04 - Perfil de Ameaças (Threat Actor, TTPs, Indicadores)

1. Contexto e Posicionamento na Biblioteca

O perfil de ameaças é o documento que consolida tudo o que a organização sabe sobre um adversário específico: quem ele é, por que age, o que é capaz de fazer, como opera tecnicamente e quais artefatos o delatam. É o produto tático de mais alto valor, porque um perfil bem mantido alimenta detecção, hunting, resposta e decisão de risco ao mesmo tempo, a partir de uma única fonte de verdade. Perfil ruim, por outro lado, propaga erros para todo o downstream: regras mal calibradas, caças mal direcionadas e decisões de investimento mal fundamentadas.

Esta nota define a anatomia de um perfil, estrutura o documento, distingue TTPs de indicadores e estabelece o ciclo de manutenção. O exemplo da seção 6 é um esqueleto de trabalho, pronto para ser copiado para o TIP ou plataforma de conhecimento da equipe. Os atores citados, como APT29, FIN7, Scattered Spider, LockBit e ALPHV, são casos públicos conhecidos, usados apenas como ilustração de padrões documentados, e a biblioteca evita atribuição especulativa.

2. Anatomia do Perfil: Motivação, Capacidade e Oportunidade

A doutrina clássica de inteligência avalia um ator por três eixos, e o perfil de CTI herda essa estrutura completa. Motivação explica por que o ator age: espionagem patrocinada por Estado, extorsão financeira, ideologia, vandalismo ou acesso inicial para terceiros. Capacidade descreve o que ele sabe e tem: ferramentas próprias e compradas, operadores, infraestrutura, velocidade de adaptação e budget, no caso de grupos criminosos que terceirizam funções. Oportunidade avalia a interseção entre o ator e a organização: setores atacados, vetores preferidos, dependências de fornecedores e janelas exploradas.

O cruzamento dos três eixos produz a avaliação de ameaça propriamente dita. Um ator com alta capacidade e motivação financeira é perigoso para quem armazena dados valiosos e paga resgate; um ator de espionagem com motivação estratégica é perigoso para quem detém propriedade intelectual, mesmo sem ser alvo de extorsão. A pergunta operacional que o perfil deve responder é sempre a mesma: qual é a probabilidade de este ator escolher nossa organização como alvo, e o que muda em nossas defesas se ele o fizer.

3. Estrutura de um Documento de Perfil

A estrutura abaixo consolida as seções que perfis de mercado, como os de grandes vendedores e agências públicas, apresentam de formas variadas. O objetivo é um documento navegável, com cada seção respondendo a uma pergunta do consumidor:

• Identificação: nomes usados pela comunidade, aliases, sobreposição com outros atores e grau de confiança da correlação.
• Classificação: categoria (crime organizado, Estado-nação, hacktivista, acesso inicial), origem estimada e maturidade.
• Motivação e objetivos: alinhados ao eixo de motivação da seção 2, com alvos preferenciais e metas observadas.
• Capacidades: ferramentas próprias e de terceiros, exploração de dia zero, maturidade operacional e velocidade de mudança.
• TTPs: táticas e técnicas mapeadas em MITRE ATT&CK, com evidência por técnica e fase da cadeia de ataque.
• Infraestrutura: padrões de hosting, registro de domínios, certificados, proxychains e reutilização observada.
• Vítimas e setores: geografia, segmentos, porte e casos públicos documentados, sem especulação.
• Indicadores: artefatos atômicos com data de validade, confiabilidade e fonte, separados por tipo.
• Contramedidas recomendadas: detecções candidatas, mitigações ATT&CK e pontos de hardening prioritários.
• Avaliação de ameaça à organização: síntese dos três eixos aplicada à superfície e ao setor da leitora organização.

Duas regras de redação preservam a credibilidade do documento ao longo do tempo. A primeira é separar fato de avaliação: o que foi observado tem citação de fonte e data, o que é inferência tem grau de confiança declarado no padrão da nota 03. A segunda é manter a atribuição explícita sobre incerteza: muitos grupos são rótulos de conveniência, e sobreposições entre nomes da indústria são comuns, portanto o perfil declara explicitamente quando dois rótulos podem descrever o mesmo conjunto de operadores.

