Fatos, Inferências, Hipóteses e Pressupostos

Nota 08 do capítulo 05 (Análise e Produção de Inteligência), que instala a higiene epistêmica da produção analítica.
Define operacionalmente fato, inferência, hipótese e pressuposto, mostra por que separar dado de interpretação e padroniza a rotulagem explícita em relatórios.
Usa as notas 06 e 07 como insumo graduado e alimenta a nota 09 (níveis de confiança) e a nota 10 (teste de hipóteses concorrentes).

1. Contexto e Posicionamento na Biblioteca

O fracasso analítico mais comum não é a falta de dados, e sim a má etiqueta do que se sabe: inferência vendida como fato, hipótese tratada como certeza, pressuposto operando escondido no escopo. Nenhum framework de análise corrige um relatório cujas categorias estão trocadas, porque o leitor não consegue dizer onde discorda. Esta nota fixa as quatro categorias que toda a biblioteca usa, com definições operacionais, testes de admissão e marcadores de linguagem.

O posicionamento é o centro do capítulo: as notas 06 e 07 garantiram que cada afirmação chega com fonte graduada; esta nota decide o que cada afirmação é; as notas 09 e 10 decidem quanta confiança declarar e como testar alternativas. A distinção não é pedantaria, porque define quem pode ler o quê, o que pode ser automatizado e o que exige revisão humana. Um indicador observado, que é fato, pode circular em TLP:GREEN; a inferência sobre quem o opera talvez exija TLP:AMBER; a hipótese sobre motivação pode não sair da organização.

2. Epistemologia Operacional da Análise

A análise produz afirmações sobre o mundo, e cada afirmação tem status epistêmico diferente. A resposta operacional a isso não é filosofia, e sim um teste de admissão por categoria: a pergunta que a afirmação precisa responder para entrar no relatório com aquela etiqueta. A tabela abaixo é o contrato da biblioteca, e as seções seguintes detalham a fronteira na prática.

Duas observações completam a tabela. A inferência honesta declara a cadeia lógica e as alternativas avaliadas, e por isso é verificável mesmo sem ser observável; a diferença para o chute é exatamente essa declaração. E o pressuposto não é erro: toda análise precisa de premissas para começar, e o erro é o pressuposto oculto, aquele que o leitor descobre apenas quando a conclusão cai.

3. Por que Separar Dado de Interpretação

A separação tem três consequências práticas. A primeira é auditabilidade: o leitor sênior discorda com informação quando sabe qual afirmação é fato e qual é leitura, enquanto um relatório homogêneo obriga a concordância total ou o descarte total. A segunda é compartilhamento seletivo: fatos sobre observáveis circulam com menos restrição do que inferências sobre operadores, e a rotulagem é o que permite aplicar TLP por afirmação, e não por documento inteiro. A terceira é calibração: a nota 09 só funciona porque confiança se aplica a julgamentos, e não a registros primários.

O mecanismo de degradação que a separação combate tem nome no ofício: o avanço da inferência, quando uma leitura repetida vira fato por citação acumulada. O ciclo é sempre o mesmo: um fabricante publica "o padrão sugere o grupo X"; três relatórios citam; o décimo diz "é sabido que o grupo X usa o padrão"; e o décimo primeiro baseia uma atribuição no décimo. Nenhuma observação nova entrou na cadeia, e o status epistêmico subiu sem teste; a vacina é rotular na origem e preservar o rótulo em toda repetição.

A cadeia abaixo mostra o mesmo fenômeno em formato de trilha, útil para treinar a equipe a reconhecer o ponto exato em que a etiqueta se perdeu.

Trilha de um avanço de inferência
 1. Fabricante A: "o loader compartilha código com o ator X" (inferência)
 2. Fabricante B cita A: "o loader é do ator X" (inferência sem a reserva)
 3. Feed agrega B: "ator X usa loader L" (etiqueta perdida)
 4. Relatório C: "o ator X usa L historicamente" (vira contexto)
 5. Relatório D: "conforme sabido, X usa L" (vira fato sem observação)
Ponto de correção: qualquer elo; o barato é o 3, quando o feed ainda
leva o link do original e o leitor pode voltar à inferência de A

4. Fatos e Inferências: a Fronteira em Prática

A fronteira entre fato e inferência é o ponto onde mais se erra, porque boa parte do vocabulário de CTI é classificação, e não observação. A tabela abaixo resolve os casos de fronteira mais frequentes com a categoria correta e o motivo do enquadramento.

