difendere in maniera proattiva le infrastrutture aziendali.

O CERT.br é um Time de Resposta a Incidentes de Segurança (CSIRT) de Responsabilidade Nacional de último recurso, mantido pelo NIC.br. O centro presta serviços da área de Gestão de Incidentes de Segurança da Informação para qualquer rede que utilize recursos administrados pelo NIC.br. Áreas de atuação Destaques Gestão de Incidentes O CERT.br é um CSIRT Nacional de Último Recurso e atua como ponto de contato nacional para notificação de incidentes de segurança, principalmente quando um contato mais específico não é conhecido. Entenda mais sobre as atividades de Gestão de Incidentes do CERT.br Consciência Situacional O CERT.br trabalha proativamente para prover informações sobre tendências de ataques no espaço Internet brasileiro. Isso inclui a coleta e processamento de dados das mais diversas fontes e o compartilhamento com a comunidade, respeitando os níveis de confidencialidade ou a classificação TLP. Compartilhamento com a Comunidade Tutoriais e dicas sobre como utilizar o MISP (Open Source Threat Intelligence Platform) para compartilhamento de informações, além de informações sobre o uso do MISP pelo CERT.br. O CERT.br mantém diversas estatísticas públicas relacionadas com incidentes de segurança na Internet, sistemas mal configurados passíveis de serem abusados, ataques vistos em sensores (honeypots) e reclamações de spam. Aquisição de Dados Objetivo de aumentar a capacidade de detecção de incidentes, correlação de eventos e determinação de tendências de ataques no espaço Internet brasileiro. Obter, através de honeypots de baixa interatividade, dados relativos ao abuso da infraestrutura da Internet para envio de spam. Estatísticas O CERT.br mantém diversas estatísticas relacionadas com incidentes de segurança na Internet, sistemas mal configurados passíveis de serem abusados, ataques vistos em sensores (honeypots) e reclamações de spam. Transferência de Conhecimento Atividades relacionadas com a transferência de conhecimento para a comunidade incluem cursos, eventos, disseminação de boas práticas e materiais de conscientização. Veja todas as atividades da área de Transferência de Conhecimento Cursos e Eventos Cursos do CERT® Division O CERT.br é um Software Engineering Institute Partner e está licenciado para ministrar oficialmente no Brasil os seguintes cursos: Fundamentals of Incident Handling (FIH) Advanced Topics in Incident Handling (ATIH) Overview of Creating and Managing CSIRTs (Overview)