Pirâmide de Dor (David Bianco)

Nota do capítulo 04 (Modelos e Frameworks para CTI).
Apresenta a Pyramid of Pain de David Bianco: os seis níveis de indicadores, o que significa dor para o adversário e a estratégia de detecção e de inteligência por nível.
Dialoga com as notas de indicadores do capítulo 03, com o ATT&CK e o Diamond Model deste capítulo, e com os controles de hunting da seção 15.

1. Contexto e Posicionamento na Biblioteca

Publicada por David J. Bianco em 2013, a Pyramid of Pain é o modelo que traduz em custo econômico a pergunta que o capítulo 03 deixou em aberto: quanto custa ao adversário contornar cada tipo de indicador que o defensor usa. O modelo organiza os indicadores em seis níveis, do hash na base aos TTPs no topo, e a lição central está no eixo vertical: quanto mais alto o nível, mais caro é para o adversário mudar aquilo que o defensor detecta. Um hash bloqueado custa ao adversário alguns minutos de reempacotamento; uma detecção de TTP custa um redesenho do modo de operar, com retrabalho, teste e risco de falha visível.

Na biblioteca, esta nota é a moldura estratégica que amarra o capítulo 03, onde IOC, IOA, IOB e IOE foram definidos, com as decisões de investimento em detecção e inteligência. O ATT&CK fornece o vocabulário do topo da pirâmide, o Diamond Model fornece a unidade de evento que sustenta a análise por nível, e os controles TH.6 e MAP da seção 15 executam a priorização e a medição de cobertura que o modelo recomenda. O leitor deve sair daqui capaz de classificar qualquer indicador por nível, escolher o instrumento de detecção adequado a cada nível e defender, com o modelo, onde o orçamento de detecção deve crescer.

2. Os Seis Níveis da Pirâmide

A leitura correta da tabela é por coluna de custo, e não por ordem de sofisticação. Os três níveis da base descrevem propriedades que o adversário aluga ou gera a custo próximo de zero, e por isso o defensor precisa automatizar o tratamento deles. Os três níveis do topo descrevem escolhas que exigem desenvolvimento, aprendizado ou disciplina operacional, e por isso valem investimento analítico. Entre os níveis há também uma mudança de natureza do dado: hash, IP e domínio são valores discretos prontos para watchlist, enquanto artefatos, ferramentas e TTPs são padrões que exigem regra, consulta ou modelo analítico.

A coluna de vida útil merece leitura operacional, porque define o ciclo de gestão de cada indicador: hash e IP pedem expiração automática curta, domínio pede expiração com revisão, e os níveis superiores pedem revisão por acionamento e não por calendário. O comparativo de indicadores do capítulo 03 consolida essa leitura por família, e esta nota fornece a régua de custo que explica a diferença de tratamento entre elas.

3. O Que Significa Dor para o Adversário

Dor, no modelo, é custo de mudança: o tempo, o dinheiro e o risco que o adversário gasta para recuperar a capacidade que o defensor eliminou. O hash bloqueado custa minutos, porque recompilar um binário é automático; o IP bloqueado custa poucos dólares e o tempo de provisionar outro VPS; o domínio bloqueado custa o preço do registro e o risco de o novo nome ainda não ter reputação de entrega. Nesses níveis, o adversário opera com catálogo e cartão de crédito, e a resposta do defensor precisa ser igualmente barata e automatizada, porque competir de igual para igual nesse nível é gastar energia analítica em alvos que se regeneram.

Nos níveis superiores a economia inverte. Alterar o padrão de rede de um beacon quebra a compatibilidade com o servidor de C2 e exige testar a mudança contra o próprio infraestrutor; trocar de ferramenta exige aprender o novo ciclo de operação, refazer a cadeia de distribuição e aceitar a possibilidade de a nova ferramenta ter assinaturas já conhecidas; mudar TTPs exige retreinar operadores e refazer playbooks internos, e cada erro desse redesenho produz visibilidade para o defensor. A dor cresce porque a mudança deixa de ser transacional e passa a ser estrutural, e é exatamente por isso que o topo da pirâmide é onde o hunting e a inteligência produzem retorno duradouro.

A assimetria entre os lados fica clara quando o mesmo nível é lido pelos dois custos, do adversário que contorna e do defensor que mantém. A tabela abaixo registra essa leitura dupla, e ela costuma surpreender: nos níveis baixos os dois custos são baixos, e no topo os dois custos são altos, o que significa que subir na pirâmide é um compromisso de sustentação, e não apenas de construção.

4. Estratégia de Detecção por Nível

Cada nível pede um instrumento de detecção diferente, e o erro clássico é usar o instrumento do nível errado para o dado disponível. A correspondência mínima é a seguinte: hashes e endereços caem em watchlist e bloqueio automático, com ciclo de vida curto e revisão de expiração; domínios caem em resolução bloqueada, filtragem de DNS e regras de e-mail, com a idade e a reputação calibradas pela nota de WHOIS da biblioteca; artefatos de rede e host caem em regras Sigma e consultas no SIEM, onde o padrão, e não o valor, é o que casa; ferramentas caem em YARA, em regras de família e em detecção por impressão, como JA4; e TTPs caem em analytics comportamentais, correlação de sequência e hunting, conforme as notas de IOA e IOB.

