Definição de CTI segundo o Framework CTH

Nota 06 do capítulo 01 - Fundamentos de Cyber Threat Intelligence (CTI). Apresenta a definição de CTI adotada pelo Framework CTH, a divisão em quatro níveis e o papel da inteligência no programa integrado de controles.
Serve de ponte entre a teoria do capítulo 01 e o Framework CTH completo do capítulo 15, que organiza a prática em grupos de controles.
Dialoga com a nota 01 (definição e valor), com a nota 05 (maturidade) e com todas as notas de controles do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

O Framework CTH (Cyber Threat Intelligence e Threat Hunting) é o fio condutor desta biblioteca. Ele nasce para preencher uma lacuna específica do ecossistema de frameworks: o CIS Controls v8 oferece higiene ampla, mas não aprofunda CTI e Threat Hunting; o OTHF e o TaHiTI são profundos em hunting, mas não cobrem o pipeline completo de inteligência. O CTH propõe uma estrutura de oito grupos de controles que cobre todo o caminho, do inventário de ativos e da superfície de ataque até a redução efetiva do dwell time, e cada grupo evolui de forma progressiva conforme a maturidade da organização.

Esta nota extrai e interpreta a definição de CTI do Capítulo 2 do framework, apresenta os quatro níveis da Tabela 2.1 e mostra como a inteligência se conecta aos oito grupos de controles e à esteira que termina no dwell time. As demais notas do capítulo 01 detalham as peças citadas aqui, e o capítulo 15 desdobra cada grupo em controles com salvaguardas por nível de maturidade. O leitor que domina esta nota consegue navegar o capítulo 15 sabendo onde cada controle se encaixa no programa.

O framework declara ainda seu público-alvo com clareza incomum, e isso ajuda a equipe a se posicionar. Ele se dirige a CSIRTs que precisam de contexto para responder mais rápido, SOCs que se beneficiam de indicadores enriquecidos e hipóteses, analistas de CTI que precisam de método, Threat Hunters que requerem hipóteses fundamentadas, e gestores e arquitetos que precisam de métricas e maturidade para justificar investimento. Cada nota desta biblioteca aponta, direta ou indiretamente, para um desses seis públicos.

2. A Definição de CTI no Capítulo 2 do Framework CTH

O framework define Cyber Threat Intelligence como o processo de coleta, processamento, análise e disseminação de informações sobre ameaças cibernéticas relevantes para uma organização, com o objetivo de fornecer contexto acionável que suporte a tomada de decisões defensivas. A definição é deliberadamente processual: o que define CTI não é um produto, e sim o encadeamento de quatro operações que giram em torno de requisitos e terminam em decisão. Cada palavra da definição cobra um compromisso operacional da equipe:

• Coleta: obtenção deliberada de material de fontes internas e externas, dirigida por requisitos, e não por curiosidade.
• Processamento: transformação de material bruto em informação utilizável, com normalização, deduplicação e enriquecimento.
• Análise: conversão de informação em avaliação, com inferência declarada e contexto do adversário.
• Disseminação: entrega do contexto acionável ao público certo, no formato certo, dentro da janela de decisão.

A definição do CTH completa-se com uma negação explícita e uma abertura de escopo. A negação: CTI não se limita a listas de indicadores de comprometimento (IOCs), e organizações que tratam feed como inteligência pararam na ante-sala da disciplina. A abertura: a disciplina engloba a compreensão das motivações, capacidades, táticas, técnicas e procedimentos (TTPs) dos adversários, bem como o contexto geopolítico e setorial que influencia o panorama de ameaças. É exatamente essa abertura que sustenta os perfis da nota 04 e as avaliações estratégicas da nota 02.

