Relatórios de Inteligência (Estrutura, Público-alvo)

Nota do capítulo 05 (Análise e Produção de Inteligência), ponte entre a análise e o consumo.
Apresenta os tipos de produto de inteligência, o princípio BLUF, a estrutura canônica do relatório e a calibração de forma e profundidade por público-alvo.
Inclui um template completo de relatório pronto para adoção pela equipe. Dialoga com as notas de Clustering e de Atribuição deste capítulo e com os controles CTI.7 e CTI.8 da seção 15.

1. Contexto e Posicionamento na Biblioteca

O relatório é o produto pelo qual a inteligência existe para a organização: análise que não chega, no formato que o consumidor consegue usar, não gera decisão. Todo o esforço dos capítulos anteriores, de coleta, enriquecimento, clustering e atribuição, se materializa em produtos de relato, e a qualidade percebida da função de CTI é, na prática, a qualidade percebida desses produtos. A literatura de inteligência resume o problema em uma pergunta: para quem, o quê, com que profundidade e em que formato, e esta nota organiza a resposta em tipos de produto, princípio de redação, estrutura canônica e calibração por público.

Na biblioteca, esta nota converte os artefatos analíticos do capítulo: o cluster da nota de campanhas vira a unidade narrativa do relatório, o julgamento calibrado da nota de atribuição vira a seção de julgamentos-chave, e a linha do tempo da nota de técnicas vira o anexo de evidência. No lado operacional da seção 15, o CTI.7 define o controle de produção de relatórios, o CTI.8 define a disseminação segmentada e o CTI.9 fecha o ciclo com feedback, que é o que permite corrigir formato e profundidade a cada edição. A regra editorial central é que todo relatório serve a uma decisão identificável, e relatório sem decisão associada é conteúdo, não inteligência.

2. Tipos de Produto de Inteligência

A função de CTI madura opera um portfólio de produtos, e não um único formato, porque públicos diferentes consomem em cadências diferentes. O erro comum das equipes iniciantes é produzir só o tipo mais fácil, normalmente o alerta tático, e pretender que ele atenda todos os públicos. A tabela abaixo define o portfólio de referência desta biblioteca.

Os produtos se diferenciam mais pela decisão que habilitam do que pelo tema. O flash report habilita resposta imediata e por isso vive ou morre pela velocidade e pela acionabilidade, com indicações prontas para bloqueio e caça. O perfil de ator habilita planejamento de detecção e de hunting, e por isso é o produto mais conectado às notas de clustering e de TTPs do capítulo 03. O assessment estratégico habilita decisão de investimento e de risco, e por isso fala de setores, motivações, tendências e cenários, com a linguagem de risco que o executivo usa, e não com a linguagem de artefatos que o SOC usa.

O portfólio precisa de governança para não degradar em produção aleatória. Cada produto tem dono, cadência definida, template aprovado e canal de disseminação com TLP, e a relação inteira é publicada internamente, porque consumidor que não sabe o que existe e quando chega passa a tratar qualquer entrega como eventual. A revisão anual do portfólio, com base no feedback do CTI.9, é o momento de encerrar produtos sem consumo e de criar produtos para decisões que estão sendo tomadas sem insumo.

3. BLUF: Bottom Line Up Front

BLUF é o princípio de que a conclusão relevante para a decisão vem primeiro, na primeira frase, e a sustentação vem depois. O princípio nasceu na comunicação militar e é a inversão do hábito acadêmico de construir a conclusão ao longo do texto. O leitor de relatório de inteligência é ocupado, e a probabilidade de leitura integral é baixa; o produto precisa entregar valor na primeira linha ou não entrega valor nenhum. BLUF não é simplificação: é ordenação, com a complexidade preservada nas seções seguintes para o leitor que precisa dela.

A diferença prática entre lede ruim e lede BLUF é visível no contraste abaixo, que usa a campanha exemplo deste capítulo.