A implicação de orçamento é direta: os níveis baixos devem tender a custo marginal zero por indicador, via automação, para que o tempo analítico escasseie no topo, onde vale mais. Uma operação em que analistas sêniores discutem hashes um a um está alocando talento no nível mais barato da pirâmide, e a correção é de processo, não de esforço.

O nível de artefatos merece exemplo concreto, porque é a faixa com melhor relação entre esforço e durabilidade. O padrão de URI de um beacon, o User-Agent fixo de um loader e a impressão JA4 de um handshake são escolhas que o adversário precisa alterar no código ou na configuração, e o kit comercial raramente o faz sem motivo. A consulta abaixo monitora um padrão de URI documentado em campanha, e sobrevive à troca de hash, de endereço e de domínio do operador.

DeviceNetworkEvents
| where Timestamp > ago(7d)
| where RemoteUrl has "/gate/check?u="
| summarize hosts = dcount(DeviceName), chamadas = count(),
            primeiro = min(Timestamp), ultimo = max(Timestamp)
    by RemoteUrl
| order by chamadas desc

Quando o padrão aciona em vários hosts com periodicidade, o achado no nível 4 virou pistas para os níveis 5 e 6: a família do kit e a rotina operacional do grupo. Essa progressão, de artefato para ferramenta e de ferramenta para TTP, é o movimento de escalada na pirâmide que o hunting maduro executa como rotina, e não como exceção.

5. Estratégia de Inteligência por Nível

A pirâmide também organiza o fluxo de inteligência. Na base, a organização é consumidora: feeds de IOC, blocklists e serviços de reputação entregam hash, IP e domínio a custo baixo, e a nota de avaliação de fontes do capítulo 02 define como escolhê-los. No topo, a organização deve ser produtora: os TTPs dos grupos prioritários, mapeados a partir do perfil de ameaças e dos relatórios, geram hipóteses de hunting e detecções próprias que nenhum feed entrega pronto. O nível intermediário, artefatos e ferramentas, é onde o trabalho de clustering da nota de Pivoting e a análise de malware alimentam os dois extremos, transformando amostras em padrões reutilizáveis.

Essa divisão resolve um conflito comum de portfólio: consumir feed no topo e produzir na base, configuração frequente em programas iniciantes, gera custo alto e durabilidade baixa. O feed entrega o que o adversário já trocou, e a produção artesanal de hashes desperdiça o que a automação faria melhor. O portfólio saudável compra a base, industrializa o meio e produz o topo, e mede o equilíbrio pela fração do esforço analítico alocada em cada faixa, tema dos KPIs do controle MET.2 da seção 15.

A tabela mostra por que o meio da pirâmide é a zona de conversão: é ali que o material consumido, a amostra baixada e o tráfego capturado, vira ativo produzido, a regra de família e o padrão documentado, e é essa conversão que mantém a organização menos dependente de feeds para os grupos prioritários.

6. Uso Correto e Críticas

O uso correto do modelo começa por respeitar o que o eixo mede. A pirâmide não é hierarquia de qualidade nem ranking de sofisticação: é custo de mudança, e um hash de malware é informação perfeitamente boa para o uso que ele serve, que é bloqueio barato do conhecido. A leitura equivocada de que indicadores da base são inferiores produz programas que desdenham da automação essencial e ficam vulneráveis ao commodity, que é a maioria do volume real. A crítica legítima ao modelo é outra: operar no topo exige telemetria ampla e equipe analítica, e uma organização sem coleta de processo e rede não sobe na pirâmide por decreto, e sim por construção de dados, tema dos controles DAT da seção 15.

A segunda crítica relevante é a velocidade de adaptação do adversário. O modelo foi publicado em 2013, e parte do crime organizado atual opera com cadeia de suprimentos industrializada, em que trocar de loader, de infraestrutura e até de família de ransomware é decisão comercial semanal, especialmente para afiliados de programas de RaaS. A resposta madura não é descartar o modelo, e sim lê-lo dinamicamente: o custo de troca de ferramentas caiu para parte do ecossistema criminoso, o que desloca ainda mais o valor duradouro para o nível de TTPs, onde a industrialização não substitui disciplina operacional. A terceira ressalva é de escopo: a pirâmide fala do indicador contra o adversário, e não cobre exposição da própria superfície, papel que o IOE e o EASM desta biblioteca exercem.

Vale ainda registrar a divisão de trabalho entre as duas notas de pirâmide da biblioteca. A nota de Comparativo e Pirâmide de Indicadores do capítulo 03 usa o modelo para escolher família de indicador por pergunta, e esta nota o aprofunda como estratégia de investimento: detecção, inteligência e orçamento por nível. Quem usa as duas juntas tem o instrumento tático e o estratégico do mesmo mapa, e a referência cruzada evita a duplicação de tabelas que envelhecem em arquivos separados.