A regra para resolver casos não listados é procurar o registro primário que tornaria a afirmação verificável por terceiro. Se existe e está anexado, é fato; se não existe, mas a lógica que leva até lá é declarável, é inferência; se a lógica depende de evidência que ainda não existe, é hipótese; se nem a lógica nem a evidência são exigidas, porque a análise precisa começar de algum lugar, é pressuposto declarado. O teste leva segundos e resolve a maior parte das disputas de revisão entre analistas.

5. Hipóteses e Pressupostos: Regras de Trabalho

Hipótese tem três regras duras na biblioteca. Primeira, nunca uma só: toda análise parte de pelo menos duas explicações concorrentes, porque hipótese única é decisão disfarçada. Segunda, toda hipótese nasce com um teste que poderia matá-la, com fonte dos dados e prazo; hipótese sem teste é opinião com rótulo. Terceira, hipótese organiza evidência em vez de competir com ela: o trabalho do analista é buscar o que distinguiria as candidatas, tema da nota 10.

Pressupostos seguem outra disciplina: declarar, minimizar e estressar. Declarar significa listar as premissas no corpo do relatório, com a consequência falsa de cada uma; minimizar significa reduzir o número de premissas ao estritamente necessário, substituindo-as por fatos baratos de verificar; estressar significa perguntar, para cada premissa, o que muda na conclusão se ela cair. A técnica de derrubar pressupostos deliberadamente, antes que o adversário ou a realidade derrube, é um dos exercícios padrão dos capítulos práticos; em contra-inteligência, o pressuposto oculto é superfície de ataque, porque o adversário explora exatamente aquilo que ninguém verificou.

O estresse de premissas fica concreto quando cada pressuposto é emparelhado com a verificação barata que o transformaria em fato. A tabela abaixo é o formato recomendado para a seção de pressupostos dos relatórios de maior impacto.

6. Rotulagem Explícita em Relatórios e Sistemas

A rotulagem vive em dois lugares: na linguagem do relatório e nos campos do sistema. Na linguagem, os verbos carregam a categoria, e a tabela abaixo padroniza os marcadores em português técnico, com os equivalentes que devem ser evitados porque borram a fronteira entre observação e leitura.

Nos sistemas, a etiqueta vira campo: o TIP da biblioteca mantém tag de categoria por item, e o repositório de relatórios mantém seções separadas ou marcadores inline. O esqueleto abaixo é o padrão mínimo adotado nos relatórios do capítulo e reutilizado nos modelos do capítulo 12, com a vantagem de ser verificável por script antes da publicação.

relatorio: RPT-2025-117
fatos:
  - "Telemetria registrou execução de certutil.exe com URL externa em 12 hosts"
inferencias:
  - "O padrão indica estágio de carga via utilitário nativo, não via dropper dedicado"
hipoteses:
  - id: H1
    texto: "Preparação de campanha de ransomware sobre o ambiente financeiro"
  - id: H2
    texto: "Teste interno de segurança não comunicado ao SOC"
pressupostos:
  - "A cobertura de EDR nos 12 hosts é total, conforme inventário da CISO"
marcos:
  - "Rever H1 se nenhuma criação de conta ou exfiltração surgir em 30 dias"

7. Exemplo de Sentenças Calibradas para Cada Categoria

O bloco abaixo descreve a mesma intrusão uma vez por categoria, com a anotação do que torna a sentença admissível. É o padrão de redação esperado nos relatórios da biblioteca: cada sentença carrega sua prova, sua lógica ou sua premissa, e nenhuma depende de adjetivo para soar forte.

FATO: Em 2025-03-12T08:41Z, o host FIN-COB-07 executou regsvr32.exe
  com URL externa confirmada no log de proxy. (Registro primário:
  evento Sysmon 1 no host e entrada de proxy com o mesmo horário;
  qualquer analista com acesso aos dois logs reproduz a observação.)

