Técnicas de Análise Estruturada

Nota do capítulo 05 (Análise e Produção de Inteligência).
Panorama das Structured Analytic Techniques (SATs): Key Assumptions Check, Analysis of Competing Hypotheses, Indicators and Signposts, premortem e What-If, com critérios de escolha por pergunta de inteligência.
Dialoga com a nota de Vieses Cognitivos, com a Análise Bayesiana Aplicada à CTI e com a formulação de hipóteses do hunting.

1. Contexto e Posicionamento na Biblioteca

As Structured Analytic Techniques (SATs) são procedimentos explícitos de pensamento que reduzem a dependência da intuição quando a evidência é fragmentada e as conclusões precisam ser defendidas em revisão. Diferente de um modelo de dados, como o Diamond Model, que organiza o que se sabe sobre um caso, as SATs organizam como se decide sobre o que se sabe: tornam premissas visíveis, forçam a geração de hipóteses rivais e produzem um rastro auditável do raciocínio. Em CTI, onde a análise orienta priorização de patches, criação de regras de detecção e decisões de resposta, um erro de raciocínio custa tanto quanto uma falha de coleta, e o custo costuma ser descoberto tarde.

Esta nota abre o bloco analítico do capítulo 05 e estabelece o repertório que as notas seguintes pressupõem. A nota de Vieses Cognitivos explica por que as SATs existem e o que exatamente elas mitigam, e a nota de Análise Bayesiana formaliza numericamente a atualização de crença que o ACH executa de forma qualitativa. No lado operacional da biblioteca, as técnicas desta nota alimentam o TH.6 de formulação de hipóteses estruturadas e o CTI.7 de produção de relatórios, onde o rastro analítico se traduz em níveis de confiança declarados no produto final.

2. O Problema que as SATs Atacam e a Taxonomia

O repertório clássico de análise de inteligência agrupa dezenas de técnicas em famílias por função, e o analista de CTI precisa reconhecer qual família responde à pergunta que tem na mesa antes de escolher uma técnica específica. Aplicar o ACH a um problema de decomposição, ou um premortem a um problema de atribuição, desperdiça tempo de analista e cria a impressão de rigor sem substância. A tabela abaixo adapta as famílias ao vocabulário de CTI e indica o uso típico de cada uma dentro desta biblioteca.

Duas ressalvas mantêm o uso honesto. Primeiro, SATs têm custo, e a profundidade deve ser proporcional à relevância da decisão: uma regra de detecção de baixo impacto não exige matriz de hipóteses, enquanto um relatório de atribuição que vai ao comitê de risco exige. Segundo, a técnica não substitui domínio do conteúdo; ela estrutura o raciocínio sobre a evidência técnica, e uma matriz ACH construída sobre evidência mal validada produz apenas uma conclusão errada bem documentada.

As técnicas também se dividem em individuais e de equipe, e a divisão muda o desenho do processo. As individuais, como o KAC e o ACH, cabem na mesa de um analista e viram hábito com repetição; as de equipe, como Team A e Team B e o premortem coletivo, exigem agenda, papéis e facilitação, e o erro clássico de maturidade baixa é tentar o formato coletivo antes de o individual estar dominado. A recomendação prática é institucionalizar primeiro o KAC e o ACH no fluxo individual, porque produzem rastro com custo de minutos, e introduzir os formatos coletivos quando o vocabulário comum já existe na equipe.

3. Key Assumptions Check (KAC)

O Key Assumptions Check parte de uma constatação desconfortável: toda linha de análise que já avançou carrega premissas que não são mais examinadas, e é nelas que a conclusão quebra primeiro. A técnica pede que o analista liste, uma a uma, as premissas que sustentam o julgamento atual, articule cada uma como afirmação testável e avalie duas variáveis: a probabilidade de a premissa estar errada e o impacto na conclusão se ela estiver. O produto é uma tabela de premissas com grau de vulnerabilidade, e toda premissa vulnerável e de alto impacto vira agenda imediata de coleta.

