02 - Tipos de Inteligência (Estratégica, Tática, Operacional, Técnica)

1. Contexto e Posicionamento na Biblioteca

Produzir inteligência sem separar públicos é a receita mais rápida para relatórios que ninguém lê. Um boletim que mistura tendência geopolítica, técnica de persistência e hash de malware atende mal a conselho, arquiteto e SOC ao mesmo tempo, porque cada um deles toma decisões diferentes, em janelas de tempo diferentes e com vocabulários diferentes. A divisão em níveis existe para resolver exatamente esse problema de entrega, e a nota 08 deste capítulo formaliza o lado da demanda ao mapear stakeholders e as decisões que cada um precisa apoiar.

A biblioteca adota a divisão em quatro níveis, que também estrutura o Framework CTH do capítulo 15: estratégica, tática, operacional e técnica. Os capítulos 02 a 05 cobrem os insumos e a produção de cada nível, e o capítulo 15 organiza a mesma lógica em controles com salvaguardas escalonadas. Esta nota fornece o mapa de referência do capítulo: ao redigir qualquer produto, a primeira pergunta é sempre para qual nível e para qual cliente ele existe, e a segunda é qual cadência e formato esse nível exige.

2. Por Quatro Níveis: Pergunta, Público e Horizonte

Cada nível responde a uma pergunta distinta sobre o adversário. A inteligência estratégica responde "quem nos ameaça e por quê"; a tática responde "como eles operam"; a operacional responde "o que está acontecendo agora contra o nosso setor"; e a técnica responde "quais artefatos exatos devo procurar". Cinco dimensões definem um nível, e todas devem ser decididas antes da produção começar:

• Pergunta central: o que o nível explica sobre o adversário, da intenção ao artefato atômico.
• Público-alvo: quem toma a decisão apoiada, de conselheiros a analistas Tier 1 e a sistemas automatizados.
• Horizonte temporal: a janela de futuro sobre a qual a avaliação fala, de 24 meses a minutos.
• Cadência: a frequência regular de produção, além de entregas ad hoc por eventos.
• Formato: o meio adequado ao consumidor, de executivo de uma página a feed STIX automatizado.

O horizonte temporal decresce conforme a inteligência se aproxima do ambiente técnico, e a cadência acompanha essa aceleração. Avaliações estratégicas olham de 6 a 24 meses, análises táticas cobrem de 1 a 6 meses, alertas operacionais tratam de dias a semanas, e indicadores técnicos vivem de minutos a poucos dias. A tabela comparativa da seção 7 consolida esses parâmetros, e a escolha consciente de horizonte evita o erro comum de pedir ao conselho que reaja a um hash entregue na véspera.

3. Inteligência Estratégica

A inteligência estratégica informa decisões de investimento, apetite de risco e prioridade de proteção, e seus consumidores são conselho, diretoria, CISO e gestão de risco. O produto típico é uma avaliação trimestral que conecta o panorama de ameaças do setor, grupos ativos com capacidade e intenção contra o negócio, e cenários com impacto estimado em termos de negócio, e não em termos de técnicas. O horizonte de 6 a 24 meses exige evidência acumulada, e fontes externas de qualidade são complemento obrigatório para equipes pequenas:

• Relatórios de vendedores comerciais de inteligência e de laboratórios públicos, como os de fabricantes de EDR.
• ISACs setoriais nacionais e internacionais, que agregam o que afeta o segmento da organização.
• Anúncios de agências de segurança cibernética governamentais, que alertam sobre grupos patrocinados por Estados.
• Monitoramento legislativo e regulatório, quando requisitos de compliance mudam a exposição da organização.
• Sínteses internas de incidentes ocorridos, que revelam quais adversários já testaram as defesas da organização na prática.

Bons produtos estratégicos têm três características verificáveis. Primeiro, todo risco citado tem dono executivo e consequência de negócio, e não apenas nome de grupo de ameaça. Segundo, as recomendações são decisionais, como elevar prioridade de segmentação em plantas industriais, e não técnicas. Terceiro, avaliações anteriores são revisadas explicitamente, mostrando o que se confirmou, o que não se confirmou e por quê, o que constrói credibilidade analítica ao longo dos ciclos.

4. Inteligência Tática

A inteligência tática descreve como os adversários operam: táticas, técnicas e procedimentos (TTPs), cadeias de ataque completas e mitigações recomendadas. Os consumidores são arquitetos de segurança, engenharia de detecção, Threat Hunters e analistas de SOC de nível 2 e 3. O produto típico é a análise de um grupo ou campanha com mapeamento MITRE ATT&CK, como a dissecação das técnicas de persistência do APT41 ou do abuso de ferramentas nativas do Windows pelo FIN7, com cadência semanal a mensal.

