Contexto, Validade e Falsos Positivos

Nota do capítulo 03 que trata dos três fatores que decidem se um indicador gera inteligência ou apenas ruído: o contexto de enriquecimento, a validade temporal e a gestão de falsos positivos.
Serve de base operacional para a triagem do SOC e para a higiene de feeds no TIP, complementando as notas de cada família de indicadores.
Dialoga com o comparativo das famílias, com o compartilhamento TLP e STIX do capítulo 22 e com os controles de simulação e métricas da seção 15.

1. Contexto e Posicionamento na Biblioteca

Um indicador bruto é uma string; um indicador contextualizado é uma afirmação sobre o mundo com origem, confiança, prazo e papel definidos. A diferença entre as duas coisas define o custo de operação do programa: a string obrigada a cada analista a reconstruir a investigação do zero, a afirmação permite à triagem decidir em segundos. Esta nota consolida o vocabulário de contexto, as políticas de validade por tipo de indicador e a taxonomia de falsos positivos, os três componentes que transformam catálogo em inteligência acionável.

O tema costuma ficar invisível até o primeiro incidente longo. O catálogo sem contexto incha a fila da triagem, o catálogo sem validade acumula correspondência morta, e o catálogo sem taxonomia de falso positivo transforma cada exclusão malfeita em ponto cego permanente. Os três problemas se retroalimentam: quanto mais ruído, mais supressão apressada, e quanto mais supressão apressada, menos confiança nas detecções que sobram.

O posicionamento é o de nota transversal do capítulo 03: ela não pertence a uma família só, e sim à operação de todas elas ao mesmo tempo. As regras de validade aqui definidas alimentam a expiração automática no TIP descrita no comparativo de indicadores, o processo de triagem serve tanto a IOC quanto a IOA, e o controle SIM.4 da seção 15 depende da supressão bem governada para não transformar teste de detecção em alarde. O leitor deve sair daqui com um processo de triagem documentável e com critérios objetivos para suprimir, e nunca para ignorar.

2. Contexto como Multiplicador de Valor

O mesmo endereço IP, sem contexto e com contexto, são dois produtos diferentes. Sem contexto, o alerta de correspondência exige pesquisa manual: de onde veio, quando foi visto, o que faz lá. Com contexto, a triagem recebe o papel da infraestrutura, a confiança da fonte, a fase do ciclo de ataque e a instrução de correspondência correta, e decide sem pesquisar. O contexto não muda o indicador, muda o custo e a qualidade da decisão tomada sobre ele.

No modelo de dados STIX 2.1, o contexto assume forma de grafo: o objeto de indicador conecta-se a objetos de malware, de grupo de invasão e de relação, e essa conectividade permite consultas como todos os indicadores do mesmo malware que o alerta de hoje tocou. O TIP que mantém esse grafo transforma cada novo alerta em nó de rede, e a investigação passa a caminhar por relações em vez de por strings soltas. É essa representação que faz o contexto escalar: ele é escrito uma vez na origem e consumido automaticamente por todas as ferramentas a jusante.

O contexto também muda o significado do silêncio. Um indicador de C2 sem nenhuma correspondência no ambiente pode significar que o adversário não chegou, ou simplesmente que a telemetria não cobre o canal que ele usa; com o campo de fase e de papel da infraestrutura preenchido, o analista sabe onde o item deveria aparecer se estivesse presente, e a ausência passa a ser evidência de lacuna de coleta, e não de segurança. Essa leitura é a base do fechamento honesto de hipótese no hunting, em que inconclusiva por falta de dado é estado diferente de refutada por evidência.

3. Validade Temporal por Tipo de Indicador

Validade é a dimensão mais negligenciada e a mais barata de corrigir. Cada tipo de indicador tem meia-vida própria, ditada pelo custo que o adversário tem para substituí-lo, e a política de expiração deve seguir essa meia-vida, não uma convenção única. A tabela resume as ordens de grandeza e as políticas recomendadas.

A implantação prática dessa política é a expiração automática no TIP, calculada por tipo na ingestão e ajustável por caso justificado. Indicadores sem data de vencimento são exceção documentada, e a exceção mais comum, o IOC derivado de incidente próprio, merece tratamento de memória institucional com revisão anual explícita. A última observação conhecida também é política: item visto pela última vez há mais de um ano, sem renovação da fonte, tende a ser ruído com data marcada.