Em CTI, o KAC é especialmente valioso antes de relatórios de atribuição e antes de declarar que uma campanha não afeta o ambiente. A premissa de que o adversário não está presente porque nenhuma regra alertou confunde ausência de detecção com ausência de atividade, e o KAC força essa premissa à superfície. A prática recomendada da biblioteca é anexar a tabela de premissas ao relatório como apêndice interno, de forma que o revisor saiba exatamente onde a conclusão depende de suposição e não de evidência.

O KAC rende mais quando aplicado em três momentos do fluxo, e o momento muda o papel da técnica. Na revisão de relatório pronto, as premissas já cristalizaram e o KAC funciona como auditoria; na abertura de hipótese nova, o KAC funciona como desenho de coleta, porque é barato testar premissa antes de investir; e antes de decisão de resposta com custo alto, como isolamento de servidor ou takedown, o KAC funciona como freio de decisão. O formato da tabela é o mesmo nos três casos, e a diferença está em quem consome o artefato e em quão rápido ele precisa existir.

4. Analysis of Competing Hypotheses (ACH)

O ACH, proposto por Richards Heuer, é a técnica central de avaliação de hipóteses e opera com uma inversão deliberada de hábito: em vez de perguntar qual hipótese a evidência confirma, pergunta-se qual hipótese a evidência refuta menos. O procedimento tem oito passos, e os passos intermediários existem para impedir que a hipótese favorita do analista colonize a análise antes de a matriz existir.

• Listar todas as hipóteses plausíveis, incluindo as impopulares, com esforço genuíno de não colapsar variantes parecidas na primeira que parece certa.
• Listar evidências e argumentos relevantes, separando observação técnica de inferência e registrando a fonte de cada linha.
• Construir a matriz de evidência por hipótese, marcando consistência, inconsistência ou neutralidade de cada par, sem pontuar hipóteses nesta fase.
• Refinar a matriz: reordenar por poder discriminante e remover linhas que não separam nenhuma hipótese, pois evidência não discriminante só consome revisão.
• Avaliar a consistência relativa de cada hipótese com o conjunto, tratando a inconsistência como o sinal mais informativo da matriz.
• Interpretar o resultado como hipótese residual, ou seja, a que sobrevive ao processo de eliminação, e não como a mais confirmada.
• Analisar a sensibilidade: identificar quais linhas sustentam a escolha e o que aconteceria com a conclusão se essa linha caísse.
• Registrar marcos futuros que discriminariam as hipóteses remanescentes, transformando a incerteza residual em plano de coleta.

A notação de célula da matriz segue três códigos, e a disciplina de código é o que protege a matriz do hábito de pontuar.

A regra de leitura é que C não soma ponto, I elimina e N neutraliza, e a hipótese residual é a que terminou com menos inconsistências graves, e não a que acumulou mais compatibilidades. Esse detalhe separa o ACH de um scorecard: a técnica não mede apoio, mede resistência a desmentido.

A inversão é o coração do método porque a confirmação é barata: quase qualquer evidência pode ser narrada a favor da hipótese favorita, enquanto a refutação é cara para o analista e informativa para o caso. Em CTI, o ACH rende mais em situações com poucas hipóteses e evidência técnica abundante, como escolher entre três explicações para uma intrusão iniciada com credencial válida. A nota de Análise Bayesiana oferece a versão quantitativa do mesmo princípio quando os julgamentos de verossimilhança podem ser numericados com honestidade.

5. Indicators and Signposts, Premortem e What-If

Indicators and Signposts transforma cenários e previsões em marcos observáveis. O analista define, para cada cenário em disputa, os eventos que indicariam movimento naquela direção, a fonte onde o marco apareceria e o gatilho de ação que ele dispara. Em CTI, o uso clássico é acompanhar a escalada de uma campanha de exploração de vulnerabilidade: a publicação de PoC funcional, a aparição do exploit em kit comercial, o primeiro bloco de varredura massiva e a inclusão da CVE no KEV são signposts encadeados, e cada um pode disparar ações crescentes, da regra de virtual patching no WAF ao patching emergencial. O formato mínimo do painel, com fonte e gatilho por marco, é o seguinte.

