Hipótese de Caça (Tipos- baseada em inteligência, em TTPs, em anomalias)

Nota 02 do capítulo 06 - Fundamentos de Threat Hunting. Formaliza a hipótese como instrumento central da caça e apresenta a taxonomia completa: inteligência-driven, TTP-driven, anomaly-driven, victim-driven e crown jewels.
Fixa a estrutura SE-ENTÃO adotada pela biblioteca e os critérios de qualidade que separam hipótese testável de curiosidade vagante.
Dialoga com a nota 08 do capítulo 05 (fatos, inferências e pressupostos), com as salvaguardas TH.5, TH.6 e TH.10 do capítulo 15 e com as metodologias do capítulo 07.

1. Contexto e Posicionamento na Biblioteca

A nota 01 definiu a caça como busca dirigida por hipótese; esta nota decompõe o instrumento que dá direção ao esforço. Sem hipótese formal, a equipe consulta dados por curiosidade, produz exploração agradável e não reproduzível, e o programa não consegue explicar ao patrocinador o que foi testado e o que foi encontrado. A hipótese é o que transforma horas de analista em experimento documentado, com borda, critério de fechamento e produto identificável.

O capítulo 05 já preparou o terreno analítico que esta nota aplica ao contexto de caça. A nota 08 separou fatos, inferências, hipóteses e pressupostos; a nota 10 apresentou a Análise de Hipóteses Concorrentes; a nota 12 mapeou os vieses que distorcem julgamento. A hipótese de caça é uma inferência sobre o ambiente que precisa ser testada contra dados, e não um pressuposto a ser defendido. As salvaguardas TH.6 e TH.5 do capítulo 15 formalizam a estrutura SE-ENTÃO e a priorização de um portfólio de hipóteses, e o capítulo 07 mostra como cada metodologia de mercado organiza o mesmo instrumento.

2. O Papel da Hipótese na Caça

A hipótese cumpre quatro funções operacionais que justificam o esforço de formulá-la bem. Ela direciona o esforço, delimitando hosts, janelas e dados, o que impede que a caça vire passeio. Ela permite falsificação, porque define antecipadamente o que conta como não achado, protegendo o analista do viés de confirmação descrito na nota 12 do capítulo 05. Ela viabiliza priorização, porque hipóteses comparáveis entre si podem ser ordenadas por relevância a PIRs, exposição e custo de execução, como define a salvaguarda TH.5. E ela garante reprodutibilidade, porque uma hipótese registrada pode ser reexecutada por outro analista, semanas depois, com o mesmo critério.

Há também uma função organizacional menos visível: a hipótese é a moeda de conversa entre caça, CTI e detecção. A equipe de CTI entrega relatórios; o hunter converte o relatório em hipótese; o engenheiro de detecção recebe o resultado convertido em regra. Sem o artefato intermediário, as três funções conversam por impressões; com ele, conversam por itens testáveis, com identificador, autor e data, que alimentam as métricas do grupo MET do capítulo 15.

3. Taxonomia de Tipos de Hipótese

Não existe um único ponto de partida válido para uma caça, e a taxonomia abaixo cobre as cinco famílias usadas nesta biblioteca. O tipo define onde a hipótese busca inspiração e quais riscos típicos ela carrega:

3.1 Hipóteses Orientadas por Inteligência

A inteligência-driven parte de informação externa ou interna sobre adversários específicos: um relatório do capítulo 05, um feed do MISP, uma campanha como a CLUSTER-2025-041-PHISH usada em toda a biblioteca. O hunter destila do material as TTPs e infraestruturas observáveis e pergunta se o ambiente já as registrou. A força desse tipo é a relevância dirigida aos PIRs, conforme a nota 07 do capítulo 01; o risco é o ciclonismo, caçar a mancha da semana sem filtro de relevância, e o antídoto é exigir que toda hipótese de origem externa cite o PIR ou o bem crítico que justifica gastar o ciclo.

3.2 Hipóteses Orientadas por TTPs

A TTP-driven parte de uma técnica do MITRE ATT&CK, escolhida pelo heatmap de cobertura do grupo MAP, pela relevância aos adversários de referência ou por novidade de campo. A pergunta deixa de ser "temos o ator X?" e passa a ser "se um adversário qualquer usasse T1003.001 hoje, nossos dados mostrariam?". Esse tipo é o motor da caça regular, porque não depende de manchete, e é o que mais contribui para a realimentação do ciclo: cada hipótese testada resulta em detecção nova, pedido de telemetria ou evidência de cobertura, material que o capítulo 18 consome.

3.3 Hipóteses Orientadas por Anomalias

A anomaly-driven parte do desvio em relação ao baseline, e depende por isso da salvaguarda TH.2, que estabelece o comportamento normal do ambiente. O empilhamento de valores raros, o agrupamento de hosts por similaridade e a comparação de um host com seu grupo de pares, técnicas cobertas pelas salvaguardas TH.8 e TH.9, produzem candidatos que precisam ser formalizados em hipótese antes da investigação profunda, sob pena de afogamento estatístico. O erro clássico é investigar a anomalia diretamente; a boa prática é perguntar primeiro por que ela seria plausível para um adversário, e só então gastar o ciclo na investigação.

