Análise de Infraestrutura Adversária

Nota do capítulo 05 (Análise e Produção de Inteligência).
Consolida o papel da análise de infraestrutura na produção de inteligência: coleta passiva e ativa com seus riscos, classificação funcional dos ativos, padronização de registro e pivoting disciplinado.
Dialoga com as notas de infraestrutura do capítulo 03 e com o Diamond Model do capítulo 04.

1. Contexto e Posicionamento na Biblioteca

A infraestrutura é o vértice observável por excelência do Diamond Model: enquanto o adversário é inferido e a capacidade é frequentemente extraída tarde, o endereço IP, o domínio, o certificado e o nameserver existem fora do ambiente da vítima e podem ser pesquisados, monitorados e correlacionados. A análise de infraestrutura é, por isso, o motor da inteligência proativa: ela transforma artefatos isolados de um incidente em famílias de ativos, as famílias em campanhas e as campanhas em perfil do adversário, e sustenta a detecção antes do próximo ataque, porque a infraestrutura nova precisa ser registrada, comprada e configurada, e esse esforço tem custo que o adversário prefere não pagar quando pode reutilizar.

As notas do capítulo 03 sobre DNS passivo, certificados, hosting e pivoting cobrem as fontes e as mecânicas de correlação. Esta nota cobre a camada acima delas: como o analista de CTI organiza a coleta sem queimar o acesso, como classifica os ativos por função no ciclo do adversário, como padroniza o registro para que a informação seja comparável entre casos e analistas, e como conduz pivoting com disciplina de contra-inteligência. É a transição da análise de caso para a produção de inteligência com memória de longo prazo.

2. Papel da Análise de Infraestrutura na Produção de Inteligência

Na esteira de produção de inteligência, a análise de infraestrutura ocupa a ponte entre o tático e o operacional. No plano tático, ela gera os indicadores de infraestrutura que alimentam bloqueio e detecção, com todos os cuidados de validade do capítulo 03, porque domínio e IP têm meia-vida curta e a compartilhada de hospedagem infla falsos positivos. No plano operacional, ela sustenta o agrupamento de atividade: o conjunto de ativos co-usados por uma mesma rotina operacional é a unidade que permite falar de campanha, e a sobreposição de infraestrutura entre campanhas é a evidência clássica de continuidade de operador.

No plano estratégico, a infraestrutura revela escolhas econômicas do adversário, e essas escolhas são previsíveis. O perfil de provedores, a geografia dos registros, o custo aparente de hospedagem e o padrão de renovação de domínios dizem o orçamento, o apetite por risco e a disciplina operacional do grupo, e essa leitura alimenta a priorização: um grupo que recicla nameserver dedicado entre campanhas é um grupo em que pivôs de DNS histórico valem ouro, e um grupo que gera infraestrutura descartável por campanha é um grupo em que a detecção precisa estar no comportamento, não no indicador. A leitura econômica também orienta a contra-inteligência, porque onde o adversário gasta é onde ele é mais caro de substituir, e é ali que a denúncia ao provedor ou o takedown derrubam mais operação por esforço investido.

3. Coleta: Passiva, Ativa e os Riscos do Toque Direto

A distinção operacional mais importante é entre coleta passiva e coleta ativa. Na passiva, o analista consulta registros históricos e serviços de terceiros sem que o adversário perceba tráfego originado da equipe: DNS passivo, Certificate Transparency, feeds de reputação, bases de scan público e relatórios de outros pesquisadores. Na ativa, o analista provoca o ativo adversário diretamente, resolvendo o domínio pelo seu resolvedor, acessando a página de phishing, enviando requisição ao painel do C2 ou explorando endpoint aberto para fingerprint. A ativa entrega evidência mais fresca e mais profunda, e cobra em uma moeda que muitas equipes esquecem que tem: a própria capacidade futura de coletar.

