Análise de Hipóteses Concorrentes (ACH)

Nota 10 do capítulo 05 (Análise e Produção de Inteligência), fechando o bloco de avaliação com o método estruturado para testar hipóteses concorrentes.
Apresenta a ACH de Richards Heuer, os oito passos, a matriz hipótese versus evidência, a diagnosticidade e a lógica de refutação aplicadas a atribuição e campanhas em CTI.
Consome as notas 06 a 09 e conecta com o hunting orientado a hipóteses dos capítulos 06 e 07.

1. Contexto e Posicionamento na Biblioteca

Atribuição, contagem de atores e interpretação de campanha são os julgamentos de CTI mais caros de errar e os mais vulneráveis ao fechamento prematuro. O primeiro relato convincente tende a fixar a leitura do caso, e a evidência seguinte passa a ser coletada e lida para confirmar, e não para testar. A Análise de Hipóteses Concorrentes, ACH, formulada por Richards Heuer na tradição de análise da comunidade de inteligência norte-americana, é o antídoto estruturado: gerar explicitamente as explicações plausíveis, confrontar todas com a evidência disponível e preferir a que resiste à refutação.

No capítulo, a ACH é o ponto em que tudo converge: as notas 06 e 07 graduam a evidência que entra na matriz, a nota 08 impede que inferência entre como fato, e a nota 09 fornece a linguagem do resultado. Fora do capítulo, o método espelha o hunting orientado a hipóteses dos capítulos 06 e 07, que parte de suposições testáveis contra telemetria, e dialoga com o capítulo 13, onde a hipótese de engano deixa de ser paranoica e passa a ser de rotina. A matriz é ferramenta de análise, e a conversa que ela força entre analistas costuma ser o produto mais valioso do exercício.

Dentro do próprio capítulo, a ACH ocupa lugar definido entre as vizinhas. A nota 11 cataloga as técnicas de análise estruturada de que a ACH é o exemplo mais exigente; a nota 12 explica por que o viés de confirmação exige um método, e não apenas boa vontade; e a nota 13 oferece o complemento quantitativo, quando os julgamentos qualitativos da matriz precisam de pesos numéricos revisáveis. A ordem recomendada de estudo é essa mesma: vieses, técnica, números.

2. O Método e a Lógica da Refutação

O viés de confirmação não é defeito de caráter, e sim economia cognitiva: é mais barato processar evidência que se encaixa. A ACH inverte a direção do trabalho em dois pontos. Em vez de perguntar qual hipótese a evidência sustenta mais, pergunta qual hipótese a evidência tolera menos; em vez de acumular apoio, acumula inconsistências. A lógica é a da refutação: evidência consistente com muitas hipóteses não decide nada, mas evidência contraditória elimina candidatos, e o vencedor provisório é o que sobra com menos contradição, e não o que mais se apoia em evidência genérica.

A consequência prática é que o analista muda o que procura. Buscas orientadas a confirmação produzem dossiês impressionantes e frágeis; buscas orientadas a refutação produzem matrizes com furos visíveis, e os furos são exatamente o que se quer: eles indicam a evidência que distingue as candidatas e, portanto, o que vale coletar em seguida. O julgamento final sai com data de validade, porque a chegada de evidência nova reabre a matriz.

A mesma lógica alimenta o hunting dos capítulos seguintes, com uma pergunta que vale fixar: o que eu esperaria observar se esta hipótese fosse verdadeira, e onde eu já deveria ter observado? A resposta vira consulta na telemetria, e o resultado, presente ou ausente, volta para a matriz como evidência. É por isso que a fronteira entre análise e hunting é metodológica, e não organizacional: os dois papéis compartilham a disciplina de refutação e se diferenciam apenas no conjunto de dados que consultam.

3. Os Oito Passos do ACH

A sequência abaixo é a versão consagrada nas técnicas analíticas estruturadas, adaptada ao vocabulário da biblioteca. Cada passo tem produto verificável, e pular passos é o caminho mais curto para a matriz virar enfeite do dossiê.