A validade convive ainda com a renovação ativa da fonte. Item reapresentado pela origem com observação nova estende o prazo, item ausente de duas rodadas de atualização encurta, e essa dinâmica é o que distingue um feed vivo de um arquivo congelado. A métrica derivada, proporção do catálogo renovada nos últimos trinta dias, é um dos melhores indicadores de saúde do pipeline de inteligência, porque detecta fonte adormecida antes que o falso negativo apareça.

4. Taxonomia de Falsos Positivos

Falso positivo não é categoria única, e sim conjunto de mecanismos distintos que exigem respostas distintas. A taxonomia abaixo cobre os mecanismos recorrentes em operação real, com o exemplo típico e a mitigação correspondente, e serve de vocabulário padrão para a triagem classificar cada correspondência incorreta.

A classificação correta da categoria importa porque o erro de mitigação é o falso positivo de segundo nível. Tratar NAT como infraestrutura compartilhada leva a suprimir telemetria de origem inteira; tratar sandbox como teste interno esconde falha de segregação do laboratório; e tratar reuso benigno como serviço legítimo congela um indicador que talvez seja real. A taxonomia é, portanto, instrumento de decisão, e não etiqueta descritiva.

A medição por categoria também revela onde corrigir estruturalmente. Uma fonte cujos falsos positivos se concentram em infraestrutura compartilhada pede instrução de correspondência mais rica, não supressão; uma pilha de inconclusivos por falta de telemetria aponta lacuna de coleta; e falsos positivos recorrentes de teste interno sinalizam que a marcação de simulações não está chegando ao SIEM. Nesse sentido, o gráfico de falsos positivos por categoria é um mapa de melhorias do pipeline, e não apenas um painel de reclamações.

5. Processo de Triagem de Correspondências

A triagem de correspondência de indicador segue um fluxo fixo: enriquecimento automático com o contexto do TIP, pontuação que combina confiança da fonte, criticidade do ativo envolvido e fase do ciclo de ataque, decisão humana para casos acima do limiar e registro do veredito com categoria de falso positivo quando houver. O objetivo do fluxo é que nenhuma correspondência chegue ao analista sem contexto e que nenhum veredito se perca, porque o veredito é insumo da métrica de fonte e da supressão futura. O vocabulário de veredito é fechado para permitir soma entre períodos:

• Verdadeiro positivo: a correspondência representa atividade real do indicador, e a resposta segue o playbook da fase.
• Falso positivo com categoria: a correspondência não representa atividade real, e a categoria da taxonomia é registrada junto.
• Inconclusivo: falta contexto ou telemetria para decidir, e o caso entra em fila de enriquecimento com prazo.
• Teste interno: a correspondência vem de atividade marcada de simulação, e o identificador do teste é registrado.
• Duplicado: a mesma correspondência já foi decidida na janela, e o caso apenas referencia o anterior.

let janela = 1d;
let ioc = ThreatIntelIndicators
| where ConfidenceScore >= 70 and isnotempty(DomainName);
CommonSecurityLog
| where TimeGenerated > ago(janela)
| where isnotempty(DestinationDnsDomain)
| join kind=inner ioc on $left.DestinationDnsDomain == $right.DomainName
| where RequestURL !has_any ("static.exemplo.com","cdn.exemplo.com")
| project TimeGenerated, DeviceProduct, SourceIP, DestinationDnsDomain, RequestURL

A consulta acima ilustra os três elementos do fluxo em uma única passagem: o filtro de confiança da fonte, a correspondência por domínio e a exclusão declarada de serviços legítimos conhecidos. A exclusão no caminho da consulta é preferível à triagem manual posterior porque documenta a decisão no código, passa a valer para todos os analistas e fica sujeita a revisão de versão como qualquer outra regra.

O limiar da decisão humana é política explícita: pontuação abaixo do limiar operacional é registrada automaticamente como baixa prioridade, acima dele entra na fila humana com prazo, e acima do limiar crítico aciona chamada fora da fila. O limiar não é fixo para sempre; ele é calibrado com as métricas do painel de governança, descendo quando a qualidade das fontes melhora e subindo quando a fila estoura, e cada calibração é registrada com data, motivo e responsável.