Lede ruim (esconde a conclusao):
  Em 28 de marco, varios dominios foram registrados no TLD .top com
  certificados emitidos em janela de 48 horas. Analises de DNS passivo
  identificaram um nameserver dedicado compartilhado. Um template de
  phishing identificado como v3.2 foi coletado em sandbox.

Lede BLUF (abre com a decisao):
  Uma campanha de phishing ativa contra bancos esta capturando credenciais
  desde 28 de marco. Recomenda-se bloqueio preventivo de 17 dominios e caca
  retrospectiva por kit v3.2 nas proximas 24 horas.

A lede BLUF carrega os quatro elementos mínimos: o que está acontecendo, contra quem, desde quando e qual ação se recomenda com prazo. As seções seguintes sustentam a afirmação com análise, evidência e confiança calibrada, e a regra editorial é que nada aparece na lede que o corpo não sustente com fonte citada.

BLUF se aplica dentro de cada seção, e não só na abertura. O sumário executivo abre com a recomendação; cada julgamento-chave abre com a proposição; a seção de ações abre com a ação de maior urgência; e o anexo abre com o que o revisor precisa verificar primeiro. O leitor que para em qualquer ponto do documento já coletou as conclusões daquela camada, e é esse desenho de camadas que torna o relatório legível por públicos diferentes sem cópias divergentes.

4. Estrutura Canônica do Relatório

A estrutura canônica desta biblioteca tem seis blocos, e a ordem é deliberadamente invertida em relação ao hábito narrativo: julgamento antes de evidência, evidência antes de metodologia. A seção de metadados abre o documento com classificação TLP 2.0, data, autor, validade e confiança global, porque o produto circula e precisa se autodescrever sem o remetente por perto. O sumário executivo entrega o BLUF em três a cinco linhas e declara as decisões que o relatório habilita. Os julgamentos-chave listam de três a cinco proposições, cada uma com confiança calibrada no padrão da nota de atribuição.

O bloco de análise desenvolve o raciocínio: contexto da ameaça, descrição do cluster ou da campanha, janela temporal, TTPs mapeadas em ATT&CK e as alternativas rejeitadas, que é o que torna a análise auditável. O bloco de evidência reúne os anexos técnicos: lista de indicadores com contexto e validade, tabela de infraestrutura, linha do tempo do caso e regras de detecção associadas. O bloco de indicações e ações fecha o produto com o que fazer: regras de bloqueio, consultas de caça, ajustes de playbook e responsável e prazo por ação, redigidos de forma que o SOC consiga executar sem reinterpretação. A disciplina que sustenta a estrutura é a de EEI, Essential Elements of Information: cada bloco responde às perguntas que os requisitos de inteligência, os PIRs da nota do capítulo 01, definiram como relevantes para o consumidor, e não às perguntas que o analista achou interessante.

A revisão editorial antes da publicação verifica quatro critérios objetivos, e o relatório que falha em qualquer deles volta para o autor.

• A lede contém decisão, prazo e responsável, e não apenas contexto.
• Cada julgamento-chave carrega confiança declarada e base citada.
• Toda ação tem dono, prazo e forma de verificação de execução.
• A classificação TLP está definida e os anexos técnicos são consistentes com o corpo.

5. Calibração por Público

Calibração por público é a decisão de forma, profundidade e vocabulário em função de quem decide com o produto. O mesmo cluster sustenta quatro produtos diferentes, e reutilizar o conteúdo com calibração correta é o que multiplica o valor do trabalho analítico sem multiplicar o custo. A tabela abaixo define a calibração de referência por público.

Duas técnicas de redação sustentam a calibração na prática. A primeira é o documento em camadas, no qual o flash report de três páginas é o resumo autocontido e o perfil de ator anexa o detalhe, de modo que cada público leia a camada da sua necessidade sem perder o fio. A segunda é a tradução controlada de termos, com tabela de equivalência fixa entre vocabulário técnico e vocabulário de negócio, porque tradução improvisada por relatório cria variações que o executivo aprende a desconfiar.