1. Levantar hipóteses: brainstorm em equipe pequena e diversa, incluindo a hipótese improvável, como engano deliberado, exercício interno ou mau funcionamento; hipótese ausente é hipótese nunca testada.
2. Listar evidência e argumentos: tudo o que se sabe sobre o caso, incluindo evidência contrária e ausência significativa de evidência, com o par de avaliação das notas 06 e 07.
3. Construir a matriz hipótese versus evidência: linhas de evidência, colunas de hipóteses, marcas C de consistente, I de inconsistente e N de não aplicável ou ambíguo.
4. Refinar a matriz: reinterprete linhas, remova evidência não diagnóstica, adicione a que falta; a matriz é ferramenta de pensamento, e não produto final.
5. Refutar: para cada hipótese, ataque com a evidência mais forte disponível e ranqueie as colunas por menor número de inconsistências.
6. Analisar sensibilidade: identifique a evidência que sustenta a conclusão e pergunte o que muda no julgamento se essa evidência estiver errada ou for revogada.
7. Redigir: discuta todas as hipóteses, e não só a vencedora; explicite por que as demais foram rejeitadas; declare probabilidade e confiança com o vocabulário da nota 09.
8. Definir marcos: liste eventos observáveis futuros que mudariam o julgamento, com dono e prazo; sem marcos, a matriz congela e o julgamento vira eterno.

Cada passo tem um produto verificável, e a tabela abaixo amarra passos, artefatos e responsáveis no formato esperado nos casos da biblioteca.

A disciplina dos produtos evita o desencontro mais comum entre equipes: a matriz que existe na cabeça do analista líder e em nenhum lugar verificável. Quando cada passo deixa artefato datado, a passagem de turno e a revisão externa passam a funcionar sem depender de memória.

4. Matriz Hipótese versus Evidência

A mecânica é simples e a disciplina está nos detalhes. Cada célula registra a relação entre uma evidência e uma hipótese: C quando a evidência é consistente com a hipótese, I quando contradiz e N quando não se aplica ou é ambígua. O produto da leitura é a contagem de inconsistências por coluna, e não a soma de consistências, porque C não prova nada: quase toda evidência é consistente com mais de uma explicação. A marca N merece atenção especial, já que ambiguidade registrada é pergunta de coleta, e o item deve voltar à lista com a verificação que resolveria a dúvida.

A matriz registra raciocínio, e não veredito: ela deve ser mantida junto ao caso, atualizada a cada evidência nova e relida na revisão do julgamento. O formato mínimo cabe em planilha ou em arquivo de texto no repositório do caso; ferramentas dedicadas, como a ACH 2.0 disponibilizada gratuitamente pela Pherson Associates, agregam colaboração e histórico, mas nenhuma substitui a conversa que a construção da matriz provoca entre os analistas do caso.

A legenda das marcas precisa estar no próprio artefato, porque matriz sem legenda é reavaliada de forma diferente por cada leitor. O bloco abaixo é o cabeçalho padrão dos arquivos de matriz no repositório da biblioteca.

Legenda da matriz ACH
C: evidência consistente com a hipótese, sem contradição conhecida
I: evidência contradiz a hipótese ou a torna custosa de sustentar
N: não se aplica ou ambígua; toda célula N gera pergunta de coleta
Regra: julgar por inconsistências por coluna; C não soma prova
Atualização: nova evidência reabre a matriz; revisão datada obrigatória

5. Diagnosticidade da Evidência

Evidência diagnóstica é a que discrimina entre hipóteses: consistente com algumas e inconsistente com outras. Evidência não diagnóstica é consistente com todas, e por isso não move o julgamento, por mais impressionante que pareça no relatório. A maior parte do vocabulário técnico de CTI é não diagnóstica, porque ferramenta de commodity e técnica pública circulam entre dezenas de grupos; a diagnosticidade mora nos detalhes específicos e nas combinações raras.

A diagnosticidade orienta coleta: a matriz mostra qual observação futura separaria as candidatas, e essa observação vira tarefa de hunting com prioridade. É a mesma ponte que liga esta nota aos requisitos de inteligência do capítulo de fundamentos: evidência diagnóstica é aquilo que o programa precisa passar a observar, e a ausência dela, quando deveria existir, também é evidência a ser registrada. A ausência só vale quando a busca foi exaustiva e documentada, porque procurar mal e não achar é a ilusão de refutação mais barata que existe.

