03 - Ciclo de Inteligência (Direção, Coleta, Processamento, Análise, Disseminação, Feedback)

1. Contexto e Posicionamento na Biblioteca

O ciclo de inteligência é o processo estruturado que transforma uma pergunta de negócio em um produto analítico consumido e avaliado. Ele descende diretamente da doutrina de inteligência militar e governamental, adaptado para cibersegurança em modelos de quatro a seis fases, e continua sendo o mapa mental mais útil para organizar o trabalho de uma equipe de CTI. Sem ciclo, a equipe coleciona dados por hábito, produz relatórios por costume e não consegue explicar a ninguém por que fez o que fez.

O termo também organiza a linguagem da equipe com os clientes. Quando o patrocinador entende que existem fases com donos e cadências, pedidos de "inteligência urgente" viram conversas sobre reabrir a direção e reordenar a fila, e expectativas se alinham com capacidade real. Esta nota trata o ciclo como ferramenta de governança tanto quanto de metodologia, e é essa dupla função que explica sua permanência nos frameworks modernos.

A biblioteca usa o modelo de seis fases: direção, coleta, processamento, análise, disseminação e feedback. Esta nota apresenta cada fase, seus papéis e seus critérios de saída, e depois critica a leitura linear que o diagrama clássico induz. As notas 07 a 11 deste capítulo aprofundam a direção, que é onde a maioria dos programas falha, e o capítulo 15 materializa o ciclo nos grupos COL e ANA do Framework CTH, com salvaguardas por nível de maturidade.

2. Visão Geral das Seis Fases

O ciclo começa e termina no consumidor: a direção transforma necessidades em requisitos de inteligência, e o feedback avalia se os produtos responderam às perguntas. Entre esses extremos, a coleta reúne material bruto, o processamento o torna utilizável, a análise o converte em avaliação com inferência, e a disseminação entrega o produto certo ao público certo. A tabela abaixo resume objetivo, entrada e saída de cada fase, e as seções seguintes as detalham.

3. Direção e Coleta

A direção é a fase mais negligenciada e a mais barata de acertar. Ela converte decisões que a organização precisa tomar em PIRs (Priority Intelligence Requirements) priorizados, define EEIs (Essential Elements of Information) derivados e atribui responsáveis e prazos. A direção também decide o que NÃO coletar, decisão que economiza mais capacidade do que qualquer otimização posterior. As notas 07 a 10 deste capítulo dedicam-se inteiramente a esta fase, e a nota 08 mostra como elicitar as necessidades dos clientes.

Quatro práticas mantêm a direção viva e útil ao longo do ano:

• Revisão periódica dos PIRs, com aposentadoria formal de requisitos que perderam relevância para o negócio.
• Vinculação explícita de cada requisito a uma decisão e a um dono de decisão, sem o qual o requisito não sobrevive à próxima priorização.
• Registro de requisitos ad hoc que surgem de incidentes e campanhas, com prazo de validade declarado.
• Portfólio de requisitos visível para toda a equipe, evitando requisitos paralelos não governados.

A coleta executa o plano sobre fontes internas e externas: telemetria própria, OSINT, feeds técnicos, relatórios comerciais e comunitários, fóruns de vazamento e contatos humanos. Boas práticas de coleta incluem registrar a fonte e a data de cada item coletado, respeitar restrições legais de coleta, diversificar fontes para evitar visão distorcida e documentar lacunas quando uma EEI não puder ser preenchida. O capítulo 02 da biblioteca detalha as fontes, e o controle COL.3 do capítulo 15 cobre a coleta automatizada de OSINT.

4. Processamento e Análise

O processamento transforma material bruto em informação utilizável, e as tarefas típicas do pipeline são:

• Decodificação e extração de conteúdo, de PDFs e imagens a arquivos de log em formatos proprietários.
• Tradução de material em idiomas estrangeiros, com atenção a falsos cognatos em relatórios técnicos.
• Normalização para esquemas estruturados, como STIX 2.1, e para o vocabulário interno de entidades.
• Deduplicação e fusão de registros idênticos vindos de fontes diferentes.
• Enriquecimento automático com WHOIS, reputação, geolocalização e histórico da infraestrutura.
• Ordenação cronológica e agrupamento por entidade, preparando o terreno para a análise.

É a fase mais automatizável do ciclo, e a qualidade aqui determina o teto da análise: dados mal normalizados geram correlações falsas e retrabalho analítico. O controle CTI.5 do capítulo 15 trata do pipeline de processamento, e o capítulo 02 da biblioteca cobre normalização de fontes.

