Análise Bayesiana Aplicada à CTI

Nota do capítulo 05 (Análise e Produção de Inteligência).
Formaliza a atualização de crença com evidência: probabilidade prévia, verossimilhança, razão de verossimilhança e posterior, com quantificação de atribuição e de exploração e um exemplo numérico completo.
Dialoga com o ACH da nota de Técnicas de Análise Estruturada e com o controle de vieses da nota anterior.

1. Contexto e Posicionamento na Biblioteca

A análise de inteligência é, em essência, a revisão contínua de crenças sobre perguntas que não admitem certeza: qual grupo opera, qual CVE será explorada, qual hipótese sustenta a próxima caça. O teorema de Bayes dá a essa revisão uma régua: crenças partem de um estado inicial quantificado, cada peça de evidência as move em proporção ao seu poder discriminante e o resultado é um número que pode ser comparado, comunicado e calibrado. Esta nota traduz o formalismo para o vocabulário de CTI, apresenta os julgamentos que o analista precisa fazer de forma explícita e mostra as armadilhas que transformam a conta certa em conclusão errada.

A nota completa a trinca analítica do capítulo: as SATs fornecem os procedimentos qualitativos, os vieses explicam os erros que os procedimentos combatem e Bayes quantifica a atualização que o ACH executa por inspeção visual da matriz. Na prática, poucas equipes quantificam tudo, e a recomendação desta biblioteca é proporcional: quantificar com Bayes as decisões de alto impacto, como atribuição publicada e priorização de patching emergencial, e manter o ACH qualitativo no resto, porque a estrutura importa mais que o número.

2. O Teorema de Bayes na Linguagem da Inteligência

O teorema descreve como transformar a crença anterior, chamada de probabilidade prévia ou prior, em crença revisada, chamada de posterior, usando a evidência por meio das verossimilhanças. Na notação de CTI, H é a hipótese em disputa, como a atribuição da intrusão ao grupo A, e E é a evidência recém-checada, como a reutilização de um nameserver dedicado.

P(H | E) = P(E | H) * P(H) / P(E)

P(H)      : probabilidade prévia da hipótese, antes da evidência E
P(E | H)  : verossimilhança da evidência se a hipótese for verdadeira
P(E | ~H) : verossimilhança da evidência se a hipótese for falsa
P(H | E)  : probabilidade posterior, depois de considerar E

Para comparação entre hipóteses, a forma de razões, ou odds, é a mais útil, porque permite atualizações encadeadas multiplicando razões de verossimilhança, também chamadas de fatores de Bayes. A razão de verossimilhança é o poder discriminante da evidência: quanto mais esperada a evidência sob a hipótese do que sob sua negação, mais a crença move na direção da hipótese, e evidência com razão próxima de 1 é evidência que não decide nada.

razão posterior = razão prévia * P(E | H) / P(E | ~H)

atualização sequencial com evidências E1, E2, E3 (idealmente independentes):
razão posterior = razão prévia * LR(E1) * LR(E2) * LR(E3)
P = razão / (razão + 1)

A tradução mental que o analista precisa dominar é simples de enunciar e difícil de praticar: verossimilhança é a probabilidade de a evidência existir dado que a hipótese é verdadeira, e não a probabilidade de a hipótese ser verdadeira dado que a evidência existe. Inverter esse condicional é o erro clássico de raciocínio em sala de análise, e é exatamente a inversão que a fórmula impede quando ela é escrita antes dos julgamentos.

3. Probabilidade Prévia e Verossimilhança em CTI

O prior vem de três fontes legítimas, em ordem de preferência: estatística própria do ambiente, como a taxa histórica de intrusões atribuíveis a cada categoria de ator; estatística de base pública, como a proporção de CVEs que aparecem no KEV dentro de janelas de trinta dias; e julgamento estruturado do time, quando não há dados, sempre registrado como julgamento e não como fato. Um prior de atribuição que nasce do noticiário da semana é prior contaminado pela disponibilidade, e o registro da fonte do prior é parte da honestidade do exercício. A tabela abaixo resume as fontes legítimas e os cuidados de cada uma.