Os riscos da coleta ativa se enquadram em três classes. O risco de queima é o adversário aprender a infraestrutura de pesquisa da equipe e adaptar a dele, seja bloqueando a rede da organização, seja servindo página limpa para visitantes suspeitos, e o custo é permanente porque a infraestrutura de pesquisa é cara de renovar. O risco de segurança é a página ou o binário adversário explorar o próprio navegador do analista, e a resposta é ambiente isolado, sem rede corporativa, com browser descartável e interação controlada. O risco jurídico e ético é a interação que ultrapassa consulta, como autenticação em painel alheio, e precisa de regra escrita: a política desta biblioteca é que interação autenticada em infraestrutura adversária é matéria de decisão formal, com registro, e não de iniciativa individual. A prática recomendada é escalar em degraus: passivo primeiro, resolução DNS controlada depois, fetch em sandbox isolado por último, e sempre com registro do que foi tocado, quando e de qual origem.

A rotina mínima de OPSEC de coleta, aplicada por escrito antes do primeiro toque, inclui os itens abaixo.

• Ambiente de pesquisa isolado, sem rota para a rede corporativa, com navegador descartável e captura de tráfego destinada ao registro do caso.
• Origem de resolução DNS e de consulta HTTP separada da origem de coleta passiva, para que um toque ativo não contamine o histórico que a passiva construiu.
• Limites de taxa e de volume definidos por serviço e por ativo, com o objetivo declarado de parecer tráfego plausível de um usuário comum, e não de um scanner.
• Lista explícita do que nunca é feito sem decisão formal, começando por autenticação em painel adversário, execução de payload fora de sandbox e contato com pessoas.
• Registro cronológico do que foi tocado, com horário em UTC, origem e captura associada, para que o caso possa auditar a própria coleta meses depois.

4. Classificação Funcional da Infraestrutura Adversária

Registrar infraestrutura sem função atribuída é acumular lista de IOCs, e a análise começa quando o ativo ganha papel no ciclo do adversário. A classificação funcional padrão desta biblioteca cobre cinco papéis, e o mesmo ativo pode acumular papéis ao longo do tempo, o que é informação valiosa, porque infraestrutura que muda de função costuma marcar transição de fase da campanha.

A função orienta a prioridade de ação e a expectativa de vida do indicador. Infraestrutura de entrega tende a ser descartável e barata, com vida de dias, e serve de gatilho de bloqueio imediato; infraestrutura de C2 tende a ser mais investida, porque trocá-la interrompe operação viva, e serve de âncora de caça; infraestrutura de fallback revelada antes do takedown vale mais que qualquer outra, porque indica onde a operação vai pousar quando cair. A classificação também protege o analista do erro de somar papéis: um endereço IP que hospeda páginas de phishing e responde por C2 é raro e informativo, e a coexistência de funções precisa ser registrada, e não presumida.

A mudança de função ao longo do tempo é também um sinal de fase da operação. O mesmo endereço que serviu staging na semana passada e responde por C2 hoje costuma indicar que a campanha saiu do preparo e entrou em execução, e essa transição é detectável mais cedo que qualquer payload, porque precede o ataque à vítima. Por isso o registro funcional precisa de datas por função, e não apenas da função atual, e a linha do tempo funcional é um dos produtos mais baratos e mais cedo acionáveis da análise de infraestrutura.

5. Padronização de Registro e o Perfil de Infraestrutura

A memória da análise é o registro, e o registro só vira inteligência quando é padronizado. Campos livres em planilhas de analista produzem bases incomparáveis, e o formato de referência desta biblioteca é o perfil estruturado abaixo, que registra ativo, função, fonte, janela de observação, vínculos e grau de confiança. O perfil é a unidade que o grafo do OpenCTI, o caso do MISP e o relatório consumem, e a regra prática é que qualquer informação que não couber no perfil vira anotação de caso, e não conhecimento de longo prazo. A tabela abaixo explica por que cada campo existe, e o custo de omiti-lo.

registro_infraestrutura:
  ativo: dominio fatura-digital[.]top
  funcao: entrega (phishing de credenciais bancarias)
  fonte: gateway de e-mail, analise interna INC-2025-0342
  janela_observada: 2025-03-01 a 2025-03-14
  atributos:
    ip_historico: [203.0.113.66]
    provedor: VPS de baixo custo, ASN 64512
    certificado: emitido em 2025-02-26, tres dias antes do primeiro envio
    nameserver: ns1.registro-barato[.]net
  vinculos:
    - tipo: nameserver compartilhado
      com: campanha INC-2024-0197
      forca: media
    - tipo: template de pagina identico
      com: kit usado em duas campanhas do setor financeiro
      forca: alta
  confianca: alta para funcao, media para vinculo por nameserver
  acoes: bloqueio no gateway, regra de proxy, monitoracao de dominios irmãos

