TTPs - Táticas, Técnicas e Procedimentos

Nota do capítulo 03 dedicada ao topo da Pirâmide de Dor: a linguagem de táticas, técnicas e procedimentos, a descrição mais duradoura do comportamento de um adversário.
Conecta as quatro famílias de indicadores ao MITRE ATT&CK e prepara o terreno do hunting orientado por comportamento.
Dialoga com o comparativo das famílias deste capítulo, com os frameworks do capítulo 04 e com as técnicas de hunting do capítulo 08.

1. Contexto e Posicionamento na Biblioteca

Todas as famílias anteriores do capítulo descrevem evidências que o adversário deixa para trás. Os TTPs, sigla em inglês para Tactics, Techniques and Procedures (táticas, técnicas e procedimentos), descrevem o adversário em si: o objetivo de cada fase da operação, o meio técnico escolhido para alcançá-lo e a assinatura pessoal com que um grupo específico executa esse meio. Enquanto um hash é substituído em minutos e um domínio em dias, um procedimento operacional treinado e automatizado por um grupo é reescrito apenas quando o custo de mantê-lo supera o custo de mudar de doutrina.

No mapa da biblioteca, esta nota é o alicerce conceitual de dois capítulos: o 04, que formaliza frameworks como ATT&CK e Diamond Model, e o 08, que transforma TTPs em carteiras de hunts executáveis. Ela também sustenta os controles de simulação da seção 15, porque todo caso de teste de detecção é, no fundo, a reprodução controlada de um procedimento. O leitor deve sair daqui distinguindo tática de técnica e técnica de procedimento, e capaz de escrever uma ficha de TTP que um engenheiro de detecção consiga transformar em regra sem voltar ao analista que a escreveu.

2. A Hierarquia Tática, Técnica e Procedimento

A hierarquia responde a três perguntas encadeadas. A tática responde ao porquê de um passo existir: qual objetivo tático ele serve dentro da operação, como obter o primeiro acesso ou escalar privilégio. A técnica responde ao como: qual meio é usado para atingir o objetivo, com o MITRE ATT&CK oferecendo vocabulário padronizado de centenas de técnicas e sub-técnicas. O procedimento responde a como, exatamente, neste grupo e nesta campanha: qual ferramenta, qual comando, qual horário, qual lure, qual sequência de comandos encadeados.

A confusão entre os níveis tem consequência prática direta. Descrever um adversário como "usa phishing" informa a tática e não gera detecção; dizer "usa anexo com macro que invoca PowerShell codificado a partir de processo do Office" já é procedimento acionável, com descendência de processo, parâmetro de linha de comando e fase de execução observáveis. A disciplina de descer um nível a cada pergunta é o que transforma relatório de inteligência em telemetria de detecção.

A hierarquia também explica por que dois grupos podem usar a mesma técnica sem serem iguais. Duas organizações criminosas podem executar T1566.001, mas uma manda anexo de planilha fiscal com macro e a outra envia link para página de credenciais com tema de RH; o compartilhamento da sub-técnica sugere paralelo de doutrina, enquanto os procedimentos distintos são os melhores discriminadores de atribuição. Em análise de campanha, portanto, a tática e a técnica agregam, e o procedimento separa.

3. Encadeamento de um Mesmo Ator

O valor real da linguagem de TTP aparece quando o encadeamento completo da operação é descrito técnica a técnica. A tabela abaixo monta um encadeamento ilustrativo inspirado em campanhas públicas atribuídas a grupos criminosos financeiros, com o procedimento observado e a telemetria que cada passo deveria produzir em um ambiente instrumentado.

Duas propriedades desse encadeamento explicam por que a linguagem de TTP domina a análise de adversários. Primeiro, o encadeamento é independente da infraestrutura: trocar de domínio, de endereço e até de binário não altera a sequência de técnicas, então a detecção construída sobre a sequência sobrevive à troca. Segundo, o encadeamento é auditável contra telemetria: para cada linha existe um evento esperado, o que permite ao defensor medir cobertura real por técnica em vez de declarar proteção genérica.

Cada linha da tabela também é uma hipótese de hunting esperando execução. O passo 4, por exemplo, decompõe-se em criação de processo com a biblioteca comsvcs.dll e parâmetro MiniDump, seguida de acesso ao processo do LSASS com permissão de leitura de memória, e a consulta abaixo verifica a primeira metade dessa composição na telemetria do endpoint.