A verossimilhança exige que o analista responda duas perguntas fictícias por evidência: se a hipótese fosse verdadeira, qual a chance de vermos exatamente essa evidência; e se fosse falsa, qual a chance. Esses números são subjetivos por natureza, e a disciplina não está em fingir objetividade, e sim em três práticas: derivação a partir de dados quando existem, como taxas de reutilização de infraestrutura observadas em campanhas; elicitação independente por dois analistas com discussão das divergências grandes; e registro dos números para calibração futura. A tabela abaixo padroniza a comunicação verbal dos posteriores, adaptada da escala de estimativa de Sherman Kent, e a regra da equipe é que o termo escrito no relatório corresponda a uma faixa numérica acordada.

4. Atualização de Crença com Evidência

A atualização bayesiana tem três propriedades que orientam o trabalho diário do analista. Primeira: evidência forte move muito, evidência fraca move pouco, e o movimento é exatamente a razão de verossimilhança, o que desaconselha narrar como decisiva uma sobreposição de endereço IP em provedor compartilhado, cuja razão costuma ser próxima de 1. Segunda: a ordem das evidências não altera o resultado, porque a multiplicação é comutativa, e isso protege a análise da narrativa em que a primeira descoberta "define" o caso. Terceira: evidência surpreendente, ou seja, muito mais provável sob uma hipótese que sob a outra, é a que mais ensina, e o analista deve tratar a própria surpresa como sinal de que encontrou evidência discriminante.

Na prática, a atualização acontece em dois ritmos. No ritmo de caso, cada novo achado forense ou de OSINT multiplica a razão da hipótese em disputa, e a posterior corrente orienta a próxima coleta, privilegiando a evidência com maior razão esperada por hora de trabalho. No ritmo de programa, os posteriores de atribuições e previsões passadas são comparados ao que se confirmou, e os desvios alimentam a calibração dos priors e das verossimilhanças típicas da equipe, fechando o ciclo com a métrica de precisão analítica do capítulo 11.

5. Quantificação em CTI: Atribuição e Exploração

Duas aplicações concentram o valor prático de Bayes em CTI. A primeira é a probabilidade de atribuição, em que a hipótese é que um conjunto de atividade pertence a um ator específico, e as evidências são sobreposições de infraestrutura, TTPs, horários, ferramentas e linguagem. A segunda é a probabilidade de exploração, em que a hipótese é que uma CVE será explorada no ambiente em uma janela de tempo, e as evidências são a existência de PoC, a presença no KEV, a nota EPSS, a exposição externa do ativo afetado e a presença do produto na infraestrutura da organização. A segunda aplicação conecta diretamente com a nota de Vulnerability e Exploit Intelligence, onde EPSS e KEV aparecem como entradas quantitativas de prior.

A tabela abaixo organiza as aplicações frequentes, com a hipótese em disputa, as evidências típicas e a decisão que o posterior apoia.

A quantificação também muda a qualidade da discussão interna. Quando o time declara verossimilhanças, as divergências ficam localizadas: não é mais "eu não acredito que seja o grupo A", e sim "eu acho que essa evidência apareceria de qualquer forma, então minha razão é 2, e não 20". Esse desacordo numérico é resolvível com dados, e é o formato que a revisão por pares da nota de vieses deve incentivar. O registro sugerido para produtos formais inclui prior, tabela de evidências com as duas verossimilhanças, razão resultante, posterior e fonte de cada número.

6. Armadilhas: Priors Ruins, Evidência Não Independente e Outras

A mecânica da fórmula é simples, e as falhas graves estão nas entradas. O catálogo abaixo reúne as armadilhas que mais distorcem resultados reais, com o sintoma típico e a correção.

