Comparativo e Pirâmide de Indicadores

Nota síntese do capítulo 03: consolida IOC, IOA, IOB, IOE e TTP em um comparativo único e releia a Pirâmide de Dor de David Bianco à luz das quatro famílias.
Cumpre papel de bússola de decisão: qual indicador coletar, quanto custa mantê-lo vivo e qual valor ele entrega a cada consumidor do programa.
Depende das notas individuais de cada família e antecipa a Pirâmide de Dor e o Diamond Model do capítulo 04 e o hunting por TTPs do capítulo 08.

1. Contexto e Posicionamento na Biblioteca

As notas anteriores do capítulo definiram cada família de indicadores isoladamente. Esta nota faz o trabalho inverso e mais decisivo para a operação: colocar as cinco linguagens lado a lado, com a mesma régua, para que escolhas de coleta, de detecção e de priorização deixem de ser preferência pessoal e passem a ser decisão técnica. Na prática, a maior parte dos programas falha não por falta de indicadores, e sim por usar a família errada para o problema certo, por exemplo caçando hashes onde só telemetria de comportamento resolveria.

O posicionamento na biblioteca é o de nota de fechamento conceitual do capítulo 03. Ela dialoga com a nota de Pirâmide de Dor do capítulo 04, que aprofunda a discussão de custo para o adversário, e prepara o leitor para o capítulo 08, em que TTP deixa de ser conceito e vira carteira de hunts. Também serve de referência cruzada para a seção 15: o teste de detecção de IOCs e IOAs do SIM.4 e a métrica de cobertura do SIM.5 só fazem sentido quando o programa sabe qual família está testando e por quê.

2. As Cinco Linguagens de Indicadores

Cada família responde a uma pergunta diferente, com uma natureza de evidência diferente e um consumidor natural diferente. A tabela compara as cinco com exemplos concretos e validade típica, e as seções seguintes exploram custo e decisão de uso.

A leitura vertical da tabela revela um gradiente: quanto mais para baixo, maior a abstração e maior a durabilidade. O IOC é pontual e barato, o IOA exige telemetria rica, o IOB exige baseline construída ao longo do tempo, o IOE exige inventário honesto e o TTP exige análise de campanha e engenharia de detecção. Não existe família superior em absoluto; existe a família adequada à pergunta daquele momento, e um programa maduro mantém as cinco ativas ao mesmo tempo.

Para fixar a diferença de natureza, vale reconstituir o mesmo evento nas cinco linguagens. Um atacante que explora uma VPN desatualizada e move lateralmente até um servidor de arquivos gera IOE na VPN aberta, IOC no endereço de origem e no binário do exploit, IOA na sequência de execução do utilitário nativo usado para mover-se, IOB no acesso da conta comprometida a compartilhamento que ela nunca acessou e TTP na doutrina completa de acesso inicial seguido de movimento lateral. A cada degrau, a evidência envelhece mais devagar e serve a mais consumidores.

3. A Pirâmide de Dor Aplicada às Famílias

A Pirâmide de Dor, publicada por David Bianco, ordena os elementos técnicos pela dor que causam ao adversário quando o defensor os bloqueia: quanto mais alto o nível, mais custoso é para o atacante substituir o que foi detectado. O conceito central é que bloquear um hash incomoda o adversário por minutos, enquanto interromper seus TTPs força mudança de doutrina, retrabalho de treinamento e perda de eficiência em todas as operações seguintes. A tabela mapeia cada nível da pirâmide nas famílias deste capítulo.

O IOB e o IOE não aparecem na pirâmide original porque ela mede dor do adversário, e essas duas famílias são centradas no defensor. O IOB observa a linha de base interna, que o adversário não substitui porque não é dele; o IOE observa a exposição própria, que o adversário aproveita mas não mantém. As duas famílias funcionam como uma terceira dimensão da pirâmide: enquanto os seis níveis descrevem o custo de substituição do atacante, o IOB e o IOE descrevem a qualidade da observação e da superfície do defensor, e melhorar nessas duas frentes eleva a dor em todos os níveis ao mesmo tempo.