3.4 Hipóteses Orientadas por Vítima

A victim-driven inverte o eixo: em vez de começar pelo adversário ou pela técnica, começa pela vítima provável, que é o ativo, a identidade ou o usuário de maior valor num dado cenário. A pergunta operacional é "quem toca o ativo crítico, quando e com que padrão?", respondida com telemetria de autenticação, acesso a arquivos e rede centrada no alvo. É o tipo mais adequado quando a inteligência aponta direcionamento, como phishing para o financeiro ou exploração de um fornecedor, e conversa diretamente com o inventário e as baselines do grupo INS do capítulo 15.

3.5 Hipóteses de Crown Jewels

A crown jewels eleva a vítima ao nível do bem de negócio: a lista de preços, o processo de faturamento, o repositório de chaves. A hipótese se formula na perspectiva do adversário, perguntando como o valor seria extraído, movido ou destruído, e depois desenhando os caminhos observáveis que essa extração deixaria nos dados. É o tipo menos frequente e de maior impacto estratégico, porque conecta a caça diretamente à conversa de risco com o executivo, e é o que melhor justifica o programa quando o patrocinador pergunta por que caçar além dos alertas.

4. Estrutura SE-ENTÃO e Anatomia da Hipótese

A biblioteca adota a estrutura SE-ENTÃO formalizada na salvaguarda TH.6, com campos fixos que tornam a hipótese auditável. A condição SE descreve o comportamento esperado do adversário em linguagem observável; a expectativa ENTÃO descreve o que os dados mostrariam se o comportamento ocorresse; e os campos de apoio amarram fonte, dados, janela, critério de fechamento e saídas. O exemplo abaixo formula a hipótese executada no cenário da nota 01:

ID: H-2025-014
Título: Carga entregue por certutil a partir de processo de Office
Tipo: inteligência-driven
Fonte: relatório do cluster CLUSTER-2025-041-PHISH (capítulo 05, nota 01)
Relevância: PIR-02, fraude em contas a pagar via phishing direcionado
SE um host corporativo processou anexo malicioso de e-mail nos últimos 14 dias,
ENTÃO haverá execução de wscript.exe, mshta.exe ou certutil.exe com processo pai
     OUTLOOK.EXE, WINWORD.EXE ou EXCEL.EXE,
DADOS: telemetria de processo do EDR, 14 dias, estações e servidores de arquivo
FALSIFICAÇÃO: zero ocorrências do padrão na janela fecham a hipótese com evidência
SAÍDAS: hosts afetados, linha do tempo, hashes de anexo para o MISP, detecção Sigma

Três escolhas de redação fazem diferença na prática. A condição SE deve descrever comportamento, e não ferramenta, porque "adversário baixa segunda etapa" sobrevive à troca de certutil por curl, enquanto "adversário usa certutil" envelhece junto com o feed. A expectativa ENTÃO deve ser consultável nos dados que a organização realmente coleta, e não nos que gostaria de coletar; se os dados não existem, o primeiro produto da hipótese é um pedido formal ao grupo DAT. E o critério de falsificação deve estar escrito antes da execução, porque critério escrito depois se adapta, sem querer, ao resultado encontrado.

5. Qualidade de uma Boa Hipótese

Os critérios abaixo definem o padrão de qualidade usado na revisão de hipóteses desta biblioteca:

• Testável: existem dados coletados capazes de confirmar ou refutar; se não existem, a hipótese nasce com um pedido de telemetria anexo, e não como execução frustrada.
• Falsificável: o fechamento sem achado é documentável, com consulta executada, janela coberta e parâmetros registrados no caderno de caça.
• Delimitada: escopo de hosts, identidades e tempo explícito; caça sem borda não termina, só esgota o analista.
• Relevante: ligada a um PIR, a um bem crítico ou a uma lacuna de cobertura conhecida do grupo MAP, e não a um medo genérico.
• Focada: uma hipótese por ciclo; hipóteses compostas escondem qual parte foi realmente testada quando o resultado chega ambíguo.
• Registrada: identificador, autor, data e resultado no caderno de caça, condição para reexecução, auditoria e métrica.