• Prior ruim por taxa base ignorada: partiu-se de prior inflado pela notícia da semana, e o posterior herdou o erro multiplicado; correção: registrar a fonte do prior e começar por taxas de base quando existirem.
• Evidência não independente tratada como independente: o mesmo nameserver sustenta dois "achados" que na verdade são um só, e as razões se multiplicam sobre a mesma informação; correção: agrupar evidências correlacionadas em um único bloco com razão conjunta.
• Dupla contagem entre relatos: a mesma campanha aparece no feed do vendor, no feed do ISAC e no fórum, e parece três fontes; correção: rastrear proveniência até a observação original, conforme a nota de avaliação de fontes do capítulo 02.
• Verossimilhança calibrada pelo resultado desejado: o time escolhe P(E|H) alto porque quer publicar a atribuição; correção: elicitação independente e revisão por pares com registro dos números.
• Zero e um proibidos: declarar certeza absoluta congela a análise, porque nenhuma evidência futura move um prior de zero ou um; correção: usar extremos como 0,01 e 0,99 apenas com justificativa explícita.
• Posterior vira novo prior sem revisão: a crença atualizada de hoje é legítima, mas precisa ser declarada como estado corrente, com data, e não como fato consolidado.
• Precisão falsa: comunicar 0,784 quando os julgamentos sustentam uma faixa de 0,65 a 0,85 é vender mais exatidão do que o processo tem; correção: comunicar faixa ou termo da escala verbal.
• Razão extrema em evidência única: uma só peça de evidência com razão de 100 ou mais costuma esconder correlação não percebida ou julgamento otimista, e o padrão saudável é chegar a confiança alta pela soma de evidências moderadas, e não por um único achado milagroso.

7. Exemplo Numérico Completo Passo a Passo

Uma equipe precisa decidir se publica a atribuição de uma intrusão ao grupo A. O prior vem da taxa histórica interna: das intrusões do setor nos últimos dois anos, uma em cinco se conectou ao grupo A, então P(H) igual a 0,20, ou razão prévia de 1 para 4. As três evidências são avaliadas em sequência, com verossimilhanças derivadas do histórico de campanhas do grupo e discutidas em revisão de pares.

Hipótese H: a intrusão é atribuível ao grupo A
Prior: P(H) = 0,20        razão prévia = 0,20 / 0,80 = 0,25 (1 para 4)

E1: nameserver dedicado reutilizado de campanha anterior do grupo A
    P(E1|H) = 0,60   P(E1|~H) = 0,05   LR = 12
    razão posterior = 0,25 * 12 = 3,00
    P(H|E1) = 3,00 / 4,00 = 0,750

E2: hash do binário presente em repositório público compartilhado por vários grupos
    P(E2|H) = 0,40   P(E2|~H) = 0,35   LR = 1,14
    razão posterior = 3,00 * 1,14 = 3,43
    P(H|E2) = 3,43 / 4,43 = 0,774

E3: janela de operação incompatível com o fuso típico do grupo A
    P(E3|H) = 0,10   P(E3|~H) = 0,50   LR = 0,20
    razão posterior = 3,43 * 0,20 = 0,686
    P(H|E3) = 0,686 / 1,686 = 0,407

A leitura do exemplo ensina mais que a fórmula. A E1 é evidência forte e legítima, porque um nameserver dedicado é caro de manter e raro de coincidir, e move a crença de 0,20 para 0,75. A E2 é o tipo de evidência que relatos apressados tratam como forte, mas a razão de 1,14 mostra que ela quase não discrimina, porque binários compartilhados aparecem com frequência similar com ou sem o grupo A, e o posterior quase não se move. A E3 move contra a hipótese com força real, e o posterior cai para cerca de 0,41, faixa verbal de improvável. A decisão correta é não publicar atribuição ao grupo A com confiança acima de moderada, validar o fuso com mais telemetria e registrar os marcos que reabririam o cálculo.

O segundo exemplo, mais curto, cobre a aplicação de priorização de vulnerabilidade, e conecta com a nota seguinte do capítulo.