3. Os Quatro Níveis segundo a Tabela 2.1

O Capítulo 2 do framework classifica a inteligência em quatro níveis, cada um com foco, público-alvo, exemplo e ciclo de produção próprios. A tabela abaixo reproduz a estrutura do framework com os exemplos originais, e as notas 02 a 05 deste capítulo detalham cada nível com práticas de mercado:

A leitura correta da tabela é por consumidor e não por sofisticação: cada nível existe porque um tomador de decisão diferente precisa de uma abstração diferente do mesmo adversário. O framework reforça que compreender os níveis é fundamental para direcionar corretamente os esforços de produção e consumo, e a nota 02 desta biblioteca traduz essa direção em portfólio de produtos com cadência e formato por nível.

Na esteira do CTH, os níveis também determinam a qual grupo de controles cada produto pertence. A produção do nível técnico vive no COL e é exportada pela PLT; a análise tática e operacional nasce no ANA e alimenta DET e HNT; e a síntese estratégica é produto do ANA com consumo direto no GOV, que a usa para decisão de investimento e risco. Essa correspondência é o que impede a prática comum de discutir "CTI" como bloco único, quando o framework a trata como quatro produtos com quatro esteiras de qualidade.

4. Os Oito Grupos de Controles do Framework CTH

O framework organiza a prática em oito grupos de controles, cada um com prefixo de três letras e salvaguardas graduadas em básico, intermediário e avançado. A tabela abaixo resume o papel de cada grupo na esteira integrada:

O catálogo completo do framework, detalhado no capítulo 15 desta biblioteca, complementa os oito grupos com grupos especializados que a esteira exige em prática, como DAT para telemetria, PRT para defesa em profundidade, PLT para plataformas de inteligência, SIM para simulação de ataques e validação de detecção, INT para integração e MET para métricas. Cada controle segue o modelo padronizado inspirado no CIS Controls v8, com justificativa crítica, procedimentos, capacidades necessárias e salvaguardas numeradas por nível, o que permite à organização identificar rapidamente o que se aplica ao seu estágio atual.

Para CTI especificamente, os controles CTI.1 a CTI.10 materializam o ciclo da nota 03, fase a fase:

• CTI.1: requisitos de inteligência, os PIRs da nota 07 deste capítulo.
• CTI.2: avaliação de ameaças, a base dos perfis da nota 04.
• CTI.3: coleta de inteligência OSINT, com as fontes do capítulo 02 da biblioteca.
• CTI.4: coleta de inteligência de fontes técnicas, feeds e telemetria de ameaça.
• CTI.5: processamento e normalização de dados, com STIX 2.1 e enriquecimento.
• CTI.6: análise de TTPs com mapeamento ATT&CK, núcleo do nível tático.
• CTI.7: produção de relatórios de inteligência por nível e público.
• CTI.8: disseminação segmentada, com TLP e matriz de públicos da nota 08.
• CTI.9: feedback, o loop que a nota 11 detalha com métricas de utilidade.
• CTI.10: proteção de contra-inteligência, tema do capítulo 13 da biblioteca.

Essa numeração é o vocabulário de referência da biblioteca, e as notas deste capítulo citam esses controles onde cada conceito se torna salvaguarda.

5. A Esteira da Superfície ao Dwell Time

O argumento central do framework é estatístico e operacional ao mesmo tempo. Citando o Verizon DBIR, o CTH aponta que aproximadamente 68% das violações permanecem não detectadas por meses ou anos, e chama esse período de dwell time: a janela em que o adversário opera livremente, exfiltrando dados, estabelecendo persistência e movendo-se lateralmente. Reduzir o dwell time é o objetivo central de qualquer estratégia moderna, e a segurança reativa baseada apenas em antivirus, IDS/IPS e SIEM é insuficiente contra evasão, malware sem arquivo e exploits de dia zero.