A voz é o outro eixo da calibração. Frases curtas na voz ativa, com sujeito, verbo e consequência, sobrevivem à leitura executiva; períodos longos com subordinação tríplice não sobrevivem. O hedging excessivo, o talvez encadeado e o é importante ressaltar desperdiçam a atenção que a calibração busca preservar, e a confiança calibrada da nota de atribuição é o mecanismo correto de expressar incerteza, e não o advérbio genérico.

6. Exemplo de Template de Relatório

O template abaixo é o padrão de flash report desta biblioteca, pronto para adoção, com os blocos da estrutura canônica preenchidos com o caso da campanha de phishing usado ao longo do capítulo.

# [TLP:AMBER] Flash Report: Campanha de phishing contra o setor financeiro
Data: 2025-04-15 | Autor: Equipe CTI | Validade: 72 horas |
Confianca global: moderada | Ref: CLUSTER-2025-041-PHISH-FIN

## 1. Sumario executivo (BLUF)
Campanha ativa de phishing captura credenciais de funcionarios de bancos e
cooperativas desde 28 de marco de 2025. Recomenda-se bloqueio preventivo de
17 dominios, caca retrospectiva por kit v3.2 e reforco de alerta entre
06:00 e 09:00 locais, nas proximas 24 horas.

## 2. Julgamentos-chave
- Com alta confianca, 17 dominios fazem parte da mesma operacao
  (nameserver dedicado e template v3.2 compartilhados).
- Com confianca moderada, o grupo conduz fraude financeira e nao
  implantacao de ransomware, com base no comportamento observado.
- Com baixa confianca, o operador atua em fuso da America do Sul, inferido
  pela janela de envio; a hipotese segue aberta.

## 3. Analise
Campanha com ciclo de vida em declinio: registro dos dominios entre
28/03 e 02/04, pico de envio na semana de 07/04 e ultimo avistamento em
14/04. TTPs mapeadas: T1566.002 (spearphishing por link), T1071.001
(trafego web para coletor), T1140 (decodificacao no anexo HTML).
Alternativa de afiliado de ransomware foi rebaixada; detalhes na secao
de atribuicao do relatorio completo.

## 4. Evidencia e indicacoes (anexo tecnico)
- 17 dominios, 40 IPs de envio, nameserver dedicado e template v3.2.
- Linha do tempo do caso e historico de resolucao em anexo A.
- Regras de bloqueio e consulta de caca em anexo B.

## 5. Indicacoes e acoes recomendadas
| # | Acao | Responsavel | Prazo |
| 1 | Bloquear os 17 dominios no gateway de e-mail | SOC | 24 horas |
| 2 | Executar caca retrospectiva por kit v3.2 nos proxies | Threat Hunting | 48 horas |
| 3 | Reforcar alerta de fator de risco no periodo de envio | SOC | Imediato |
| 4 | Revisar regras de alerta para criação de regra de redirecionamento em caixas | SOC | 72 horas |

## 6. Feedback
Canal de retorno para calibrar profundidade e formato: e-mail da equipe
CTI ou canal do caso, com referencia CLUSTER-2025-041-PHISH-FIN.

O template mostra as três propriedades que o revisor deve exigir em qualquer produto. O BLUF abre com ação e prazo, e não com histórico; cada julgamento carrega confiança no padrão calibrado; e as ações têm responsável e prazo, porque indicação sem dono é desejo, e não produto. O mesmo esqueleto se estende para perfil de ator e assessment estratégico, alterando o bloco de análise para histórico do grupo e a seção de ações para recomendações de investimento e de postura, respectivamente.

Para o produto de maior profundidade, o esqueleto de perfil de ator abaixo mantém a mesma disciplina de BLUF e julgamentos calibrados, com seções próprias para capacidade de detecção e para implicações de negócio.