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName =~ "rundll32.exe"
| where ProcessCommandLine has "comsvcs.dll" and ProcessCommandLine has "MiniDump"
| extend alvo = tostring(split(ProcessCommandLine, " ")[-1])
| project Timestamp, DeviceName, AccountName, ProcessCommandLine, alvo
| sort by Timestamp desc

4. Relação com o MITRE ATT&CK

O MITRE ATT&CK é o corpo de conhecimento que padroniza a descrição de táticas, técnicas e procedimentos observados em operações reais, organizado em matrizes por domínio, com a matriz Enterprise cobrindo ambientes corporativos tradicionais e nuvem, além das matrizes para ICS e Mobile. As táticas da matriz Enterprise formam as colunas: reconhecimento, desenvolvimento de recursos, acesso inicial, execução, persistência, elevação de privilégio, evasão de defesa, acesso a credenciais, descoberta, movimento lateral, coleta, comando e controle, exfiltração e impacto. Cada célula reúne técnicas e sub-técnicas, hoje na casa das centenas, com descrição, exemplos de uso por grupos, relações com software e fontes de dados sugeridas.

O modelo de dados do ATT&CK também descreve os atores: objetos de grupo, software e campanha conectam técnicas às operações em que foram observadas, e esse tecido de relações é o que permite responder perguntas como quais técnicas o grupo X usa no acesso inicial. O projeto publica revisões duas vezes por ano, e o ATT&CK Navigator permite desenhar camadas de cobertura que comparam técnicas observadas, detectadas e prevenidas. Para automação, as versões da matriz circulam no formato STIX 2.1, o mesmo do compartilhamento de indicadores, o que mantém ficha de TTP e IOC no mesmo ecossistema de dados.

Para cada técnica, a página do ATT&CK entrega um conjunto estável de campos que a ficha interna deve herdar em vez de reinventar:

• Descrição do comportamento, com as variações que o mercado já observou e os nomes alternativos já usados.
• Exemplos reais, com grupo, software e campanha vinculados, que servem de fonte primária de procedimentos.
• Fontes de dados sugeridas, que orientam a coleta e alimentam o desenho da detecção.
• Mitigações, úteis ao planejamento de controles, com a ressalva de que muitas técnicas não têm mitigação direta e dependem de detecção.
• Relações com sub-técnicas, que evitam cobertura inflada quando a variação entre elas importa para a detecção.

O uso rotineiro do Navigator em avaliações de cobertura merece disciplina própria: cada camada é gerada a partir do catálogo real de detecções, com pontuação por estado, e a sobreposição das camadas de técnicas observadas, detectadas e prevenidas é o retrato honesto da postura contra aquele ator, exportável como evidência para auditoria e para o briefing de risco.

5. Por Que o TTP Está no Topo da Pirâmide

A Pirâmide de Dor mede o custo de substituição para o adversário, e o TTP é o nível em que substituir significa reeducar pessoas, reescrever ferramentas e renunciar a eficiências conquistadas. Trocar um endereço é burocrático; trocar a forma de operar é caro, lento e arriscado para o próprio grupo, porque operadores treinados em um procedimento erram no novo. Por isso campanhas do mesmo ator mantêm playbook estável por anos enquanto a infraestrutura troca semanalmente, e é exatamente essa assimetria que o defensor explora.

A segunda razão é proatividade. IOC detecta o passado do adversário; TTP detecta o futuro dele, porque a doutrina de hoje é a da próxima campanha. Um hunt construído sobre o procedimento de dump de LSASS via utilitário nativo dispara mesmo quando o binário do adversário nunca foi visto antes, e a detecção de descendência de processo Office para PowerShell codificado vale para qualquer loader novo que reutilize o mesmo caminho. O topo da pirâmide é, portanto, o único nível em que o defensor pode mirar antes de conhecer o adversário específico.

Há ainda um sinal indireto de que as detecções no topo estão funcionando: o aumento visível do giro de artefatos do adversário. Quando o grupo passa a trocar de loader, de empacotador e de infraestrutura com frequência crescente, sem mudar de acesso, o custo de operação dele subiu em resposta às detecções comportamentais, e essa leitura é observável no próprio fluxo de indicadores que chega dos feeds e das análises públicas.

6. Descrevendo TTPs de Forma Acionável

A ficha de TTP acionável tem cinco componentes obrigatórios: o ator ou campanha, a técnica e sub-técnica no vocabulário ATT&CK, o procedimento descrito com comandos e artefatos concretos, as fontes de telemetria que registram o comportamento e a detecção candidata ou hipótese de hunting derivada. A descrição sem telemetria e sem detecção é narrativa, não inteligência acionável, e o teste simples é perguntar se um engenheiro de detecção escreveria uma regra diferente lendo a ficha.