Três convenções sustentam a comparabilidade. Primeira, a janela de observação é obrigatória, porque domínio sem janela não participa de correlação temporal. Segunda, o vínculo carrega força, e a força segue a lógica de raridade da Pirâmide de Dor: vínculo por ASN é rótulo, vínculo por certificado ou template é pista, e o campo de força impede que pivôs fracos virem conclusões fortes. Terceira, a defanging é padrão em todo registro, com colchetes em domínios e endereços, porque a base de conhecimento circula e um registro nítido de domínio ativo em documento compartilhado é um acidente esperando data.

6. Pivoting Disciplinado

O pivoting é a expansão do conhecimento a partir de um ativo conhecido, e as notas do capítulo 03 já cobrem as técnicas por tipo de pivô. A disciplina que esta nota acrescenta é a de processo, porque o pivô é onde a análise mais cresce e também onde mais se contamina. As regras de disciplina são as seguintes.

• Um pivô por vez, com hipótese declarada: antes de expandir, escrever o que se espera encontrar e por que aquele vínculo sustentaria a expansão, porque pivô sem hipótese vira navegação curiosa.
• Avaliar a raridade antes de expandir: ASN, faixa de CDNs e provedores grandes produzem milhares de vizinhos sem informação, e o pivô é escolhido pela raridade do vínculo, e não pela facilidade da consulta.
• Registrar cada pivô executado: qual ativo de origem, qual tipo de vínculo, qual fonte, qual data e o que foi encontrado, de forma que o caminho seja reconstrutível por outro analista.
• Controlar volume e taxa: consultas em rajada a serviços de terceiros e toques em infraestrutura adversária chamam atenção, e o limite de taxa é definido antes, e não depois do primeiro bloqueio.
• Separar as origens de coleta: pivôs passivos saem da rede de pesquisa; toques ativos saem de ambiente isolado dedicado, e misturar as origens contamina a passiva com a assinatura da ativa.
• Fechar com vínculo independente: quando o pivô sugere uma família de ativos, a confirmação exige pelo menos um vínculo de outro tipo, como certificado ou template, porque a cadeia de um único tipo de pivô herda todas as fraquezas daquele tipo.
• Usar o pivô como conclusão: encontrar vizinhos por nameserver compartilhado confirma a existência de correlação, e não de co-autoria, e a diferença entre as duas é o que separa família de ativos de atribuição.

A disciplina vale também no sentido inverso: registrar o pivô que não encontrou nada. O vizinho vazio é informação, porque elimina hipóteses, evita que o próximo caso repita a consulta sem resultado e mede a qualidade real das fontes ao longo do tempo.

7. Exemplo: Perfil de Infraestrutura de um Ator

O exemplo abaixo consolida três registros de caso em um perfil de operador, e o formato é o destino natural da análise: ativos individuais viram padrões, padrões viram previsão e a previsão vira agenda de monitoração. O ator é rotulado com tag interna neutra, porque a atribuição nominal é outro produto e merece o rastro da trinca analítica do capítulo.

perfil_ator:
  tag: TAG-2025-118
  setor_alvo: financeiro e contabilidade, Brasil
  janela_de_atividade: 2024-10 a 2025-03
  padroes_de_infraestrutura:
    entrega:
      padrao: dominios com marca de instituicao + termo de urgencia
      ciclo_de_vida_medio: 9 dias
      certificado: sempre emitido 2 a 4 dias antes do primeiro envio
      signal: monitorar CT por nomes que casam com o regex de marca
    staging:
      padrao: VPS de provedor unico, ASN 64512, reutilizado por 5 campanhas
      signal: ASN e provedor sao ancoras baratas de monitoracao
    c2:
      padrao: subdominios de dois dominios-mae rotativos, HTTPS na porta 443
      janela_beacon: diaria, entre 22h e 02h UTC-3
      signal: regra de proxy por SNI, e nao por IP
  economia_observada:
    orcamento_aparente: baixo, provedor unico e dominios baratos
    disciplina_operacional: media, reutiliza nameserver e template
  implicacoes:
    - takedown do provedor de staging tende a deslocar a operacao por dias
    - deteccao por comportamento de beacon vale mais que lista de dominios
    - dominios-mae sao monitorados com alerta de registro de novos subdominios