6. Supressão e Governança

Supressão é decisão de segurança com prazo, escopo e responsável, e nunca uma anotação informal. A ficha de supressão abaixo é o registro mínimo que transforma a exclusão de um alerta em ativo auditável do programa, com expiração obrigatória e revisão periódica.

supressao:
  entidade: 203.0.113.55
  tipo: ipv4
  escopo: "match de IP em regras de IOC; correspondencia por dominio permanece"
  motivo: "CDN da plataforma de e-mail; vhost compartilhado no mesmo endereco"
  ticket: TRI-2025-0118
  criada_em: 2025-06-03
  expira_em: 2026-06-03
  revisao: trimestral
  aprovador: analista-senior

O risco central da supressão é o raio de alcance: escopo amplo demais esconde comprometimento real, e escopo correto é o menor que elimina o ruído. A governança mínima inclui aprovação por analista sênior, expiração com revisão obrigatória, histórico completo de motivo e evidência, e verificação de que a supressão não apagou o verdadeiro positivo da mesma janela. Supressões expiradas que ninguém renovou devem voltar a alertar por padrão, porque o ruído ausente durante um ano pode ser sintoma de supressão errada tanto quanto de higiene certa.

A comunicação da supressão também faz parte da governança. O SOC precisa saber que a exceção existe, por que existe e quando expira, porque analista que vê alerta sumido sem saber da regra conclui que a detecção falhou; o registro da ficha deve ser consultável pelo próprio caso de triagem, com o motivo exibido quando a exclusão atua. A métrica complementar fecha o quadro: número de supressões ativas, proporção renovada ao expirar e proporção desativada por perda de utilidade mostram se o conjunto de exceções está crescendo com controle ou por inércia.

O painel mínimo da governança de contexto, validade e supressão cabe em cinco números, medidos mensalmente e lidos em conjunto:

7. Erros Comuns e Pontos de Atenção

• Supressão ampla demais: excluir um endereço de CDN inteiro elimina junto todo o tráfego real de C2 hospedado no mesmo serviço; o escopo correto é o vhost, o SNI ou o domínio.
• Indicador sem expiração: item eterno vira falso positivo crônico, o falso positivo crônico vira supressão permanente, e a supressão permanente vira ponto cego auditável em post-mortem.
• Contexto reduzido a descrição copiada: colar o texto do feed no campo de descrição não é enriquecimento; contexto útil é campo estruturado que a automação consome.
• Confiança confundida com severidade: fonte confiável descreve o que é, e criticidade do ativo decide o quanto importa; mesclar os dois na pontuação degrada a fila da triagem.
• Triagem sem registro de veredito: decisão não registrada é métrica perdida, e métrica perdida é fonte ruim que permanece na ingestão por falta de prova.
• Expiração única para todos os tipos: um prazo geral para hash, IP e domínio condena o programa a acertar por coincidência; a política é por tipo, com exceção documentada.
• Supressão sem controle positivo: exceção não testada com canário é afirmação não verificada, e a primeira prova real da falha costuma chegar no post-mortem.
• Pontuação sem criticidade do ativo: o mesmo indicador em servidor de internet e em estação de impressão merece filas diferentes, e pontuação que ignora o ativo nivela por baixo.

8. Integração com o Restante da Biblioteca

As decisões desta nota sustentam o comparativo de indicadores, que definiu expiração como regra de higiene, e os controles SIM.4 e SIM.5 da seção 15, que precisam de supressão bem escopada para que os testes de detecção meçam detecção e não ruído. No capítulo 22, o TLP anexado ao contexto decide o que pode ser compartilhado com ISAC e parceiros, e a confiança da fonte alimenta o esquema de pontuação do compartilhamento. A taxonomia de falsos positivos, por sua vez, é o vocabulário que o grupo MET usa para medir qualidade por fonte e por regra.

As conexões operacionais seguem quatro caminhos verificáveis:

• Capítulo 02: as fontes de enriquecimento, ASN, registro de domínio e reputação, produzem os campos de contexto definidos aqui.
• Capítulo 04: o grafo de contexto é o mesmo tecido de relações usado nos pivots do Diamond Model.
• Capítulo 21: o IOE entra na mesma governança de validade, expirando com a correção revalidada.
• Seção 15: MET.1 e MET.2 consomem os vereditos como métrica, e AUT.3 versiona as exclusões declaradas nas consultas.

Falta um componente que poucos programas implementam e que fecha o circuito de segurança da supressão: o controle positivo. Mensalmente, a equipe injeta um indicador canário conhecido e gera tráfego controlado que o atinge, verificando que o alerta dispara apesar das regras de supressão existentes. Quando o canário falha, alguma supressão cresceu além do escopo e está mascarando correspondências, e a falha é detectada no ciclo de rotina, e não no próximo incidente. Esse teste transforma a governança de supressão em afirmação verificável, com o mesmo espírito do teste de detecção do SIM.4 aplicado ao conjunto de exceções.