ttp:
  ator: grupo-financeiro-orientado
  tecnica: T1059.001 - PowerShell
  procedimento: |
    Anexo de planilha aberto em winword.exe invoca cmd.exe com a cadeia
    "/c powershell -w hidden -enc <base64>", que baixa e executa o beacon.
  telemetria:
    - Sysmon 1 de criacao de processo com ancestral do Office
    - Evento 4104 de execucao de script PowerShell
    - Proxy com conexao subsequente para dominio recem-registrado
  deteccao_candidata: |
    Descendencia direta de suite Office para powershell.exe com linha de
    comando codificada, independente de hash, dominio ou assinatura.
  hipotese: |
    SE existe processo do Office criando powershell.exe com -enc,
    ENTAO o host esta executando a etapa de execucao da cadeia.
  ultima_revisao: 2025-06-01

DeviceProcessEvents
| where Timestamp > ago(1d)
| where InitiatingProcessFileName in~ ("winword.exe","excel.exe","outlook.exe")
| where FileName in~ ("powershell.exe","cmd.exe")
| where ProcessCommandLine has_any ("-enc","-w hidden","-nop","downloadstring","iex")
| project Timestamp, DeviceName, AccountName, FileName, ProcessCommandLine, InitiatingProcessFileName

O contraste com a ficha ruim é instrutivo. A frase "o grupo usa phishing e PowerShell para invadir ambientes" não pode virar regra, porque não indica descendência, parâmetro, fase nem telemetria; a ficha acima vira regra Sigma, teste do Atomic Red Team e hunt agendado no mesmo dia. A regra de qualidade adotada por times maduros é simples: toda ficha de TTP precisa ter ao menos uma consulta executável e uma fonte de dados nominada, e ficha sem esses dois itens volta para análise.

A conversão da ficha em regra Sigma fecha o ciclo com a engenharia de detecção, e o exemplo abaixo traduz a detecção candidata da ficha para o formato versionável no pipeline de regras.

title: Office criando powershell com comando codificado
logsource:
  product: windows
  category: process_creation
detection:
  selecao_pai:
    ParentImage|endswith:
      - '\\winword.exe'
      - '\\excel.exe'
      - '\\outlook.exe'
  selecao_filho:
    Image|endswith: '\\powershell.exe'
    CommandLine|contains:
      - ' -enc'
      - ' -w hidden'
  condition: selecao_pai and selecao_filho
level: high

7. Erros Comuns e Pontos de Atenção

• Mapear de forma genérica: declarar "usa phishing" sem sub-técnica e sem procedimento infla cobertura declarada e não gera detecção; a ficha precisa descer até o nível executável.
• Tratar ATT&CK como checklist de prevenção: técnica marcada como coberta sem telemetria e sem teste é declaração, não capacidade; cobertura real é medida pelo SIM.5 com detecção testada.
• Confundir técnica com ferramenta: Cobalt Strike é software, e protocolo web para C2 é técnica; detectar a ferramenta é IOC, detectar a técnica é IOA, e a ficha precisa deixar essa fronteira clara.
• Descrever sem fonte de dados: ficha que não aponta evento, log ou sensor é intestável por definição e deve ser devolvida ao analista com pedido de fonte.
• Mapear sempre no nível de técnica: declarar T1059 quando o relatório descreve T1059.001 reduz a resolução da cobertura e esconde exatamente a variação que a detecção precisa distinguir.
• Subestimar reconhecimento e desenvolvimento de recursos: as duas primeiras táticas da matriz são difíceis de detectar internamente, mas a inteligência de superfície e de registro de infraestrutura cobre parte delas.
• Congelar a ficha: procedimento evolui, e ficha sem data de revisão envelhece em silêncio; a revisão a cada relatório relevante daquele ator é parte do ciclo.

8. Integração com o Restante da Biblioteca

A ficha de TTP é o insumo direto do capítulo 08, que transforma técnicas em carteiras de hunts, e do controle SIM.4 da seção 15, que transforma técnicas em casos de teste reproduzíveis. No capítulo 04, a ficha se conecta ao Diamond Model, em que cada passo do encadeamento vira um evento com os quatro vértices de adversário, capacidade, infraestrutura e vítima, permitindo o pivoting entre os vértices a partir do próprio procedimento descrito.

Existe ainda uma ponte fina e valiosa entre o topo e a base da pirâmide que a ficha bem escrita evidencia: detalhes de procedimento, como nome de tarefa agendada, nome de mutex ou nome de pipe, são artefatos de host estáveis, mais duráveis que hashes e mais baratos que TTP, e costumam virar IOC de altíssima qualidade. A tarefa agendada chamada SC Scheduled Scan associada a operações do APT28, documentada publicamente, é o exemplo clássico: um detalhe de procedimento que sobreviveu a várias trocas de binário. Ao redigir TTP, portanto, colher esses detalhes é prioridade, porque cada um deles é um atalho permanente entre a doutrina do adversário e a telemetria barata do defensor.