4. TTPs versus Indicadores

A distinção entre TTPs e indicadores é a distinção entre o que o adversário é e o que ele deixou para trás. Indicadores são atômicos e voláteis: um hash, um IP, um domínio, um mutex. TTPs são comportamentais e estáveis: a forma como o ator escolhe o vetor inicial, o modo como escala privilégios, o horário de operação e a preferência por ferramentas nativas. A Pirâmide de Dor de David Bianco, coberta no capítulo 04, formaliza essa diferença: quanto mais alto o nível de indicador, mais custoso é para o adversário mudá-lo, e TTPs estão no topo da pirâmide.

A tabela abaixo compara os dois planos e orienta onde cada um deve ser usado no programa:

O perfil maduro usa os dois planos em papéis complementares, e os casos públicos mostram por quê. Bloquear o hash de um loader do LockBit impede aquele binário, enquanto detectar o padrão comportamental de cifragem em massa com sombra de volume captura a família inteira de procedimentos. Da mesma forma, os domínios do Scattered Spider rotacionam semanalmente, mas a sequência operacional de engenharia social no help desk seguida de abuso de MFA permaneceu estável por anos, e é ela que sustenta detecções duráveis.

5. Manutenção, Versionamento e Ciclo de Vida

Perfil sem manutenção vira documento morto com aparência de autoridade, e adversários evolvem em semanas. O regime recomendado combina cadência programada com gatilhos de atualização: revisão trimestral para atores monitorados, com atualização imediata quando um relatório relevante muda a avaliação, quando um incidente interno ou do setor envolve o ator, ou quando a própria organização muda de setor, tamanho ou superfície. Cada mudança substantiva em motivação, capacidade ou TTPs é registrada com data, fonte e autor da revisão.

O versionamento simples basta para a maioria das equipes, desde que seja disciplinado. Um histórico no rodapé do documento, com versão, data, autor e resumo da mudança, supera soluções complexas que ninguém mantém. Regras mínimas: nunca sobrescrever avaliação anterior sem registrar o que mudou; marcar indicadores com data de última confirmação e expirar os que envelheceram; arquivar perfis de atores que saem do escopo em vez de excluí-los, porque o retorno de um ator ao portfólio é comum. A nota 11 deste capítulo conecta o uso dos perfis às métricas de utilidade, e o controle CTI.2 do capítulo 15 institui a avaliação de ameaças como salvaguarda.

6. Exemplo de Perfil Esboçado

O esqueleto abaixo, em YAML, organiza o perfil de um ator fictício, com campos suficientes para alimentar TIP, detecção e hunting. Os valores são ilustrativos e o formato é intencionalmente plano, para exportação simples:

perfil_ator:
  id: PERF-2025-014
  nome_primario: Grupo Ficticio A
  aliases: ["APT-Q-Ficticio", "cluster-xyz"]
  categoria: crime organizado
  confianca_identidade: media
  atualizado_em: 2025-06-02
  versao: 3
  autor: equipe-cti
  motivacao:
    tipo: financeira (extorsao multipla)
    alvos_preferenciais: [saude, logistica, varejo]
    padrao_vitimas: empresas de 500 a 5000 funcionarios na America Latina
  capacidade:
    ferramentas_proprias: [loader customizado, ferramenta de exfiltracao]
    ferramentas_terceiros: [cobalt strike, ransomware afiliado]
    exploracao_dia_zero: nao observada
    maturidade: intermediaria, opera em horario comercial
  ttps:
    acesso_inicial: [T1566.001, T1190]
    execucao: [T1059.001, T1204.002]
    persistencia: [T1547.001, T1053.005]
    escalacao: [T1068]
    lateralidade: [T1021.001, T1021.002]
    exfiltracao: [T1041, T1567.002]
    impacto: [T1486, T1490]
  infraestrutura:
    padrao_hosting: provedores de aluguel residencial rotacionados semanalmente
    dominios: registro em massa com padrao de nome e certificado Let's Encrypt
    c2: HTTPS com beaconing de 60s e jitter de 15%
  indicadores:
    - tipo: sha256
      valor: "e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855"
      visto_em: 2025-05-20
      confiabilidade: alta
    - tipo: dominio
      valor: portal-atualiza-financeiro.example
      visto_em: 2025-05-28
      confiabilidade: media
      expira_em: 2025-06-28
  avaliacao_para_organizacao:
    probabilidade_alvo: media alta
    justificativa: setor e porte coincidem com padrao de vitimas; superficie de VPN ampla
    acoes_prioritarias: [revisar MFA em VPN, caçar T1053.005, teste de phishing especifico]
  historico:
    - versao: 1, data: 2024-11-10, resumo: perfil inicial a partir de relatorio externo
    - versao: 2, data: 2025-02-18, resumo: TTPs de impacto atualizados apos campanha no setor
    - versao: 3, data: 2025-06-02, resumo: infraestrutura e indicadores renovados; avaliação revisada