A reescrita abaixo mostra a distância entre formulação fraca e formulação forte na prática:

6. Exemplos Formulados por Tipo

O bloco abaixo traz uma hipótese completa por tipo da taxonomia, no formato do caderno de caça adotado pela biblioteca:

hipoteses_exemplo:
  - id: H-2025-021
    tipo: inteligencia-driven
    fonte: relatorio de DLL side-loading de ator focado no setor
    se: adversario carrega DLL de diretorio gravavel pelo usuario usando binario assinado
    entao: eventos Sysmon 7 mostram carregamento de DLL fora do diretorio do proprio binario
    dados: telemetria Sysmon, 30 dias, servidores de aplicacao
    saida: lista de aplicacoes expostas a side-loading e hosts afetados
  - id: H-2025-022
    tipo: ttp-driven
    fonte: lacuna T1003.001 no heatmap de cobertura
    se: processo nao assinado solicita handle de acesso a lsass.exe
    entao: eventos Sysmon 10 com CallTrace suspeito aparecem em estacoes com credencial privilegiada
    dados: Sysmon ProcessAccess, 7 dias
    saida: fechamento da lacuna ou pedido de telemetria para o grupo DAT
  - id: H-2025-023
    tipo: anomaly-driven
    fonte: baseline de DNS da salvaguarda TH.2
    se: host resolve volume anormal de dominios inexistentes
    entao: mediana de NXDOMAIN por hora 10x acima do grupo de pares
    dados: logs de DNS, 30 dias, agregados por host
    saida: shortlist de hosts para investigacao de tunneling DNS
  - id: H-2025-024
    tipo: victim-driven
    fonte: inventario de identidades criticas do grupo INS
    se: conta de servico do ERP grava arquivos fora da janela de processamento
    entao: eventos 4663 de gravacao com a conta fora da janela 22h-04h
    dados: auditoria de objetos, 14 dias
    saida: mapa de uso anormal da identidade critica
  - id: H-2025-025
    tipo: crown-jewels
    fonte: lista de bens criticos revisada com o negocio
    se: tabela de precos sai do dominio por canal nao autorizado
    entao: processos de compressao precedem upload externo na semana de fechamento
    dados: proxy, telemetria de processo e DLP, 60 dias
    saida: rotina permanente de monitoramento do bem critico

Os cinco tipos dividem o mesmo esqueleto de campos, e é isso que torna o portfólio comparável na priorização da salvaguarda TH.5. A comparação exige que custo e relevância falem a mesma língua, e o esqueleto fixo fornece essa língua. O formato também simplifica a auditoria, porque revisor externo consegue verificar, campo a campo, se a execução respeitou o que foi escrito.

7. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com frequência na formulação de hipóteses e têm antídoto conhecido:

• Hipótese-diário: reformular a cada ciclo a mesma intuição vaga de "algo estranho"; antídoto: exigir os campos fixos da seção 4 e registrar no caderno de caça.
• Hipótese por manchete: caçar o ator da semana sem ligação com PIR ou bem crítico; antídoto: campo Relevância obrigatório, citando PIR, cobertura ou crown jewel.
• Pressuposto disfarçado de hipótese: partir de "nosso EDR não deixa nada passar" como fato estabelecido; antídoto: revisar a nota 08 do capítulo 05 e tratar a suposição como testável.
• Busca de confirmação: executar a consulta com disposição de achar; antídoto: escrever o critério de falsificação antes de rodar a primeira consulta.
• Hipótese composta: misturar três comportamentos num só ciclo; antídoto: quebrar em hipóteses filhas com identificador próprio, como demonstra a nota 04.
• Arquivar o não achado como nada: descartar ciclos fechados sem produto; antídoto: todo fechamento gera no mínimo baseline, detecção candidata ou pedido de telemetria.

Um ponto de atenção final é o balanço do portfólio. Operações saudáveis mantêm a maior parte dos ciclos em hipóteses TTP-driven e anomaly-driven, que sustentam cadência sem depender de notícia, reservam as inteligência-driven para campanhas relevantes aos PIRs e usam as victim-driven e crown jewels em ciclos trimestrais focados nos bens críticos. O portfólio 100 por cento inteligência-driven denuncia dependência de feed; o 100 por cento anomaly-driven denuncia ausência de direção, e ambos aparecem na avaliação de maturidade da nota 05 como sinais de desequilíbrio a corrigir.

8. Integração com o Restante da Biblioteca

A hipótese é o elo mecânico entre as duas metades da biblioteca. A montante, ela consome PIRs e relatórios do capítulo 05 e do capítulo 01, e herda da nota 08 do capítulo 05 a disciplina de separar fato de inferência. A jusante, ela alimenta o ciclo da nota 04, as técnicas do capítulo 08 e as ferramentas do capítulo 09, e seus produtos realimentam o detection engineering do capítulo 18. No capítulo 15, as salvaguardas TH.5, TH.6 e TH.10 institucionalizam priorização, estrutura e execução, e a pasta de tipos de caça do grupo 17 mapeia cada tipo desta nota a um formato de execução.

Para o estudante, o exercício recomendado é formular três hipóteses completas para o próprio ambiente de estudo: uma TTP-driven sobre uma técnica sem cobertura no heatmap, uma anomaly-driven sobre um baseline real do laboratório e uma victim-driven sobre a identidade mais valiosa do cenário. Executar a que tiver dados disponíveis e arquivar as três no caderno de caça, com critério de falsificação escrito antes da primeira consulta, fecha o exercício no padrão que o capítulo 07 vai exigir das metodologias.