6. Aplicação em CTI: Atribuição e Campanhas

Em atribuição, o conjunto mínimo de hipóteses é estável: o ator A, um imitador deliberado, um criminoso de commodity que coincide por acaso e um exercício interno não comunicado. A hipótese de imitação merece tratamento de primeira classe em casos de resposta custosa, como atribuição pública, sanção ou rompimento de contrato, porque há casos públicos documentados de artefatos e personas plantados para atribuir intrusões a terceiros, como os relatos sobre operações do tipo Ghostwriter. A marca registrada do imitador costuma aparecer na análise de sensibilidade: a imitação reproduz o visível e tropeça no logístico que o ator real não precisaria fingir.

Na contagem de atores, a pergunta "campanha única ou múltiplos atores" tem o mesmo desenho, com hipóteses de ator único, fornecedor compartilhado e coincidência de infraestrutura alugada. Hospedagem à prova de balas e servidores de staging revendidos produzem sobreposições que parecem atribuição, e a evidência diagnóstica é de natureza diferente: sobreposição de código, padrão de vítimas, forma de monetização e disciplina operacional. Na mesma lógica, o hunting usa a matriz para anomalias, com hipóteses de ataque em curso, configuração errada nova e manutenção planejada; as colunas determinam qual telemetria coletar primeiro.

O gatilho de uso também precisa estar definido, porque ACH não cabe em toda triagem. A biblioteca aciona o método em quatro situações: quando a resposta é cara, como atribuição pública ou sanção; quando duas leituras críveis competem no caso; quando existe suspeita razoável de engano; e quando o julgamento será usado em decisão de cliente ou de diretoria com responsabilidade associada. Triagens comuns seguem o fluxo normal do SOC, e o tempo da matriz é reservado para o que realmente depende dela.

7. Exemplo de Matriz Completa

O caso fictício serve de gabarito reutilizável em treinamento: intrusão em uma fintech, com exfiltração silenciosa de integração bancária e nenhuma destruição após trinta dias. Quatro hipóteses concorrentes e sete evidências produzem a matriz inicial abaixo.

Hipóteses: H1 espionagem patrocinada por Estado
           H2 afiliado de crime financeiro
           H3 imitação deliberada de H1
           H4 exercício interno não comunicado

Evidência                                               H1   H2   H3   H4
E1 Túnel Chisel de código aberto                        C    C    C    C
E2 Exfiltração sem destruição e sem resgate em 30 dias  C    I    C    I
E3 Operação concentrada no horário comercial de UTC+3   C    I    C    I
E4 Loader idêntico a build do ator X de 2024            C    N    C    I
E5 Credenciais de VPN compradas em fórum                C    C    C    I
E6 Alvo: chaves de API de parceiro, sem PII de clientes C    I    C    I
E7 Persistência replicando playbook público do ator X   C    I    C    I
Contagem de inconsistências (I)                         0    4    0    6

A leitura segue os passos. No refinamento, E1 sai por não diagnóstica; a contagem final mostra H1 e H3 empatadas em zero inconsistências, H2 com quatro e H4 com seis. O empate é o resultado mais comum e o mais instrutivo: a evidência atual não distingue o ator real do imitador, e nenhum acréscimo de evidência consistente resolve o empate. A diferença virá de evidência diagnóstica, como a sobreposição do staging com infraestrutura conhecida do ator X, ou a ausência dela, que fortaleceria H3.

O peso das linhas acompanha a avaliação das notas 06 e 07 sem quebrar a contagem qualitativa: evidência com par baixo permanece na matriz, mas é marcada no caderno como fraca, e a redação evita construir o julgamento principal sobre ela. A regra prática é registrar a força da evidência ao lado da marca, na forma de E4 (C2 para a fonte), e deixar a contagem de inconsistências contar apenas células em que a evidência é confiável o suficiente para contradizer. Evidência fraca nunca elimina hipótese; no máximo sinaliza pergunta de coleta.

A sensibilidade recai sobre E2, E6 e E7, que sustentam a leitura de espionagem; se E6 estiver errada, por exemplo, e houver PII monetizável no conjunto exfiltrado, H2 volta a competir. Os marcos são concretos: consulta a DNS passivo do staging em sete dias, correlação de JA3 com telemetria de parceiros em trinta dias e revisão formal do julgamento em sessenta. O relatório final declara avaliação preliminar entre H1 e H3, probabilidade de acesso contínuo "provável" com confiança moderada, e registra as hipóteses rejeitadas com seus motivos, conforme a nota 09.

