Técnicas Analíticas (Análise de Links, Linha do Tempo)

Nota do capítulo 05 (Análise e Produção de Inteligência).
Apresenta as técnicas estruturadas que dão forma ao trabalho do analista: análise de links em grafos de relacionamentos, timeline analysis para reconstrução de intrusão, correlação temporal, análise de conteúdo de comunicações e triangulação.
Inclui ferramentas, regras de trabalho e um exemplo completo de linha do tempo de incidente. Dialoga com o Diamond Model, com a nota de Clustering e com os controles de resposta a incidentes da seção 15.

1. Contexto e Posicionamento na Biblioteca

As técnicas analíticas são a caixa de ferramentas que transforma dados coletados em raciocínio verificável. O clustering, da primeira nota do capítulo, decide o que pertence ao mesmo conjunto; as técnicas desta nota decidem como examinar esse conjunto: mapear relações em grafos, ordenar eventos no tempo, cruzar janelas temporais, ler comunicações e confirmar achados por fontes independentes. Sem técnicas estruturadas, a análise depende da intuição do analista, e intuição não é replicável, não é revisável e não escala para além de quem a possui.

Na biblioteca, esta nota opera sobre os objetos construídos nas notas anteriores: os eventos do Diamond Model são os nós e arestas dos grafos de links, os clusters da nota de campanhas são os conjuntos que as linhas do tempo delimitam, e a avaliação de fontes do capítulo 02 fornece o peso de cada aresta. No lado operacional, a linha do tempo é o produto central que a resposta a incidentes da seção 15 consome, e o TH.4 usa exatamente essas técnicas como método de execução do hunting. O analista que domina esta nota produz trabalho que outro profissional consegue retomar sem perder o fio, que é o teste prático de qualidade da análise.

2. Análise de Links: Grafos de Relacionamentos

A análise de links representa o conhecimento do caso como grafo, com entidades em nós e relações em arestas tipadas. O valor da representação não é visual apenas: o grafo torna explícito o que a narrativa esconde, revela estrutura de pontes e de núcleos, e expõe lacunas, porque o nó isolado ou o vértice sem aresta suficiente aparece de imediato. A semântica das arestas é o que separa grafo analítico de desenho bonito, e cada aresta deve declarar o tipo de relação, a evidência que a sustenta e a data da observação, herdando a disciplina de proveniência da nota de clustering.

Sobre a estrutura do grafo, três medidas de rede têm uso analítico direto. A centralidade de grau aponta o nó mais conectado, que em casos de infraestrutura costuma ser o servidor de staging compartilhado por várias entregas. A centralidade de intermediação revela pontes entre grupos de nós, e uma ponte entre dois clusters independentes é hipótese de pivô ou sinal de over-clustering, dependendo da raridade do vínculo. A detecção de comunidades particiona o grafo em grupos densos internamente, que correspondem, na prática, às operações e campanhas que o clustering declara formalmente. As três medidas só fazem sentido com arestas ponderadas pela raridade do vínculo, porque um grafo onde todo ASN popular conecta tudo produz métricas sem significado.

Cada aresta carrega quatro atributos obrigatórios na modelagem desta biblioteca: o tipo de relação, como resolve-para, comunica-com, entrega ou é-vítima-de; a evidência que a sustenta, com referência à coleta; a data da observação, que permite distinguir vínculo atual de vínculo histórico; e a direção, porque direção errada inverte a leitura do caso. Com esses atributos, o grafo suporta consultas temporais, como exibir apenas vínculos ativos na janela da campanha, e consultas de força, como exibir apenas arestas de vínculo forte, e é essa filtrabilidade que transforma o desenho em ferramenta.

3. Ferramentas e Fluxo de Trabalho em Grafos

O mercado oferece três famílias de ferramentas, e a equipe madura usa as três em papéis distintos. Plataformas de CTI, como OpenCTI, ThreatConnect e MISP, constroem o grafo automaticamente a partir das correlações da base e são a fonte da verdade institucional. Ferramentas de exploração visual, como Maltego, permitem pivoting interativo guiado por transformações sobre entidades. Ferramentas de layout e análise, como yEd e Gephi, servem à composição de figuras para relatório e ao cálculo das métricas de rede descritas na seção anterior. O fluxo de trabalho recomendado segue a sequência abaixo.