O valor tático está na tradução operacional: cada TTP citado deve apontar para uma ação de engenharia, seja uma regra Sigma candidata, um ajuste de hardening, um controle de proteção a revisar ou uma hipótese de hunting a testar. O esqueleto abaixo, em YAML, é um formato de trabalho interno que amarra cada técnica do relatório a um consumidor e a uma ação esperada, evitando que a análise vire literatura de referência:

produto: analise-tatica-grupo-ficticio-2025-03
nivel: tatico
publico: [engenharia-deteccao, threat-hunting, arquitetura]
ataques_mapeados:
  - tecnica: T1566.002
    nome: Phishing - Malicious Link
    evidencia: e-mails com link para portal falso de VPN corporativa
    acao_para_deteccao: regra Sigma em evento de proxy com dominio novo e TLS incomum
    acao_para_hunting: caçar downloads de executáveis iniciados por navegador em 30 dias
  - tecnica: T1547.001
    nome: Registry Run Keys
    evidencia: persistencia observada em amostras da campanha
    acao_para_deteccao: alerta no Event ID 13 do Sysmon para chaves Run fora de baseline
    acao_para_hunting: comparar autores de chave Run contra inventário de software aprovado
  - tecnica: T1078
    nome: Valid Accounts
    evidencia: uso de contas de serviço com login interativo
    acao_para_deteccao: correlacao de contas de serviço com Event ID 4624 tipo 2
    acao_para_hunting: revisar privilégios e logins interativos de contas de serviço

5. Inteligência Operacional

A inteligência operacional antecipa campanhas específicas, alertas iminentes e vulnerabilidades em exploração ativa contra o setor ou a organização. Os consumidores são CSIRT, SOC de nível 2 e 3 e gestores de operação, e o produto típico é o alerta de campanha: um phishing direcionado ao setor de saúde com template específico, uma onda de extorsão mirando fornecedores logísticos ou uma cadeia de suprimento comprometida. A cadência é diária a semanal, e a janela de decisão é curta, o que exige produção enxuta e disseminação rápida.

O alerta operacional eficaz responde quatro perguntas em uma página: quem está atacando, com qual vetor, como identificar no nosso ambiente e o que fazer agora. Ele nasce de monitoramento sistemático de fontes operacionais, e a lista mínima recomendada para o fluxo diário inclui:

• Sites de vazamento de grupos de ransomware, acompanhados diariamente por nomes de vítimas do setor.
• Rastreadores de exploração ativa de CVE, como os feeds de KEV e monitoramentos comunitários de exploração.
• Grupos de troca e comunidades fechadas do setor, incluindo ISACs e parceiros com acordo de compartilhamento.
• Monitoramento de marca, com domínios recém-registrados parecidos e credenciais da organização em vazamentos.
• Fontes comerciais com alerta de campanha em tempo real, quando o orçamento permite contratar monitoramento dedicado.
• Bases de infraestrutura e reputação, que revelam novos nós de C2 e padrões de hosting reutilizados por atores.

Seu teste de qualidade é simples: dentro de 24 horas após o recebimento, algum consumidor executou a busca recomendada no ambiente. Alertas que não disparam ação em um ciclo completo entrariam no processo de avaliação da nota 11 deste capítulo.

6. Inteligência Técnica

A inteligência técnica é o nível atômico: IOCs, hashes, IPs de C2, domínios, URLs, regras YARA e Sigma, assinaturas de rede. Os consumidores são majoritariamente máquinas, com SIEM, EDR, NDR, proxy e plataformas de CTI consumindo via STIX 2.1 e TAXII 2.1, além de analistas de malware que examinam amostras. O ciclo de produção é contínuo e automatizado, e a vida útil curta dos indicadores impõe política de expiração por tipo de artefato, tema tratado em profundidade no capítulo 03.

O exemplo abaixo mostra um indicador em STIX 2.1, formato de intercâmbio padrão de mercado, com confiança, marcação e contexto mínimo para consumo automatizado. Observe que mesmo o nível técnico carrega contexto: a descrição liga o domínio à campanha, e o campo de confiança permite ao consumidor decidir entre detectar e bloquear.

{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8c2e4d10-7f5a-4c3e-9b21-0a6f5e2d3c41",
  "created": "2025-01-14T09:30:00.000Z",
  "modified": "2025-01-14T09:30:00.000Z",
  "pattern": "[domain-name:value = 'cdn-atualizacao-segura.example']",
  "pattern_type": "stix",
  "valid_from": "2025-01-14T09:30:00.000Z",
  "labels": ["malicious-activity"],
  "confidence": 80,
  "description": "Dominio de C2 da campanha de phishing direcionada ao setor de saude, TLP:AMBER"
}

7. Tabela Comparativa dos Quatro Níveis

A tabela abaixo consolida os parâmetros de cada nível e serve de cartão de referência para o planejamento de produção. Cadências e horizontes são práticas de mercado, e não normas rígidas, e devem ser ajustados ao ciclo de decisão real de cada cliente interno identificado na nota 08.