A esteira do CTH ataca o problema por etapas complementares, cada uma encurtando a janela de forma diferente. O inventário e a superfície reduzem o espaço de ataque; a telemetria garante que o ambiente esteja observável; a inteligência dá contexto para detectar e caçar o que importa; a detecção e o hunting encurtam o tempo até a descoberta; a resposta fecha o incidente; e a retroalimentação realimenta tudo. O mapa abaixo resume a esteira em YAML, no formato de referência usado nas notas de controles do capítulo 15. Antes dele, vale fixar que a esteira não é cronológica: os grupos operam em paralelo e em cadências distintas, e a ordem abaixo é de dependência lógica, e não de calendário:

esteira_cth:
  objetivo_final: reduzir dwell time com CTI e Threat Hunting integrados
  etapas:
    - grupo: GOV
      entrega: patrocínio, papéis e modelo de maturidade que sustentam o programa
    - grupo: INS
      entrega: inventário de ativos e superfície externa conhecida e monitorada
    - grupo: DAT
      entrega: telemetria de endpoint, rede, aplicação e nuvem centralizada no SIEM
    - grupo: COL
      entrega: coleta dirigida por PIRs, com processamento e qualidade garantidos
    - grupo: ANA
      entrega: produtos por nível, perfis de atores e mapeamento ATT&CK
    - grupo: DET
      entrega: regras e correlações guiadas por inteligência, com cobertura medida
    - grupo: HNT
      entrega: caça proativa por hipóteses, achando o que as regras não pegam
    - grupo: AUT
      entrega: orquestração que encurta o ciclo de coleta a detecção
    - grupo: RES
      entrega: resposta rápida, lições aprendidas e retroalimentação da CTI
  resultado_medido: dwell time em queda, medido no grupo MET e reportado à governança

O ponto que distingue o CTH é a retroalimentação explícita: cada incidente respondido realimenta requisitos, cada hunt valida ou corrige hipóteses, cada regra de detecção testada em simulação volta como evidência de cobertura. Inteligência que não retorna ao ciclo é consumo passivo, e é por isso que o feedback, na nota 11, é tratado como salvaguarda e não como cortesia.

Cada etapa da esteira ataca o dwell time por um mecanismo diferente, e a soma dos mecanismos é o que encurta a janela de forma sustentável:

• INS e DAT reduzem a chance de ataque cego e garantem que, se houver ataque, haja evidência registrada.
• COL e ANA reduzem o tempo entre o adversário aparecer no mundo e a organização saber o que procurar.
• DET e HNT reduzem o tempo entre o comportamento existir no ambiente e a defesa enxergá-lo.
• RES e AUT reduzem o tempo entre a descoberta e a contenção, e realimentam o ciclo sem perda de contexto.

6. Como o CTH Usa a Definição na Prática

A definição processual do framework tem consequências diretas de implantação. Primeiro, a direção precede a ferramenta: o CTH recomenda começar pela avaliação de maturidade e pelos requisitos, e só depois evoluir coleta e automação, na mesma linha da nota 05 deste capítulo. Segundo, os grupos podem ser tratados de forma relativamente independente, mas com dependências lógicas declaradas, e o próprio framework alerta que é difícil implementar coleta e análise de CTI sem governança e inventário estabelecidos. Terceiro, cada salvaguarda tem nível declarado, o que permite plano de implantação cumulativo e auditável.

Um exemplo concreto mostra a esteira funcionando para um único requisito. Suponha o PIR de detectar técnicas de persistência do grupo APT41 em servidores Linux: o INS confirma quais servidores Linux críticos existem e onde; o DAT garante telemetria de auditd e Sysmon nessas máquinas; o COL coleta relatórios e fontes técnicas sobre o grupo; o ANA consolida as técnicas de persistência observadas com evidência; o DET implanta regras para as técnicas com detecção conhecida; o HNT formula e executa a caça para as técnicas sem regra; o AUT agenda enriquecimento e correlação; e o RES registra o resultado da validação, realimentando o CTI.2 e o CTI.9. Um PIR atravessa oito grupos e volta melhorado, e é esse percurso que a palavra integrada carrega no nome do framework.