7. Exemplo Aplicado a uma Intrusão Realista

Considere uma intrusão de ransomware de afiliado entregue por phishing, com os artefatos observados no decorrer do caso distribuídos pelos níveis. A tabela mostra, para cada nível, o artefato observado, a ação recomendada e o que a ação sobrevive de rotação do adversário.

No nível de ferramentas, a regra YARA abaixo identifica o kit do loader por marcadores internos, e não por hash, e é o exemplo mínimo do que muda de nível 1 para nível 5: a recompilação do binário não mata a regra, apenas a reescrita do kit mata.

rule Familia_Loader_Nocturno {
    meta:
        nivel_piramide = "ferramentas"
        nota = "Marca o kit da familia, e nao um binario; sobrevive a reempacotamento, morre com reescrita"
    strings:
        $mutex = "Global\\nlb_mutex_01" ascii wide
        $rota_cfg = "/gate/check?u=" ascii
        $marca = "nocturn-build-7" ascii
    condition:
        uint16(0) == 0x5A4D and 2 of them
}

No nível de TTPs, a detecção alvo é a sequência de preparação para criptografia, onde o afiliado apaga cópias de sombra antes do impacto. A consulta abaixo é agnóstica de ferramenta e sobrevive à troca completa do kit, porque monitora a intenção e não o binário.

DeviceProcessEvents
| where Timestamp > ago(1d)
| where ProcessCommandLine has_any ("vssadmin delete shadows",
    "wbadmin delete catalog", "wmic shadowcopy delete",
    "bcdedit /set recoveryenabled no")
// Excluir execucoes legitimas de backup apos medir prevalencia
| project Timestamp, DeviceName, AccountName, InitiatingProcessFileName, ProcessCommandLine
| order by Timestamp desc

A cronologia de resposta do caso ilustra a economia do modelo em ação. Na primeira hora, as ações são todas na base: bloqueio do hash, do endereço e do domínio, com busca retrospectiva de cada valor. Nas primeiras semanas, a resposta sobe um nível: o JA4 e o mutex viram regra, o kit vira assinatura YARA e os nomes irmãos do domínio entram no pivô de infraestrutura. Nos meses seguintes, o que permanece vivo é o topo: o analytics de shadow copies e a sequência de WMI seguem acionando contra afiliados diferentes que reutilizam a doutrina, e é esse retorno duradouro que justifica o investimento analítico concentrado nos níveis superiores.

8. Erros Comuns e Pontos de Atenção

• Ler a pirâmide como ranking de qualidade e desdenhar da base: bloqueio barato do conhecido é capacidade, e não vergonha; correção: automatizar a base e medir quanto esforço analítico sobra para o topo.
• Prometer subir ao topo sem telemetria: TTP não se detecta sem dados de processo, rede e identidade; correção: construir a coleta primeiro, conforme os controles DAT.
• Usar o modelo para justificar abandono de feeds: o adversário commodity é a maior parte do volume, e a base cobre isso; correção: portfólio por faixa, compra na base e produção no topo.
• Classificar como TTP o que é detecção de ferramenta: regra que casa nome de binário é nível 5, e não 6; correção: a pergunta de teste é se a regra sobrevive à troca da ferramenta por equivalente.
• Tratar custo de troca como constante: afiliados industriais trocam kit com frequência comercial; correção: reavaliar periodicamente em qual nível o adversário prioritário realmente sente dor.
• Aplicar a pirâmide à exposição própria: o modelo fala do indicador do adversário; correção: superfície e exposição pertencem ao IOE e ao EASM, e não a este modelo.
• Medir portfólio por quantidade de indicadores: volume na base não é posição estratégica; correção: medir cobertura de técnicas testadas e fração de esforço por faixa.

9. Integração com o Restante da Biblioteca

A pirâmide é o mapa de altitudes da biblioteca: a nota de IOA mostra como construir transições dos níveis 4 e 5, a nota de IOB mostra como operar no nível 6, e o comparativo de indicadores do capítulo 03 formaliza a diferença entre as famílias que aqui se organizam verticalmente. No capítulo 04, o ATT&CK nomeia o topo, o Diamond Model fornece a unidade de evento que sustenta a análise por nível e o VERIS registra os casos que provam onde a organização acerta. Na seção 15, o TH.6 prioriza hipóteses pelo custo de troca do adversário, o MAP.2 mede a cobertura por técnica, o SIM.4 testa detecções por nível e o MET.2 cobra o equilíbrio do portfólio.

A métrica institucional que resume o modelo em um número é a distribuição do esforço de detecção por faixa da pirâmide, medida semestralmente. Uma operação que começa com noventa por cento do esforço na base e termina o ano com a maior parte do trabalho analítico em artefatos, ferramentas e TTPs, mantendo a base automatizada, executou exatamente o movimento que o modelo desenha, e esse número, acompanhado da cobertura de técnicas do MAP, é a prova mais simples de maturidade que um programa de detecção pode apresentar à diretoria.