# [TLP:AMBER] Perfil de Ameaca: Grupo de fraude financeira regional
Data: 2025-05-01 | Autor: Equipe CTI | Proxima revisao: 2025-11-01 |
Ref: CLUSTER-2025-041-PHISH-FIN | Aliases publicos: conforme tabela A

## 1. Sumario executivo (BLUF)
Grupo com tres ondas documentadas desde 2023 contra bancos e cooperativas.
Capacidade tecnica mediana, alta disciplina operacional e infraestrutura
renovada por campanha. Risco principal: fraude de pagamento e abuso de
caixas monitoradas.

## 2. Julgamentos-chave
- Com confianca moderada, a mesma equipe opera desde 2023, com base na
  continuidade de nameserver dedicado e de template v3.2.
- Com confianca baixa, opera a partir do fuso UTC-3, inferida pela janela
  de atividade; a hipotese segue aberta.

## 3. Perfil operacional
Historico de campanhas, infraestrutura recorrente, ferramentas, TTPs
mapeadas em ATT&CK, rotina de operacao e padrao de alvo por setor.

## 4. Capacidade de deteccao
Cobertura atual por tecnica, lacunas, regras existentes e propostas de
deteccao por onde o grupo e mais barato de interceptar.

## 5. Implicacoes para o negocio
Cenarios provaveis para os proximos dois trimestres e recomendacoes de
postura por area.

## 6. Anexos
Indicadores com validade, grafo do cluster, linha do tempo por onda e
registro de hipoteses abertas.

7. Erros Comuns e Pontos de Atenção

• Enterrar a conclusão: relatório que constrói a tese ao longo de dez páginas perde o leitor ocupado, e a violação de BLUF é o defeito mais citado em feedback de executivos.
• Produzir sem decisão associada: relatório que não habilita decisão identificável é conteúdo editorial, e a pergunta da revisão é sempre que decisão este produto muda.
• Um formato para todos os públicos: mandar o relatório técnico completo ao conselho e o resumo ao SOC inverte a calibração e descredita os dois produtos.
• Julgamento sem confiança declarada: afirmação sem nível de confiança obriga o leitor a adivinhar a força, e a ausência é percebida como excesso de certeza.
• Indicador sem contexto e sem validade: IOC sem data, fonte e motivo deixa o SOC bloqueando às cegas e infla falsos positivos que corroem a credibilidade do feed.
• Classificação TLP ausente ou errada: produto sem classificação não circula com segurança, e produto com TLP menor que o necessário causa dano real de compartilhamento.
• Volume no lugar de insight: relatório de quarenta páginas com listas reproduzidas de feeds transmite ocupação, e não análise, e o leitor aprende a ignorá-lo.
• Ignorar o feedback: sem o ciclo do CTI.9, o formato nunca converge com a necessidade real do consumidor, e o produto repete os mesmos defeitos a cada edição.

8. Integração com o Restante da Biblioteca

Esta nota converte em produto tudo que o capítulo 05 construiu: o cluster vira unidade narrativa, o julgamento calibrado vira seção de julgamentos-chave e a linha do tempo vira anexo de evidência, no padrão de confiança da nota de atribuição. No capítulo 01, a nota de requisitos e PIRs define as perguntas que a estrutura canônica responde, e a nota de tipos de inteligência define o nível, tático, operacional ou estratégico, em que cada produto opera. No capítulo 02, os formatos STIX 2.1 e TAXII 2.1 e o TLP 2.0 definem a máquina e as regras de circulação dos produtos táticos.

No lado operacional da seção 15, o CTI.7 é o controle que institucionaliza esta nota em processo com revisão e aprovação, o CTI.8 aplica a calibração por público na disseminação segmentada, o CTI.9 fecha o ciclo com feedback e o MET.5 mede a percepção de valor que a calibração busca. A síntese desta nota é a inversão de perspectiva que define a função: o analista escreve para a decisão do leitor, e não para demonstrar o próprio trabalho, e é exatamente essa inversão que transforma análise em inteligência.