O que são as listas
As listas são coleções de blocklist: os itens são usados para bloqueio, não apenas para alerta. Elas podem conter IPs, redes CIDR, domínios, URLs e endereços de e-mail, conforme a coleção.
A atualização é automática, em ciclo de 6 horas. Cada item tem uma validade definida pela curadoria — atualmente entre 2 e 7 dias — e deixa de ser publicado quando não é mais sustentado pelas origens. As listas são públicas e podem ser consumidas por qualquer instituição; a GigaCandanga não controla a aplicação feita por cada consumidor.
Organização por sistema consumidor
A organização é orientada ao sistema que deve consumir a lista, não à família de malware, ao fornecedor ou ao tipo de ameaça. Cada coleção corresponde a um ponto de aplicação:
| Coleção | Sistema consumidor | Conteúdo |
|---|---|---|
firewall_cidr |
Firewall | Redes e IPs |
proxy_domain |
Proxy | Domínios |
proxy_url |
Proxy | URLs |
email_smtp_servers_ip |
Correio | IPs de servidores SMTP |
email_senders_email |
Correio | Remetentes |
proxy_ip |
Proxy | IPs |
O consumidor deve escolher a coleção pelo controle onde o bloqueio será aplicado. Algumas coleções podem estar vazias ou sem atualização recente; o catálogo /lists mostra tipo, descrição, quantidade e data da última atualização.
Origem e curadoria
As listas são formadas por curadorias de outras listas somadas aos IOCs detectados pelos sistemas de segurança da GigaCandanga. A rotina remove redes não globais, valida formatos, deduplica itens e aplica guardas de contagem e frescor. A composição pode mudar ao longo do tempo.
Por que um IOC pode aparecer
- O IP pertence a uma rede maior bloqueada por outro motivo.
- O endereço foi reutilizado ou redistribuído depois da inclusão.
- Um domínio legítimo foi comprometido e depois recuperado.
- O domínio compartilha infraestrutura com um site malicioso.
- A origem da curadoria cometeu um erro.
- Houve erro de parsing, normalização ou filtro na rotina local.
Isso significa que “está bloqueado” não necessariamente significa “é malicioso”.
Quando solicitar retirada
- IOC legítimo, sem indício de comprometimento.
- Domínio ou IP compartilhado por CDN, hospedagem ou SaaS.
- Infraestrutura que foi comprometida no passado e já foi corrigida.
- Erro evidente de classificação na origem ou na curadoria.
- Erro de parsing ou normalização da lista local.
- Bloqueio com impacto operacional desproporcional, demonstrado tecnicamente.
Quando não solicitar
- IOC associado a malware, phishing, C2 ou abuso confirmado.
- Pedido sem evidência técnica.
- Pedido para liberar infraestrutura usada por terceiros sem controle do solicitante.
- Pedido para contornar um bloqueio de segurança sem corrigir o ativo.
- Tentativa de remover um IOC apenas porque ele aparece em uma lista.
IOC malicioso confirmado não é retirado
Se a infraestrutura foi comprometida, o caminho é conter, corrigir, preservar evidências e solicitar reavaliação depois da remediação.
Como solicitar
Envie a solicitação para soc@gigacandanga.net.br
com o assunto [Listas] Retirada de IOC. Use o modelo abaixo:
Assunto: [Listas] Retirada de IOC — <IOC>
Corpo:
- IOC:
- Tipo: IP | CIDR | domínio | URL | e-mail
- Coleção: firewall_cidr | proxy_domain | proxy_url | email_smtp_servers_ip | outra
- Organização:
- Contato para resposta:
- Motivo da solicitação:
- Evidências:
- Primeira observação do bloqueio:
- Impacto observado:Não envie senhas, tokens, chaves ou anexos desnecessários. Evidências podem ser descritas em texto, URLs ou hashes.
O que acontece depois
- Recebimento: o SOC confirma o recebimento e cria um identificador de solicitação.
- Triagem: valida o IOC, a coleção, a origem e a evidência.
- Análise: verifica se é erro local, erro da origem, infraestrutura compartilhada ou IOC malicioso.
- Decisão: retirada, manutenção do bloqueio ou pedido de informação adicional.
- Publicação: se aprovada, a exceção entra na próxima sincronização.
- Resposta: o solicitante recebe a decisão e a justificativa técnica.
Prazos propostos: confirmação de recebimento em até 2 dias úteis; decisão em até 5 dias úteis, dependendo da complexidade e da resposta da origem/curadoria. A lista publicada é atualizada no ciclo seguinte, a cada 6 horas. Esses prazos devem ser confirmados pela operação.
Limitações importantes
- A GigaCandanga pode retirar o IOC da sua lista publicada e reportar o caso à origem/curadoria, mas não controla outras listas.
- O IOC pode continuar bloqueado em outras listas e em outros consumidores.
- Cada consumidor tem seu próprio ciclo de atualização; não há garantia de propagação imediata.
- Se o bloqueio é de uma rede CIDR, não é possível remover apenas um IP da lista. As opções são corrigir a classificação da rede inteira, usar uma allowlist no consumidor antes da regra de bloqueio ou dividir a rede quando tecnicamente viável e aprovado.
- Para domínios, a retirada pode ser do domínio exato ou incluir subdomínios; o critério deve ser explícito na solicitação e na decisão.
Privacidade
A solicitação contém dados pessoais, como nome e e-mail, usados apenas para análise e resposta. A identidade e os detalhes do solicitante não são publicados. Não envie credenciais, tokens, chaves ou anexos desnecessários. O tratamento segue a Política de Privacidade.
Perguntas frequentes
O IOC saiu da lista; quando o bloqueio para?
Depende do ciclo de atualização de cada consumidor. A lista publicada é atualizada a cada 6 horas; sistemas que já baixaram a versão anterior podem levar mais tempo.
Preciso ser cliente da GigaCandanga?
Não. As listas são públicas. O canal de solicitação está disponível para instituições, provedores e responsáveis por infraestrutura que consigam demonstrar o falso positivo.
A retirada vale para outras listas?
Não. A decisão vale para a lista publicada pela GigaCandanga. Outras listas e consumidores têm critérios e ciclos próprios.
Meu IP está dentro de uma rede bloqueada; o que fazer?
Informe o IP e a rede afetada. A remoção pontual de um IP dentro de um CIDR não é possível na lista; a equipe avaliará a correção da rede ou uma allowlist no consumidor.
Quanto tempo leva?
A confirmação de recebimento é proposta em até 2 dias úteis e a decisão em até 5 dias úteis. Casos que dependem da origem/curadoria podem levar mais tempo.
O que acontece se o pedido for negado?
O solicitante recebe a justificativa técnica. Uma reavaliação pode ser solicitada com novas evidências, especialmente após a remediação do ativo.
Como sei se o IOC é malicioso?
O solicitante deve descrever o uso legítimo e as evidências disponíveis. A equipe confronta isso com a lista e com a origem antes de decidir.
Posso pedir remoção de um domínio inteiro?
Depende da evidência e do escopo. A solicitação deve indicar se o pedido cobre o domínio exato ou também subdomínios.