Na prática de implantação, a sequência mínima que a esteira recomenda para o programa de CTI é:

• Estabelecer patrocínio e missão no GOV, com posicionamento organizacional declarado.
• Inventariar ativos e superfície no INS, porque inteligência sem saber o que defender não prioriza nada.
• Formalizar PIRs no COL, com o método das notas 07 a 10 deste capítulo.
• Produzir por nível no ANA, com perfis e mapeamento ATT&CK, usando a nota 04.
• Consumir inteligência na detecção e no hunting, nos grupos DET e HNT.
• Medir e realimentar no RES e no MET, fechando o loop com as métricas da nota 11.
• Reavaliar maturidade e portfólio a cada ciclo, realinhando salvaguardas com a nota 05.

7. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem quando organizações adotam o framework como lista de ferramentas, e não como esteira de capacidade:

• Implantar grupos fora de ordem sem resolver dependências: automação sofisticada sobre inventário inexistente automatiza o caos; correção: seguir as dependências lógicas entre GOV, INS, COL e ANA declaradas pelo framework.
• Ler os níveis da Tabela 2.1 como hierarquia de valor: níveis são públicos diferentes; correção: portfólio por nível, como na nota 02.
• Tratar o CTI como propriedade de uma ferramenta: TIP não é programa; correção: ferramenta serve ao ciclo, e não o contrário.
• Ignorar a salvaguarda de feedback: sem o CTI.9, a esteira não fecha e o programa não aprende; correção: instituir métricas de uso e revisão mensal, como na nota 11.
• Perseguir nível alto de salvaguarda antes do básico: salvaguardas avançadas pressupõem as básicas; correção: plano cumulativo por nível de maturidade da nota 05.
• Medir o programa por volume de controles implantados: contagem de salvaguardas não é resultado; correção: reportar dwell time, cobertura de detecção e utilidade da inteligência lado a lado.
• Citar o framework sem adotar o ciclo: implantar ferramentas citadas pelo CTH não equivale a operar a esteira; correção: governança por controles e salvaguardas, e não por inventário de produtos.
• Tratar SIM e validação como opcional: cobertura de detecção presumida é aposta, e não defesa; correção: validar regras com o grupo SIM ou exercícios purple team do capítulo 19.

Um ponto final de atenção é a citação estatística que fundamenta o framework. O número de 68% do DBIR serve para ilustrar a dimensão do problema de detecção tardia, e não para ser replicado como métrica universal, porque a proporção varia por setor, tamanho e fonte do dado. O que o programa deve medir é o próprio dwell time, com método declarado e janela observada, na forma definida pelo grupo MET do capítulo 15, e usar o dado público apenas como referência de contexto em relatórios executivos.

8. Integração com o Restante da Biblioteca

Esta nota é a porta de entrada para o capítulo 15 inteiro. As notas 01 a 05 do capítulo 01 definem os conceitos que a esteira mobiliza, e as notas 07 a 11 detalham os requisitos que alimentam o grupo COL e a avaliação que fecha o RES. Nos capítulos seguintes, o grupo DAT reaparece como coleta de telemetria, o grupo HNT se desdobra nos capítulos 06 e 07 de Threat Hunting, e o grupo MET se desdobra no capítulo 11 de indicadores e métricas.

Para o estudo integrado, a recomendação é ler esta nota com o mapa da esteira da seção 5 aberto ao lado, marcando quais etapas já existem na organização de estudo e quais dependências lógicas ainda estão abertas. Esse exercício produz o mapa de implantação inicial que o Capítulo 1.5 do framework recomenda, e é o mesmo mapa que o capítulo 15 cobra na forma de plano progressivo por nível de maturidade, com salvaguardas básicas antes das intermediárias e destas antes das avançadas.

Por fim, esta nota responde uma pergunta que costuma surgir no estudo: por que a biblioteca dedicou uma nota inteira à definição de um único framework, se os capítulos anteriores já tratam teoria. A resposta é que o Framework CTH é a espinha dorsal de governança de toda a biblioteca: cada capítulo temático alimenta pelo menos um grupo de controles, e o leitor que entende a definição e a esteira do CTH transforma leitura em plano de implantação, que é o objetivo declarado desta coleção de estudos.