A matriz refinada mostra como o caderno evolui quando a coleta dirigida responde às perguntas das células N e das células de empate. No exemplo abaixo, E1 foi removida, E8 foi acrescentada após a consulta de DNS passivo, e o empate entre H1 e H3 finalmente se move.

Refinamento do dia 2025-06-17
Removida: E1 (não diagnóstica, consistente com todas)
Acrescentada:
E8 Staging do caso não sobrepõe infraestrutura conhecida do ator X
   em nenhum dos três registradores consultados         I    N    C    N
Contagem atualizada (I)                                  1    4    1    6
Leitura: H3 passa a liderar no desempate com H1; H2 e H4 permanecem
rebaixadas. H1 ganha pergunta de coleta: reproduzir o loader em
ambiente isolado para comparar build com o material público do ator X

O refinamento do exemplo mostra por que a matriz é documento vivo e por que a revisão é datada. A evidência nova é ambígua em duas colunas, e essas ambiguidades viram as próximas perguntas de coleta, na forma de comparação de build do loader e de verificação de horários do exercício de red team. Nenhuma hipótese foi eliminada no refinamento, e esse é o desfecho honesto do dia: o empate virou liderança provisória de H3, porque H1 passou a ter uma contradição relevante, a ausência de sobreposição com a própria infraestrutura que o ator real não precisaria evitar, e H3 explica justamente essa ausência.

8. Erros Comuns e Pontos de Atenção

• Começar com hipótese favorita e usar a matriz para defendê-la; efeito: ACH virando dossiê de confirmação; correção: passo 1 com brainstorm genuíno, incluindo engano e erro interno.
• Tratar C como prova; efeito: evidência genérica acumula peso ilusório; correção: julgar por inconsistências e caçar evidência diagnóstica.
• Ignorar a célula N; efeito: ambiguidade congelada vira ponto cego permanente; correção: toda célula N gera pergunta de coleta com prazo.
• Manter matriz estática; efeito: evidência nova não reabre o julgamento; correção: matriz versionada no repositório do caso, atualizada por evento.
• Deixar de definir marcos; efeito: julgamento sem data de validade; correção: passo 8 obrigatório, com dono e prazo.
• Relatar apenas a hipótese vencedora; efeito: o leitor perde o mapa de risco e as condições de mudança; correção: passo 7, com discussão das rejeitadas.
• Confundir empate com vitória; efeito: fechamento prematuro por desempate estético; correção: empate é relatório de duas hipóteses com plano de coleta dirigida.
• Confundir ausência de evidência com evidência de ausência; efeito: hipótese sobrevive porque ninguém procurou o que a mataria; correção: registrar o que foi procurado, onde e com que cobertura.
• Quantificar sem necessidade; efeito: números falsamente precisos em matriz qualitativa; correção: usar a nota 13 apenas quando houver frequências reais para alimentar os cálculos.

9. Integração com o Restante da Biblioteca

A ACH é a consumidora final do bloco de avaliação do capítulo: os pares das notas 06 e 07 pesam as linhas, as categorias da nota 08 impedem inferência de passar por evidência e o vocabulário da nota 09 escreve o resultado. À frente, o método alimenta o relatório de disseminação estruturado na nota 04, fornece os marcos que o capítulo 11 acompanha como métricas e dialoga com o hunting hipotético dos capítulos 06 e 07, onde cada hipótese da matriz vira consulta e cada consulta vira evidência nova. O capítulo 13 completa o quadro ao tratar a hipótese de engano com método, e não com humor, e o capítulo 16 converte o gabarito da seção 7 em exercício de treinamento.

A prática operacional que consolida o método na equipe é o caderno de matriz: repositório versionado, um diretório por caso, com a matriz em texto simples, as evidências com seus pares de avaliação e a ata das decisões de refinamento. A revisão de passagem de turno inclui a leitura da contagem de inconsistências, e a pergunta padrão da sessão é diagnóstica: qual evidência, se chegasse amanhã, mudaria mais colunas. Na resposta a incidente, o caderno tem prazo: matriz inicial em quatro horas, refinamento diário e reexecução completa dos passos 3 a 5 a cada evidência de alta diagnosticidade que chegar; matriz treinada em caso encerrado vira material do capítulo 16 e calibra a equipe coletivamente.