A leitura do perfil mostra por que a padronização paga. O padrão de certificado antes do primeiro envio converte uma observação forense em regra antecipatória de monitoração de Certificate Transparency, e a equipe passa a ver a campanha antes do primeiro e-mail. O padrão de beacon por SNI sobrevive à troca de IPs que o adversário faz semanalmente. E a leitura econômica aponta a alavanca de contra-inteligência: um operador com provedor único de staging é um operador cujo custo de relocação é alto, e o reporte formal àquele provedor rende mais dias de silêncio que qualquer lista de bloqueio.

O perfil também tem validade implícita, e o gatilho de revisão desta biblioteca é a troca de qualquer padrão estrutural: novo provedor, novo padrão de entrega ou mudança de janela de beacon reabrem o perfil e reavaliam as implicações. A revisão programada trimestral existe para o caso de nada ter mudado, e o registro de que nada mudou é informação, porque a continuidade de padrão por trimestre é o que sustenta a confiança declarada nos vínculos entre campanhas.

8. Erros Comuns e Pontos de Atenção

• Tratar toda infraestrutura como indicador: IP de CDN e domínio de provedor grande bloqueiam legítimos em escala, e a função e a janela de observação são obrigatórias antes de qualquer ação de bloqueio.
• Ativo sem função e sem janela: registro sem papel no ciclo do adversário e sem período de observação não participa de correlação e infla a base com ruído permanente.
• Pivô por vínculo denso: expandir por ASN ou por TLD produz listas enormes de falsos vizinhos, e o custo de revisão consome o tempo que a avaliação de raridade economizaria.
• Cadeia de um único tipo de pivô: cinco saltos pelo mesmo tipo de vínculo multiplicam a fraqueza do vínculo cinco vezes, e a conclusão exige vínculo independente em algum ponto da cadeia.
• Coleta ativa sem plano: toque direto sem ambiente isolado, sem registro e sem autorização queima acesso, contamina fontes passivas e expõe o analista a payload malicioso.
• Confundir infraestrutura do adversário com infraestrutura vítima: serviço legítimo abusado, como serviço de armazenamento usado para exfiltração, precisa de tratamento diferente, porque o bloqueio acerta o adversário e o legítimo juntos.
• Perfil sem atualização: o adversário muda provedor e rotina, e perfil estático de seis meses gera detecção no comportamento que ele já abandonou; o perfil tem data e revisão programada.
• Atribuição por infraestrutura compartilhada: mesmo provedor, mesmo nameserver comercial ou mesma ferramenta de geração de páginas não são atribuição, e o salto de família de ativos para grupo nominal precisa da trinca analítica das notas anteriores.
• Guardar o perfil só na cabeça do analista: perfil oral morre com a troca da equipe, e o registro estruturado no repositório do caso é o que permite a outra pessoa monitorar os domínios-mãe sem recriar a análise do zero.

9. Integração com o Restante da Biblioteca

Esta nota é o teto arquitetônico das notas técnicas de infraestrutura do capítulo 03, que fornecem as fontes e as mecânicas de cada tipo de pivô, e é o contraponto produtivo do Diamond Model do capítulo 04, que fornece o lugar lógico do vértice de infraestrutura no evento. No fluxo do capítulo 05, o perfil aqui produzido é o insumo que a trinca analítica consome: o ACH avalia hipóteses sobre quem opera a família de ativos, Bayes quantifica a confiança do vínculo e os vieses alertam para a atribuição prematura por compartilhamento. Para o hunting, o perfil alimenta o TH.10 de busca por IOC e IOA e as hipóteses do TH.5, e para a contra-inteligência do capítulo 13, a leitura econômica do perfil aponta as alavancas de takedown e de reporte.

A fronteira que fecha o estudo é a memória: a diferença entre uma equipe que analisa casos e uma equipe que produz inteligência é o que sobra dos casos no conhecimento organizacional, e o perfil padronizado é o formato dessa sobra. Cada incidente encerrado sem perfil de infraestrutura escrito é um adversário que recomeça do zero na próxima campanha, com o custo dele e não o seu.