A história recente do mercado ilustra o mecanismo da pirâmide em funcionamento. A popularização de frameworks de C2 comerciais empurrou os defensores a detectar artefatos e perfis padrão, o que forçou os operadores a escrever perfis de tráfego personalizados e, em seguida, a migrar para ferramentas menos assinadas; a cada contramedida no nível de artefato e ferramenta, o custo de operação subiu. Quando defensores começaram a caçar os padrões operacionais, como agendamento de tarefas em horário comercial e uso de identidade administrativa fora da janela, a dor migrou para o topo, onde substituir exige reescrever a doutrina inteira da operação.

4. Custo de Coleta, Manutenção e Valor

O equilíbrio entre custo e valor é o que separa um portfólio de indicadores de uma pilha de feeds. A tabela resume os quatro eixos por nível da pirâmide, com custo de coleta para o defensor, custo de manutenção ao longo do tempo, taxa típica de falso positivo e valor entregue por correspondência correta.

Dois pontos merecem destaque operacional. Primeiro, o nível de artefatos é o ponto doce do portfólio: coisas como assinatura JA3 de TLS, User-Agent específico, nome de pipe e nome de mutex duram mais que IPs, custam menos que TTPs e têm falso positivo baixo, o que os torna prioridade natural de engenharia. Segundo, o custo do TTP é concentrado na construção: uma detecção comportamental escrita uma vez, testada pelo SIM.4 e coberta pelo SIM.5 continua gerando valor por anos, enquanto um IP de feed exige higiene semanal para não virar ruído.

O registro de um indicador deve carregar desde a origem os metadados que decidem seu tratamento. O exemplo abaixo mostra a ficha mínima que o TIP deveria guardar para cada item, com validade calculada por política de tipo e contexto suficiente para a triagem decidir sem nova rodada de pesquisas.

indicador:
  valor: "203.0.113.99"
  tipo: ipv4-addr
  familia: ioc
  fonte: feed-parceiro-a
  confianca: 60
  tlp: amber
  primeira_observacao: 2025-05-02
  ultima_observacao: 2025-05-19
  expira_em: 2025-08-19            # 90 dias, por política de validade de IP
  contexto:
    papel: c2-beacon-https
    malware_associado: loader-commodity
    fase: comando-e-controle
    infra_compartilhada: true      # exige correspondência por SNI, nao por IP

Com fichas assim, a conversa sobre custo muda de patamar: o TIP responde em segundos quantos itens ativos existem por fonte, qual a idade média e quantos vencem na semana, e o ajuste fino do portfólio passa a ser decisão com dados em vez de disputa de opinião.

5. Matriz de Decisão de Uso

A decisão de qual família usar acontece dezenas de vezes por dia, na triagem e no planejamento. A matriz a seguir resume a escolha pela situação operacional, e o roteiro em bloco de código transforma a mesma lógica em passo a passo verificável.

Roteiro de decisão rápida
1. Existe hash, IP ou dominio confirmado? Use IOC e dispare busca exata.
2. Nao existe IOC, mas existe padrao de execucao? Use IOA e abra hipotese de hunting.
3. O desvio e de identidade ou acesso, nao de processo? Use IOB contra a baseline interna.
4. Nada aconteceu ainda, mas a superficie esta aberta? Registre IOE, priorize e corrija.
5. Precisa explicar o ator e planejar 90 dias? Use TTP e mapeie no ATT&CK Navigator.

6. Estratégia de Portfólio de Indicadores

Um portfólio saudável distribui o esforço pelas famílias de acordo com o retorno, e não de acordo com o volume que cada uma produz. Indicadores estáticos são o que mais chega e o que menos vale por unidade, então merecem automação integral: ingestão com metadados de confiança, expiração por tipo de indicador, enriquecimento automático e nenhuma triagem manual de item sem contexto. A engenharia de detecção, por sua vez, é onde o esforço humano tem maior retorno duradouro, convertendo relatórios de campanha em regras de IOA cobertas por teste.