A análise é o núcleo intelectual do ciclo, onde informação passa a inteligência. O analista integra dados processados com contexto histórico, conhecimento do setor e hipóteses explícitas, avalia hipóteses concorrentes e produz inferências com grau de confiança declarado. Técnicas estruturadas de pensamento analítico, como análise de hipóteses competitivas (ACH), matriz de ator e análise de mudança, reduzem vieses cognitivos documentados na disciplina. O capítulo 05 ensina essas técnicas em profundidade, e a nota 04 deste capítulo mostra o resultado na forma de perfis de atores.

Três vieses merecem vigilância constante nesta fase. O viés de confirmação leva o analista a privilegiar evidência que sustenta a primeira hipótese, e o antídoto é exigir hipóteses concorrentes. A ancoragem faz a primeira informação recebida pesar mais do que deveria, e o antídoto é reavaliar a linha do tempo sem o primeiro artefato. O espelhamento projeta a lógica racional da equipe no adversário, e o antídoto é trabalhar com perfis de motivação e capacidade documentados, como o que a nota 04 propõe.

5. Disseminação e Feedback

A disseminação entrega cada produto ao público certo, no formato certo, com a marcação TLP correta e dentro da janela de decisão. Ela usa a matriz de públicos construída na nota 08, e o mapeamento mínimo por nível costuma ficar assim:

• Estratégica: reunião executiva e documento de uma página, com canal direto ao CISO.
• Tática: plataforma interna de conhecimento e canal da engenharia de detecção, com regras anexas.
• Operacional: canal de alerta com confirmação de leitura e esteira de incidente quando aplicável.
• Técnica: feeds automatizados STIX/TAXII para TIP, SIEM e EDR, sem intervenção humana.

Disseminar tudo para todos é tão nocivo quanto não disseminar, porque polui a caixa de entrada do cliente e esconde o que importa.

O feedback fecha o ciclo e o transforma em espiral: ele registra se o produto foi usado, o que ajudou na decisão, o que faltava e o que estava errado. Sem feedback formal, a direção fica às cegas e a produção repete formatos que ninguém consome. A nota 11 deste capítulo detalha métricas de utilidade e técnicas de coleta de feedback, e o controle CTI.9 do capítulo 15 institui o loop como salvaguarda obrigatória do programa.

6. Crítica ao Modelo Linear

O diagrama circular clássico induz três leituras erradas que prejudicam programas reais. A primeira é a ideia de que as fases são sequenciais e que a análise só começa quando a coleta termina, quando na prática analistas dirigem coleta continuamente durante a investigação. A segunda é a suposição de que o ciclo é lento por natureza, quando campanhas ativas exigem microciclos de horas. A terceira é a ilusão de que o feedback só acontece no fim, quando o uso real dos produtos é visível desde a disseminação. A tabela abaixo contrasta a leitura linear com a realidade operacional, e serve de argumento rápido para gestores que defendem processos em cascata:

A crítica operacional é ainda mais direta: adversários reais não respeitam seu cronograma editorial, e eventos forçam reestruturação imediata de requisitos e coleta. Um incidente em andamento, uma vulnerabilidade explorada ativamente ou um anúncio de campanha contra o setor reabrem a direção no meio do ciclo. Programas que tratam o ciclo como roteiro rígido demoram semanas para reagir ao que exigiria horas, e é por isso que o Framework CTH modela o ciclo como esteira de controles interligados, e não como rodovia de sentido único.

7. Operacionalização como Espiral Contínua

A alternativa funcional é tratar o ciclo como espiral de microciclos concorrentes, com cadências diferentes por nível de inteligência. O fluxo tático gira em sprints de duas semanas alinhados ao plano editorial; o fluxo técnico gira continuamente por automação; o fluxo operacional gira por eventos, com gatilhos claros; e o fluxo estratégico gira trimestralmente. A estrutura abaixo é um exemplo de operacionalização em YAML, usada como quadro de referência da equipe:

ciclo_cti:
  sprint_tatico:
    duracao: 14d
    direcao: revisar PIRs priorizados e escolher topicos do ciclo
    coleta: executar plano por fonte, com checklist de EEIs
    processamento: normalizar para STIX 2.1 e enriquecer automaticamente
    analise: produzir analise tatica do topico escolhido com ATT&CK
    disseminacao: publicar relatorio e regras candidatas para deteccao
    feedback: registrar uso no canal por produto e medir acionamento
  fluxo_tecnico:
    duracao: continuo
    automacao: feeds STIX/TAXII com expiracao por tipo e filtro de confianca
    qualidade: taxa de falso positivo por fonte revisada mensalmente
  fluxo_operacional:
    gatilhos: [vazamento do setor, CVE explorada, dominio parecido registrado]
    prazo_disseminacao: 24h desde a deteccao do gatilho
  fluxo_estrategico:
    duracao: 90d
    entrada: consolidado de feedbacks taticos e operacionais do trimestre
    saida: avaliação estratégica revisada com cenários e recomendações

Três práticas sustentam a espiral no dia a dia. Primeiro, um quadro único de trabalho com colunas por fase, visível para toda a equipe, evita que itens morram em caixas pessoais. Segundo, critérios de saída por fase, mesmo simples, impedem que material bruto não processado seja tratado como coleta concluída. Terceiro, reuniões curtas de transição de sprint conectam direção e feedback em cadência fixa, o que dá ritmo previsível ao programa sem burocratizar a análise.