Um exemplo ponta a ponta ajuda a fixar a diferença. Diante da mesma campanha de ransomware contra varejistas, a inteligência estratégica produz um aditivo ao relatório trimestral estimando probabilidade de alvo direto e recomendando reforço de backup imutável; a tática produz a análise das técnicas de acesso inicial e lateralidade do grupo com regras candidatas; a operacional produz o alerta com os indicadores de e-mail do phishing em curso; e a técnica entrega os hashes e domínios de C2 para ingestão automática.

Um segundo exemplo, com o grupo Scattered Spider, mostra o mesmo encadeamento em outro contexto. A estratégica avalia o risco crescente de engenharia social contra help desk de empresas do setor de serviços; a tática documenta as técnicas de manipulação de atendimento e de abuso de MFA; a operacional alerta sobre ligações de simulação de funcionários reportadas no setor na semana; e a técnica fornece números de telefone, ASNs e infraestrutura de proxy associados aos operadores identificados.

Equipes pequenas devem interpretar esta seção como um plano de portfólio, e não como um convite a produzir tudo internamente. É comum e aceitável que o nível técnico venha automatizado de feeds, o nível operacional de um ISAC ou vendedor, o nível tático seja o foco interno da equipe e a síntese estratégica seja um aditivo de meia página sobre relatórios externos, revisado trimestralmente com o patrocinador. O erro não é terceirizar níveis, é deixar níveis sem dono e sem consumidor definido.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem em equipes de todos os portes e derrubam a utilidade da produção. Cada item traz efeito observável e correção recomendada:

• Produto único para todos os públicos: o relatório de 40 páginas mistura níveis e satisfaz a ninguém; correção: separar em famílias de produto por nível, com formatos e cadências próprios.
• Estratégica ausente: equipes técnicas produzem só IOC e o conselho nunca recebe inteligência, cortando o orçamento por falta de percepção de valor; correção: terceirizar insumo estratégico e dedicar esforço mínimo à síntese trimestral.
• Operacional sem janela: alertas que chegam depois que o incidente já foi tratado; correção: automatizar monitoramento de fontes e definir prazo máximo de disseminação de 24 horas.
• Técnica sem expiração: indicadores vivos para sempre geram falso positivo crescente; correção: política de expiração por tipo de artefato, detalhada no capítulo 03.
• Níveis tratados como hierarquia de importância: são níveis de abstração, e uma equipe pequena pode operar os níveis inferiores com excelência enquanto terceiriza os superiores.
• Métrica por volume: contar itens produzidos por nível sem medir ação tomada inflaciona a produção; correção: aplicar as métricas de utilidade da nota 11 deste capítulo.
• Sem dono por produto: entregas que circulam por listas de e-mail sem destinatário responsável; correção: registrar cliente e dono de consumo para cada família de produto.

Um ponto final de atenção é a dependência entre os níveis ao longo do ciclo. Indicadores técnicos coletam a evidência que sustenta análises táticas, que por sua vez alimentam a síntese estratégica, e o feedback estratégico redefine quais campanhas e técnicas merecem monitoramento operacional. A nota 03 deste capítulo, sobre o ciclo de inteligência, mostra como essa circulação acontece sem que a equipe precise operar todos os níveis internamente ao mesmo tempo.

Dois rótulos ajudam a comunicação interna e valem registro no vocabulário da equipe. O termo finished intelligence, herdado da doutrina militar, designa o produto pronto para consumo, enquanto raw intelligence é o material coletado ainda não avaliado; confundir os dois faz gestores cobrarem produto de plataformas que só entregam insumo. Quando um cliente pedir "mais inteligência", pergunte em qual nível e para qual decisão, e a conversa convergirá muito mais rápido.

9. Integração com o Restante da Biblioteca

Os quatro níveis organizam praticamente toda a biblioteca. O capítulo 02 cobre as fontes que alimentam cada nível, o capítulo 03 aprofunda o nível técnico, o capítulo 05 ensina a produzir os níveis analíticos e o capítulo 11 propõe as métricas de avaliação por produto. No capítulo 15, o grupo COL organiza a coleta por fonte e o grupo ANA organiza a produção por nível, com os controles CTI.7 e CTI.8 tratando respectivamente de relatórios e de disseminação segmentada por público e TLP.

Para aplicar esta nota imediatamente, liste os produtos atuais da equipe, classifique cada um em um dos quatro níveis, atribua o cliente decisório e a cadência correspondente, e marque os níveis sem produto algum. Essa fotografia simples, tomada antes da leitura da nota 08, revela desequilíbrios típicos como excesso de técnica e ausência de estratégia, e fornece a agenda da primeira conversa com o patrocinador do programa.