A distribuição ilustrativa para um programa em maturação é de cerca de trinta por cento do esforço em higiene e automação de IOC, quarenta por cento em engenharia de detecção de IOA e IOB, vinte por cento em gestão de exposição e dez por cento em análise e documentação de TTP. Esses números não são dogma, mas funcionam como diagnóstico: um programa que gasta oitenta por cento do tempo mexendo em feed provavelmente está operando no nível mais barato e mais perecível da pirâmide. A medição desse portfólio segue o modelo da seção 15, com cobertura por técnica no SIM.5 e taxa de acionamento real no grupo MET.

A higiene do portfólio cabe em cinco regras operacionais simples de auditar:

• Expiração obrigatória: nenhum indicador entra sem data de validade compatível com sua validade típica, e a exceção exige justificativa no registro.
• Enriquecimento no caminho: ASN, geolocalização, registro de domínio e reputação são anexados na ingestão, e não na triagem, para que o contexto não dependa de pressa humana.
• Deduplicação por valor e por fonte: a mesma dupla valor e fonte não entra duas vezes, e o histórico de observação é atualizado em vez de recriado.
• Métrica por fonte: acionamento útil e falso positivo são contabilizados por origem, com corte ou renegociação quando a fonte cai abaixo do mínimo aceitável.
• Revisão trimestral: o catálogo inteiro é reavaliado com as métricas na mesa, e itens nunca acionados são reclassificados ou removidos.

7. Métricas do Portfólio e Consumidores

Um portfólio sem métrica por consumidor tende a otimizar o que é fácil de contar, geralmente o volume de indicadores ingeridos. A tabela liga cada consumidor do programa ao que ele consome, à ação que executa com o insumo e à métrica que indica saúde daquela relação.

Duas métricas agregam o portfólio inteiro e valem monitoração mensal: a proporção de indicadores que geraram ao menos um acionamento útil nos últimos noventa dias, por família e por fonte, e a idade média dos itens ativos, que denuncia feeds vencidos e catálogos sem expiração. Quando a proporção de acionamento útil cai abaixo de poucos por cento em uma fonte, a decisão não é acumular mais itens, e sim renegociar ou desligar a fonte, com o histórico guardado para eventual retorno.

8. Erros Comuns e Pontos de Atenção

• Gula de feeds: acumular fontes de IOC sem contexto, sem expiração e sem métrica de acionamento gera custo de triagem e impressão falsa de inteligência; o critério é taxa de acionamento útil, não quantidade de itens.
• Confundir dor do adversário com esforço de coleta: a pirâmide ordena o custo para o atacante substituir, e não o esforço do defensor para coletar; TTP é o mais caro de coletar e o mais durável de manter, e é justamente por isso que vale o investimento.
• Usar a pirâmide como curva de valor universal: em ambientes com adversário oportunista, hashes e IPs resolvem a maior parte dos casos; a pirâmide orienta onde investir, não onde olhar primeiro no incidente de hoje.
• Trocar de família por conveniência: usar hash e IP onde a pergunta é comportamental produz falso negativo estrutural, porque o adversário substitui o artefato e mantém o método.
• Ignorar ciclo de vida: indicador sem expiração vira falso positivo com o tempo, e a supressão mal governada do falso positivo vira cegueira permanente.

9. Integração com o Restante da Biblioteca

A forma mais rápida de consolidar o conteúdo do capítulo é exercitá-lo sobre um caso real. Uma campanha de ransomware do tipo LockBit pode ser expressa simultaneamente nas cinco linguagens, e cada consumidor age sobre uma ficha diferente da mesma campanha, como mostra a tabela.

O exercício complementar, e mais revelador, é pegar o próximo relatório de campanha que a equipe ler e produzir as cinco fichas em uma hora cronometrada. O que não couber em nenhuma ficha indica exatamente onde a coleta é fraca: se o relatório cita padrão de beacon e a telemetria não tem proxy log para confirmá-lo, a lacuna é de fonte; se o relatório descreve TTP e ninguém consegue transformá-lo em hipótese, a lacuna é de método. As fichas resultantes alimentam diretamente o SIM.4, que transforma cada item em caso de teste, e o capítulo 08, que transforma cada TTP em carteira de hunts.