O premortem é a técnica de desafio aplicada antes da decisão: o time imagina que o relatório ou a ação falhou seis meses depois e lista as causas prováveis dessa falha, e cada causa vira um cheque a cumprir antes da publicação. Um premortem típico sobre um relatório de atribuição revela causas como fonte única não corroborada, confiança herdada de relato de vendor sem evidência própria e premissa de continuidade de infraestrutura não verificada no histórico. O What-If complementa ao forçar a geração de cenários improváveis que escapam do enquadramento vigente, e perguntas como "e se o adversário estiver usando nossa própria ferramenta de gestão legítima" são o que historicamente originou detecções de abuso de ferramentas administrativas e conta de serviço.

As três técnicas compartilham uma propriedade importante: produzem artefatos, e não apenas conversa. O painel de signposts entra no radar da equipe com dono e gatilho, a lista do premortem entra no checklist de revisão do relatório e as perguntas do What-If entram na pauta da próxima coleta. Essa materialização é o que permite auditar meses depois se o processo analítico funcionou ou se apenas pareceu funcionar.

6. Escolha da Técnica por Pergunta de Inteligência

A escolha disciplinada da técnica começa pela pergunta que a análise precisa responder, e não pela preferência do analista. A tabela abaixo mapeia situações frequentes de CTI às técnicas primárias desta nota e ao produto esperado de cada aplicação.

7. Exemplo Aplicado: ACH em uma Intrusão Financeira

Uma intrusão terminou em criptografia por ransomware em um servidor de aplicações financeiras, e a triagem inicial rotulou o caso como operação direta do grupo econômico conhecido na região. Antes de publicar a análise interna, a equipe rodou o ACH com três hipóteses e cinco evidências, e o registro abaixo é o formato de referência desta biblioteca para o artefato.

analise_ach:
  caso: INC-2025-0342, intrusao em servidor de aplicacoes financeiras
  hipoteses:
    H1: operacao direta de grupo economico com ransomware conhecido
    H2: acesso revendido por initial access broker a operador de ransomware
    H3: teste de seguranca interno nao anunciado
  evidencias:
    E1: login com credencial valida obtida de infostealer comercial
    E2: build unica de tunneling reaproveitada em campanha anterior do grupo da H1
    E3: janela de operacao concentrada em fuso GMT+8
    E4: nenhuma exfiltracao observada antes da criptografia
    E5: cadeia usa ferramentas legitimas de gestao remota
  matriz:
    E1: { H1: C, H2: C, H3: I }
    E2: { H1: C, H2: N, H3: I }
    E3: { H1: C, H2: N, H3: I }
    E4: { H1: I, H2: C, H3: C }
    E5: { H1: N, H2: C, H3: I }
  leitura:
    hipotese_residual: H2
    linhas_discriminantes: [E4, E5, E1]
    sensibilidade: sem E4, H1 e H2 empatam; E4 e a linha critica e exige revisao do storage
  marcos_futuros:
    - aparecimento do dado em site de vazamento confirma a variante de dupla extorsao
    - valor de resgate ou padrao de negociacao fora do historico do grupo sugere operador novo

A leitura do artefato mostra o ganho real do método: a triagem inicial ancorou na H1 por causa do binário de criptografia, mas a ausência de exfiltração é inconsistente com a rotina documentada de dupla extorsão desse grupo, e a cadeia de ferramentas legítimas é mais compatível com um operador que comprou acesso pronto do que com o grupo que costuma operar fim a fim. O caso foi reclassificado com confiança moderada em H2, e a linha crítica E4 entrou como tarefa de validação no storage antes da publicação externa. Os marcos futuros foram registrados no radar da equipe, garantindo que novas evidências reabrissem a matriz sem novo esforço de arranque.