• Definir o escopo do grafo com pergunta analítica explícita, porque grafo sem pergunta cresce sem critério e vira colcha de retalhos.
• Modelar os nós com tipagem e os atributos mínimos de fonte, data e confiança, usando o vocabulário do Diamond Model.
• Expandir por pivôs ordenados pela raridade do vínculo, começando pelos artefatos fortes descritos na Pirâmide de Dor.
• Podar o grafo com rigor, removendo arestas densas que não sustentam conclusão, e registrar o que foi podado e por quê.
• Congelar versões do grafo em marcos do caso, porque a figura final sem histórico impede revisar o caminho analítico.
• Exportar a figura para o relatório com legenda própria, já que o leitor externo não conhece a tipografia interna do caso.
• Registrar as transformações e os parâmetros usados em cada pivô, porque pivô irreproduzível equivale a aresta sem proveniência.

O erro de formato mais comum é a bola de fio, o grafo com centenas de nós e arestas indiferenciadas que comunica menos que uma tabela. A regra editorial é pragmática: a figura do relatório mostra os nós e arestas que sustentam a conclusão, e o grafo completo fica no anexo técnico ou na plataforma, referenciado por identificador do caso.

4. Timeline Analysis e Reconstrução de Intrusão

A linha do tempo é a espinha dorsal do caso: ela ordena as observações no tempo e transforma alertas dispersos em narrativa causal verificável. A reconstrução de intrusão é o exercício de preencher essa espinha com todos os eventos disponíveis, marcar as lacunas restantes e derivar da sequência o que cada fase do adversário revela sobre objetivo, nível de habilidade e apetite por ruído. A distinção fundamental que disciplina a construção é entre o tempo do evento, quando a ação ocorreu, e o tempo do registro, quando o log foi escrito; confundir os dois desloca a sequência e inventa ordens impossíveis.

A prática madura segue regras de construção que valhelm contra os erros clássicos de reconstrução.

• Normalizar todos os carimbos para um fuso canônico, normalmente UTC, preservando o offset original como atributo do evento.
• Registrar a fonte de cada evento e a confiabilidade do relógio dessa fonte, porque relógio de endpoint dessincronizado produz sequência falsa.
• Distinguir observado de inferido em cada linha, e marcar com intervalo os eventos cujo momento real é desconhecido.
• Declarar as lacunas explicitamente, porque a ausência de telemetria entre dois eventos é informação sobre cobertura de coleta, e não espaço em branco.
• Ancorar cada evento na fase da Kill Chain ou na tática do ATT&CK, o que permite medir progresso do adversário e comparar casos.
• Calcular métricas derivadas ao fim, como tempo de permanência, intervalo entre acesso inicial e primeiro movimento lateral e tempo de detecção.

O início prático da reconstrução é a consolidação das fontes sobre a janela do caso, e a consulta abaixo é o ponto de partida padrão em plataforma de estilo KQL, com todas as fontes unidas e ordenadas pelo carimbo normalizado.

// Consolidacao de fontes para reconstrucao de intrusao
union DeviceProcessEvents, DeviceNetworkEvents, EmailEvents
| where Timestamp between (datetime(2025-04-17) .. datetime(2025-04-19))
| where DeviceName == "ws-financeiro-04"
   or RecipientEmailAddress == "nome.sobrenome@empresa.com.br"
| extend Tipo = case(
    isnotempty(ProcessCommandLine), "processo",
    isnotempty(RemoteUrl), "rede",
    "e-mail")
| project Timestamp, Tipo, DeviceName, ProcessCommandLine, RemoteUrl, Subject
| order by Timestamp asc

A linha do tempo assim construída é o insumo direto das métricas de dwell time do IR.5 e do IR.2, e é também o principal produto de aprendizado do caso: a comparação entre as linhas do tempo de incidentes distintos revela repetição de rotina do adversário, que é exatamente o material que o clustering por TTPs transforma em detecção.