Pergunta: probabilidade de a CVE-X ser explorada no ambiente em 30 dias
Prior: taxa base pública de CVEs exploradas em 30 dias = 0,05
    razão prévia = 0,05 / 0,95 = 0,0526 (1 para 19)

E1: PoC funcional público
    P(E1|explorada) = 0,60   P(E1|não) = 0,10   LR = 6
    razão = 0,0526 * 6 = 0,316    P = 0,316 / 1,316 = 0,24

E2: inclusão no KEV
    LR = 50
    razão = 0,316 * 50 = 15,79    P = 15,79 / 16,79 = 0,94

Com o posterior em 0,94, o termo declarado é quase certo, e a decisão de patching emergencial está quantitativamente sustentada. Repare que o prior de taxa base fez o trabalho de honestidade: sem ele, a simples aparição no KEV pareceria suficiente para concluir 1,0, e com ele a equipe entende que 0,94 significa "pouquíssimos falsos positivos esperados na base de CVEs, não certeza sobre esta CVE".

O exemplo também ilustra a prática de sensibilidade. Se o julgamento da verossimilhança da E2 variasse de 0,30 a 0,50 sob H, a razão variaria de 0,86 a 1,67 e o posterior final oscilaria em torno de dois pontos percentuais, e registrar essa faixa é parte do produto. A conta bayesiana não exige certezas nas entradas, exige apenas que a incerteza das entradas seja propagada honestamente para a saída, e é essa propagação que separa o exercício quantitativo do número decorativo.

8. Erros Comuns e Pontos de Atenção

• Conduzir a análise até o número e parar: o posterior não substitui a decisão, e um posterior de 0,60 pode justificar ações diferentes conforme o custo do falso positivo e do falso negativo; a decisão precisa do custo, e não só da probabilidade.
• Elicitar verossimilhanças sem cenário: perguntar "qual a chance dessa evidência" sem fixar a hipótese de referência produz números sem significado; escreva as duas perguntas condicionais por extenso antes de responder.
• Multiplicar razões sobre evidência correlacionada: a sobreposição de nameserver e a sobreposição de IP do mesmo host são um achado, e tratá-las como dois infla o posterior artificialmente, que é o mesmo erro de dupla contagem do capítulo de fontes.
• Ignorar o prior por falsa neutralidade: começar de 0,50 em toda hipótese não é neutro, é frequentemente generoso demais com explicações raras; a taxa base é informação e descartá-la é viés.
• Usar Bayes para vestir certeza: número com casa decimal não torna o julgamento objetivo, e a apresentação formal deve vir sempre com a fonte do prior e das verossimilhanças.
• Confundir posterior de atribuição com prova jurídica: probabilidade alta sustenta confiança analítica e priorização, e não substitui o padrão de prova exigido por processos formais.
• Atualizar sem arquivar: posterior de hoje substitui o de ontem, e o histórico precisa ser mantido para a calibração; arquivar só o número final destrói a capacidade de aprender com o processo.
• Aplicar Bayes a perguntas mal formuladas: a fórmula exige hipótese e evidência definidas, e perguntas vagas como "o ambiente está seguro" não têm posterior; formule primeiro, calcule depois.
• Trocar a escala verbal sem avisar o consumidor: o "provável" de um relatório com faixa de 55 a 79 não é o "provável" de outro time com faixa de 70 a 90, e mudar de escala em produto circular confunde a calibração de quem consome os dois.

9. Integração com o Restante da Biblioteca

A nota fecha a trinca analítica do capítulo e se conecta para cima e para baixo na biblioteca. Para cima, com as SATs e os vieses, que fornecem o processo qualitativo e o controle de erros que a quantificação pressupõe; um posterior calculado sobre evidência viesada é apenas viés com precisão falsa. Para baixo, com a nota de Vulnerability e Exploit Intelligence, onde EPSS e KEV funcionam como evidências quantificáveis e o posterior de exploração alimenta a janela de risco; e com o TH.5 de priorização de hipóteses, onde a razão de verossimilhança esperada por hora de trabalho é o critério racional para escolher a próxima caça.

No framework da seção 15, o registro de prior, verossimilhanças e posterior alimenta o CTI.7 como rastro de confiança do produto e o CTI.9 de feedback, porque a comparação entre posterior declarado e resultado observado é a métrica de calibração analítica. A régua final desta biblioteca é a mesma dos relatórios maduros de mercado: toda confiança declarada deve poder responder a duas perguntas, qual era o prior e quanto moveu cada evidência.