7. Como Construir um Perfil do Zero

Equipes que ainda não mantêm perfis podem produzir o primeiro em um dia de trabalho, seguindo uma sequência de baixo custo que prioriza utilidade imediata sobre completude:

• Escolher de dois a quatro atores com probabilidade real de atingir a organização, partindo de setores e vítimas anteriores, e não de fama na mídia.
• Coletar de três a cinco relatórios públicos por ator e extrair os TTPs comuns e consensuais, ignorando detalhes disputados entre fontes.
• Mapear os TTPs consolidados em ATT&CK, anotando quais já têm detecção no ambiente e quais são cegos.
• Registrar indicadores recentes com data e confiabilidade, aceitando que a coleção inicial será pequena e volátil.
• Redigir a avaliação para a organização nos três eixos da seção 2, com probabilidade de alvo e ações prioritárias.
• Agendar a primeira revisão trimestral e definir os gatilhos de atualização da seção 5.

O resultado inicial não será profundo, e isso é aceitável, porque o valor do perfil está na síntese acionável, e não na densidade enciclopédica. Perfis que ninguém consulta, por mais completos, não são inteligência, e o caminho de melhoria é puxado pelo feedback de quem caça e detecta com base neles.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo degradam perfis reais com frequência e têm correção conhecida:

• Colagem de relatórios: compilar texto de terceiros sem síntese própria gera documento desatualizado na data de publicação; correção: extrair fato, avaliar e declarar fonte por afirmação.
• Atribuição absoluta: apresentar rótulos de ator como verdade consolidada, ignorando sobreposição de aliases; correção: grau de confiança por identidade e por técnica.
• Indicadores sem validade: coleção cresce para sempre e passa a gerar falso positivo; correção: data de confirmação e expiração por tipo.
• TTPs sem evidência: listar técnicas que o ator "poderia" usar, poluindo a caça; correção: registrar apenas o observado, com fonte, e separar o potencial em seção própria.
• Perfil enciclopédico: documento de 80 páginas que ninguém lê; correção: síntese de uma página no início, com detalhe em anexo.
• Falta de vínculo com o ambiente: TTPs sem tradução para detecção ou hunting; correção: campo de ação por técnica, como no YAML da seção 6.
• Sem dono de manutenção: perfil envelhece silenciosamente; correção: responsável nominal por ator no portfólio da equipe.

Um ponto final de atenção é o uso do perfil em contexto jurídico e de conformidade. Avaliações sobre atores podem constar em dossiês de risco, apólices de seguro cibernético e comunicações regulatórias, e por isso o documento deve distinguir claramente fato observado de inferência analítica, com confiança declarada e fontes citadas por afirmação. Essa disciplina protege a equipe quando a avaliação é contestada, e é mais um motivo para manter o padrão de evidência da nota 03 em todos os perfis.

9. Integração com o Restante da Biblioteca

O perfil de ameaças é o hub do nível tático e irriga a biblioteca inteira. A nota 02 o posiciona entre os níveis; a nota 03 o produz dentro da fase de análise; a nota 09 deriva dele os EEIs que sustentam a coleta; e a nota 10 prioriza os atores que merecem perfil no portfólio. Os capítulos 06 e 07 transformam cada TTP do perfil em hipóteses de hunting, e o capítulo 18 converte os mesmos TTPs em detecções automatizadas.

No capítulo 15, os perfis aparecem como produto do controle CTI.2, avaliação de ameaças, e como insumo do CTI.6, análise de TTPs com mapeamento ATT&CK. A recomendação de estudo é construir o primeiro perfil com a sequência da seção 7, rodar uma hipótese de caça a partir dele com a nota TH.6 do capítulo 15 e registrar o resultado como feedback na nota 11, fechando o ciclo analítico completo da biblioteca em uma única passagem prática.