5. Correlação Temporal e Análise de Comunicações

A correlação temporal cruza fontes de dados distintas sobre o mesmo eixo de tempo para validar hipóteses que nenhuma fonte sustenta sozinha. O uso clássico é o casamento entre telemetria interna e inteligência externa: quando um fornecedor reporta campanha ativa com janela de envio, a organização verifica se a mesma janela produziu conexões ou entregas próprias, e a coincidência de padrão transforma alerta genérico em caso com horário. O segundo uso frequente é a detecção de beaconing, em que a regularidade de intervalos com jitter característico identifica canal de comando e controle mesmo sem IOC de domínio, e a consulta abaixo é o ponto de partida padrão em plataforma de estilo KQL.

// Deteccao de beaconing: intervalos regulares com jitter baixo
DeviceNetworkEvents
| where Timestamp > ago(7d) and RemotePort in (443, 80, 8080)
| summarize Sessoes = count(), Desvio = stdev(Timestamp),
            Media = avg(Timestamp) by DeviceName, RemoteIP, bin(Timestamp, 1h)
| where Sessoes >= 10 and Desvio < 5m
| order by Sessoes desc

A análise de conteúdo de comunicações complementa o eixo temporal com a leitura das mensagens que carregam a atividade. Em e-mail, a cadeia de cabeçalhos Received revela o caminho real da mensagem, o campo Reply-To costuma divergir do remetente em fraude de pagamento, e o Message-ID expõe o servidor que gerou a mensagem quando o domínio do remetente é falsificado. Em canais monitorados, padrões de redação e de horário ajudam a descrever a rotina operacional do adversário, e o cruzamento de fuso presumido com a janela de atividade técnica é uma das correlações mais baratas e mais produtivas da análise. Duas cautelas são obrigatórias: a estilometria e a dedução de nacionalidade por idioma são inferências frágeis que não sustentam atribuição sozinhas, conforme a nota de atribuição; e a leitura de conteúdo deve respeitar o escopo legal e a privacidade de terceiros definidos pela política da organização, com registro de autorização por caso.

A leitura de cabeçalhos em fraude de pagamento é o exemplo de maior retorno, porque a cadeia Received e os resultados de autenticação desmontam a identidade fingida do remetente em segundos.

Cadeia de cabecalhos recebida (simplificada)

Received: from mail-out.provedor-envio[.]net (123.45.67.89)
          by mx.empresa.com.br with ESMTPS id 9f2a;
          17 Apr 2025 09:41:03 -0300
Authentication-Results: mx.empresa.com.br;
          spf=fail (dominio remetente nao autoriza o IP de origem);
          dkim=none; dmarc=fail (politica p=reject)
From: "Central de Atendimento" <aviso@banco-noticia[.]top>
Reply-To: financeiro.suporte@dominio-irmao[.]top
Message-ID: <20250417094103.9f2a@mail-out.provedor-envio[.]net>
Subject: Atualizacao cadastral urgente

No exemplo, a autenticação falha nos três mecanismos, o remetente exibido pertence a domínio irmão do cluster e o Reply-To aponta para endereço em domínio distinto, e esse trio é a assinatura típica de fraude de pagamento que a análise de conteúdo confirma em minutos.

6. Triangulação de Evidências

Triangulação é a confirmação de um achado por fontes independentes entre si, e é o controle de qualidade que separa observação robusta de artefato de coleta. A regra de trabalho é exigir, para toda conclusão que sustente ação, pelo menos três fontes que não compartilhem a mesma origem: um feed comercial e um feed que redistribui o mesmo comercial contam como uma fonte, e a telemetria própria, o registro público e a análise de sandbox contam como três. A independência tem de ser verificada até a origem, porque o mercado de CTI redistribui informação em cascata, e o mesmo relatório reaparece em dezenas de feeds com aparência de consenso.

O procedimento de triangulação é curto e vale tê-lo escrito na política da equipe.

• Listar o achado e todas as fontes que o suportam, com a data de cada observação.
• Verificar independência real até a origem, identificando redistribuições em cascata entre feeds.
• Registrar a nota de confiabilidade e credibilidade de cada fonte no padrão Admiralty da nota de atribuição.
• Documentar conflitos e a resolução escolhida, com o motivo, no registro do caso.