INFERÊNCIA: O uso de regsvr32 com URL externa e binário sem assinatura
  válida indica carregamento remoto de payload. (Cadeia declarada: o
  utilitário carrega DLL remota; a URL resolve para infraestrutura
  recém-registrada; a alternativa de rotina de desenvolvedor foi
  avaliada e descartada por ausência de implantação nessa janela.)

HIPÓTESE: O ator mantém acesso persistente desde 2025-03-01.
  (Testável: varredura de contas, tarefas agendadas e chaves de
  execução criadas na janela; seria refutada se nenhum artefato de
  persistência datar do período com a marcação do mesmo cluster.)

PRESSUPOSTO: Esta análise assume que não houve limpeza de logs antes
  da coleta. (Se falso, a janela observada é menor que a real, as
  datas de início mudam e a estimativa de escopo fica subestimada.)

A leitura do exemplo é o próprio padrão da biblioteca: o fato carrega a reprodutibilidade, a inferência carrega a lógica e a alternativa descartada, a hipótese carrega o teste e a condição de refutação, e o pressuposto carrega o custo de estar errado. Nenhuma sentença precisa de adjetivos para soar forte; a força vem da estrutura. Esse padrão, combinado com os pares Admiralty das notas 06 e 07, permite ao leitor reconstruir toda a cadeia do julgamento sem falar com o autor.

A revisão de publicação usa a lista abaixo como checklist mínimo, aplicável por script ou por par de olhos na revisão cruzada.

Checklist de etiqueta epistêmica antes de publicar
 1. Toda sentença tem categoria identificável por seus verbos?
 2. Todo fato anexa registro primário ou referência reproduzível?
 3. Toda inferência declara a cadeia lógica e a alternativa descartada?
 4. Toda hipótese traz teste, prazo e condição de refutação?
 5. Todo pressuposto traz consequência falsa e verificação barata?
 6. As tags de categoria do TIP correspondem às do relatório?
 7. Nenhum marcador proibido sobrou em lugar de destaque?

8. Erros Comuns e Pontos de Atenção

• Publicar inferência com verbo de fato; efeito: leitura repetida vira "fato de mercado" sem teste; correção: tabela de marcadores da seção 6 aplicada na revisão de todo relatório.
• Hipótese única desde o rascunho; efeito: evidência selecionada para confirmar o que já se decidiu; correção: mínimo de duas hipóteses concorrentes, com teste de distinção.
• Pressupostos fora do relatório; efeito: conclusão cai sem que ninguém saiba por quê; correção: lista de premissas com a consequência falsa de cada uma.
• Rotular no relatório e não rotular no TIP; efeito: a cadeia perde a etiqueta na exportação; correção: categoria como campo do item, e não como estilo de texto.
• Confundir categoria com confiança; efeito: "fato com confiança baixa" ou "hipótese confirmada" sem teste; correção: categoria descreve o tipo de afirmação, confiança descreve a base, tema da nota 09.
• Usar "evidencia" como curinga; efeito: o leitor não distingue observação de leitura; correção: substituir por verbos específicos da tabela de marcadores.
• Tratar pressuposto como erro a eliminar; efeito: paralisação analítica ou premissa oculta pior ainda; correção: declarar, minimizar e estressar, nessa ordem.

9. Integração com o Restante da Biblioteca

As categorias desta nota são a gramática que as notas vizinhas pressupõem: as notas 06 e 07 graduam as afirmações antes da etiqueta, a nota 09 aplica confiança onde há julgamento, e a nota 10 transforma hipóteses em colunas de matriz com evidência testada contra todas. No restante da biblioteca, o capítulo 03 trata indicadores como fatos sobre observáveis, o capítulo 13 explora pressupostos como superfície de contra-inteligência e o capítulo 16 exercita a rotulagem em casos reais de revisão.

A prática que fecha o ciclo é a auditoria retroativa: a cada trimestre, escolha dois relatórios publicados, conte as afirmações por categoria e verifique quais inferências e hipóteses sobreviveram ao tempo. O resultado alimenta a calibração da nota 09, ajusta os marcadores que estiverem borrando a fronteira e produz a métrica mais honesta de qualidade analítica disponível: a proporção de julgamentos que ainda estariam de pé no dia em que foram lidos de novo. Relatórios que passam nesse teste viram material de treinamento; os que não passam viram revisão de processo, e os dois desfechos são ganhos mensuráveis para o programa.