Critérios de saída mínimos por fase, que a equipe pode adotar como definição de pronto:

• Direção: cada requisito tem pergunta, dono de decisão, prioridade e janela de validade registrados.
• Coleta: cada item tem fonte, data e vínculo com a EEI que justifica a coleta.
• Processamento: material normalizado, deduplicado e enriquecido no esquema acordado.
• Análise: inferência com confiança declarada, hipóteses concorrentes avaliadas e evidências citadas.
• Disseminação: produto entregue ao público certo, no canal certo, com TLP e prazo respeitados.
• Feedback: uso registrado, opinião coletada e ajustes de produção ou de requisito propostos.

8. Papéis por Fase

Distribuir papéis com clareza evita os dois extremos comuns: tudo centralizado no analista sênior, que vira gargalo, ou tudo pulverizado, e nada termina. A tabela abaixo sugere papéis para uma equipe pequena, com observações para escalar a organizações maiores:

Em equipes de uma a duas pessoas, os papéis se acumulam na mesma pessoa, e a tabela ainda funciona como checklist temporal: o analista exerce cada papel em momentos distintos da semana, protegendo a análise da tentação de colecionar. Em equipes maiores, o risco se inverte, e a tabela vira instrumento de governança para evitar que interfaces entre papéis virem buracos negros onde requisitos e feedback desaparecem.

9. Erros Comuns e Pontos de Atenção

Os erros abaixo são os mais frequentes em programas que adotam o ciclo sem adaptá-lo à realidade operacional:

• Pular a direção: começar pela coleta "para ver o que aparece" gera base genérica e produtos sem cliente; correção: nenhuma coleta nova sem requisito associado, nem que seja ad hoc.
• Processamento improvisado: planilhas manuais e conversões ad hoc não escalam e introduzem erro silencioso; correção: pipeline mínimo automatizado com normalização para STIX 2.1.
• Análise sem hipótese concorrente: confirmar a primeira explicação plausível é viés clássico; correção: exigir duas hipóteses alternativas avaliadas em todo produto de campanha.
• Disseminação por volume: enviar tudo a todos reduz a taxa de leitura dos produtos bons; correção: matriz de públicos com TLP e canal por nível.
• Feedback ausente ou informal: sem registro, o ciclo não fecha e a produção não converge; correção: campo de uso registrado por produto e revisão mensal de métricas.
• Ciclo único para todos os níveis: impor cadência mensal ao fluxo técnico ou diária ao estratégico quebra a operação; correção: adotar a espiral de microciclos da seção 7.

Um ponto de atenção final trata da sanidade do ciclo sob incidente. Durante uma resposta a incidente, o ciclo entra em modo de emergência, com direção reaberta pelo CSIRT, coleta priorizada sobre o adversário observado e disseminação direta na ponte de resposta, e é recomendável ter esse modo definido de antemão, com papéis e prazos, para não improvisá-lo sob pressão. O capítulo 10 da biblioteca detalha essa integração com resposta a incidentes, e o grupo RES do capítulo 15 define as salvaguardas correspondentes.

10. Integração com o Restante da Biblioteca

O ciclo é a espinha dorsal metodológica da biblioteca inteira. As notas 07 a 10 deste capítulo aprofundam a direção, do requisito à priorização; a nota 11 fecha o ciclo com avaliação de utilidade; os capítulos 02 e 03 cobrem coleta e indicadores; o capítulo 05 ensina análise; e os capítulos 06 e 07 mostram o Threat Hunting como consumidor especializado da fase de disseminação, transformando produtos táticos em hipóteses de caça.

No capítulo 15, o ciclo aparece duas vezes: como os grupos COL e ANA, que cobrem coleta, processamento, análise e disseminação nos controles CTI.1 a CTI.9, e como a esteira integrada que termina na redução do dwell time. Para implementar esta nota, comece pela direção: escolha três PIRs com a nota 07, monte o quadro de microciclos da seção 7, defina os papéis da seção 8 para a sua equipe real e só depois invista em automação de coleta, que será muito mais barata quando os requisitos já estiverem estáveis.