Quando as fontes divergem, o protocolo é reconciliar e não mediar. Divergência é sinal de hipótese mal formada, de dado desatualizado ou de reuso de recurso, e cada explicação tem consequência diferente para o caso. O procedimento é comparar proveniência e data de cada fonte, verificar qual observação é mais específica e documentar a resolução escolhida com o motivo, em vez de calcular média de scores, prática que esconde conflito em vez de resolvê-lo. O registro final do achado triangulado deve citar as três fontes com suas notas de confiabilidade, na forma exigida pela nota de atribuição, de modo que a revisão por pares consiga refazer o caminho.

7. Exemplo: Linha do Tempo de Incidente

O caso abaixo é a linha do tempo consolidada de uma intrusão iniciada por phishing, com as regras da seção 4 aplicadas: fuso canônico, fonte por evento, separação entre observado e ação, e lacuna declarada. É o formato de referência dos casos desta biblioteca.

A leitura analítica da linha do tempo entrega mais que a sequência. O intervalo de cinco horas entre o roubo da credencial, às 09:52, e o uso dela, às 14:02, é o período de preparação do operador, e coincide com a janela operacional presumida da campanha. O evento de redirecionamento de caixa às 15:30 caracteriza objetivo de monitoramento e não de destruição, o que rebaixa a hipótese de ransomware imediato e orienta a prioridade da contenção para credencial e sessão, e não para isolamento de rede. A lacuna declarada entre 19:00 e 07:30 vira ação para a equipe de coleta, porque é exatamente ali que a intrusão pode ter progredido sem registro. O tempo de permanência calculado, de 09:52 do dia 17 às 09:00 do dia 18, fecha as métricas do caso e alimenta o IR.5.

8. Erros Comuns e Pontos de Atenção

• Confundir tempo de registro com tempo de evento: relógios dessincronizados e atrasos de ingestão deslocam a sequência, e a reconstrução sem normalização ordena errado e conclui errado.
• Confundir sequência com causalidade: eventos contiguos no tempo não se causam, e a narrativa causal exige mecanismo, não apenas proximidade temporal.
• Deixar lacuna sem declarar: espaço em branco silencioso parece cobertura perfeita e esconde exatamente o período em que a intrusão pode ter avançado.
• Construir grafo sem tipagem de aresta: relação sem tipo, evidência e data não é verificável, e o grafo vira figura decorativa que a revisão não consegue auditar.
• Pivô por nó denso no grafo: expansão por ASN ou por provedor popular infla o desenho com falsos vizinhos, replicando no visual o over-clustering da nota anterior.
• Tratar média de scores como reconciliação: divergência entre fontes exige resolução documentada, e a média esconde o conflito que era a informação mais valiosa.
• Ler conteúdo fora do escopo legal: análise de comunicações de terceiros sem autorização registrada expõe a organização e contamina o caso, mesmo quando a técnica está correta.
• Congelar só a figura final: sem versões do grafo e da linha do tempo, o revisor não consegue auditar o caminho, e o caso perde a propriedade central de ser retomável.
• Aplicar métricas de rede sobre arestas não ponderadas: centralidade sobre grafo com vínculos densos aponta provedor popular, e não operador.
• Tratar estilo e idioma de comunicações como evidência de identidade: são hipótese, e o caso avança pelos artefatos técnicos, conforme a nota de atribuição.

9. Integração com o Restante da Biblioteca

As técnicas desta nota são a mecânica de execução dos objetos das notas vizinhas: o clustering define o conjunto, o grafo mostra sua estrutura interna, a linha do tempo fecha sua janela e a triangulação certifica suas conclusões. No capítulo 04, o Diamond Model fornece a tipologia de nós e a lógica de travessia que o link analysis executa, e o ATT&CK fornece o vocabulário com que cada evento da linha do tempo é nomeado. No capítulo 06, o relatório consome diretamente a figura do grafo podado, a tabela da linha do tempo e o registro de triangulação como anexos de evidência.

No lado operacional da seção 15, o TH.4 estrutura o hunting com essas mesmas técnicas, o IR.2 consome a linha do tempo como base da triagem e classificação, o IR.5 mede dwell time sobre a reconstrução e o DAT.5 é o controle que fecha as lacunas de cobertura que a linha do tempo denuncia. A síntese desta nota é a ideia de espinha: toda análise séria tem um grafo que mostra as relações e uma linha do tempo que mostra a sequência, e o analista que mantém as duas atualizadas tem um caso que qualquer colega pode retomar, revisar e defender.