O processo por trás do artefato é tão relevante quanto o resultado. A matriz foi construída em sessão única de noventa minutos com dois analistas, um dono do caso e um revisor sem vínculo com a triagem inicial, e a separação de papéis não foi cerimônia: o revisor foi quem propôs a H3 e quem insistiu em listar a E4, evidência que o dono do caso classificava como detalhe logístico. O custo do processo, em hora de analista, foi inferior a uma tarde, e o dano evitado foi uma publicação de atribuição que o histórico de calibração provavelmente teria desmentido meses depois, com custo de credibilidade muito maior que o da revisão.

8. Erros Comuns e Pontos de Atenção

• Aplicar a técnica errada à pergunta: matriz ACH para problema de decomposição, ou premortem para escolher entre hipóteses, produz artefato bonito e análise fraca; comece sempre pela pergunta.
• Tratar a evidência neutra como suporte: nas matrizes ACH, o C marca consistência e não prova, e o N precisa permanecer neutro de verdade; inflar C é reintroduzir o viés de confirmação por outro caminho.
• Ignorar o passo de sensibilidade: uma conclusão que não sabe quais linhas a sustentam não pode ser atualizada quando uma fonte muda, e relatórios ficam frágeis justamente na linha mais frágil.
• Escolher hipóteses medrosas: excluir de propósito explicações constrangedoras, como erro interno ou teste não anunciado, é a forma mais rápida de transformar o ACH em encobrimento estruturado.
• Fazer premortem sem dono para cada modo de falha: lista sem responsável e sem prazo vira ritual; cada cheque do premortem precisa de quem vai cumprir antes da publicação.
• Deixar signposts sem fonte definida: marco que não tem onde ser observado não é indicador, é desejo; a coluna de fonte obriga a decidir como e onde monitorar.
• Documentar só a conclusão: o valor auditável está no rastro, e artefatos de análise descartados ou arquivados impedem que a organização aprenda com o processo e não apenas com o resultado.
• Usar SATs em tudo: técnica estruturada tem custo de hora de analista, e aplicá-la a triagens rotineiras consome capacidade que casos relevantes precisam.
• Confundir ACH com votação de opiniões: a matriz não agrega preferências, testa consistência, e um analista com evidência melhor vence três opiniões contrárias; o árbitro da matriz é a evidência, e não o peso hierárquico de quem propôs.
• Deixar a matriz congelada: evidência nova que chega depois da sessão precisa entrar na matriz, e a análise sem dono designado para mantê-la morre no primeiro achado novo que chega.
• Medir SAT por página produzida: artefato longo não é análise profunda, e uma tabela de premissas com três linhas certeiras vale mais que uma matriz de vinte evidências sem poder discriminante.

9. Integração com o Restante da Biblioteca

As SATs desta nota são a camada de procedimento sobre a camada de dados construída nos capítulos anteriores: o Diamond Model fornece os eventos que alimentam as matrizes, as notas de infraestrutura do capítulo 03 fornecem os pivôs que viram evidência discriminante e a Pirâmide de Dor fornece a métrica de custo que ajuda a julgar quão forte é cada vínculo apresentado como evidência. No fluxo da seção 15, o KAC alimenta o CTI.7 como rastro de confiança do relatório, o ACH estrutura o TH.6 quando o hunting nasce de um alerta ambíguo e os signposts conectam o acompanhamento de campanhas ao CTI.2 de avaliação de ameaças.

No uso diário, a progressão natural é internalizar o ACH como hábito mental mesmo quando não há matriz escrita: perguntar reflexivamente qual evidência desmentiria a leitura que está se formando reproduz o núcleo da técnica em vinte segundos de triagem. A matriz escrita permanece obrigatória nos produtos formais, mas o hábito é o que protege a maior parte do volume operacional que nunca chega a virar relatório, e é esse hábito que a revisão por pares inspeciona quando cobra a evidência contrária.

A sequência de leitura do capítulo 05 segue o próprio ciclo analítico: esta nota define os procedimentos, a próxima mostra os inimigos internos do raciocínio que os procedimentos combatem e a nota bayesiana quantifica a atualização que o ACH executa por inspeção. O analista que domina as três notas consegue defender qualquer conclusão sua em duas perguntas simples: quais hipóteses rivais existiam e quanto a evidência moveu cada uma delas.