Perfil do Hunter (Habilidade, Ferramentas)

Nota 03 do capítulo 06 - Fundamentos de Threat Hunting. Desenha o perfil de competências do hunter: habilidades técnicas, analíticas e criativas, e as ferramentas de bolso que sustentam a prática no dia a dia.
Distingue o hunter do analista de SOC e do engenheiro de detecção, e organiza trilhas de aprendizado por senioridade com matriz de competências.
Dialoga com a nota 10 do capítulo 05 (ACH), com a salvaguarda CTI.4 do capítulo 15 (matriz de competências) e com o capítulo 09 (ferramentas).

1. Contexto e Posicionamento na Biblioteca

Caça é função de pessoas antes de ser função de plataforma: a hipótese da nota 02 não se formula sozinha, e o ciclo da nota 04 não roda sem alguém que leia resultado ambíguo e decida o próximo passo. Esta nota responde às perguntas práticas que sustentam o programa: o que o hunter precisa saber, em que ele difere dos papéis vizinhos do SOC, como ele aprende e o que carrega no bolso. A resposta orienta contratação, alocação de tempo e trilha de desenvolvimento, decisões que aparecem na avaliação de maturidade da nota 05 como dimensão de pessoas.

A biblioteca já construiu o instrumental analítico que o hunter consome. A nota 10 do capítulo 05 apresenta a ACH, a nota 12 mapeia vieses cognitivos e a nota 04 ensina relatório; aqui elas entram como competências aplicadas ao contexto de caça, e não como teoria repetida. A matriz de competências da salvaguarda CTI.4, no capítulo 15, é o instrumento de governança que transforma o perfil desta nota em inventário auditável de equipe, e a salvaguarda CTI.3 formaliza os papéis que a seção 2 distingue.

2. Hunter, Analista de SOC e Engenheiro de Detecção

Os três papéis compartilham telemetria e frequentemente compartilham pessoa em equipes pequenas, e é justamente por isso que a distinção importa: quando um papel é assumido, o que some é o outro. A tabela separa as funções pelo que fazem no dia:

Equipes pequenas operam com uma pessoa usando os três chapéus em blocos de tempo distintos, e isso funciona desde que os blocos sejam explícitos no calendário. O erro comum é deixar o chapéu de hunter para as sobras do dia: a fila sempre ganha, e a caça vira retórica. A nota 05 mostra que a diferença entre maturidade 1 e 2 não é talento, é tempo alocado e cadência, e a salvaguarda CTI.3 do capítulo 15 formaliza papéis e responsabilidades para esse arranjo.

3. Competências Técnicas

3.1 Consulta e Manipulação de Dados

A competência nuclear do hunter é conversar com dados em volume: fluência em ao menos uma linguagem de consulta de logs, como KQL no Microsoft Defender, SPL no Splunk, EQL no Elastic ou SQL no Velociraptor, com domínio de agregação, empilhamento, junções e janelas temporais. O hunter pleno escreve consultas que respondem a perguntas inversas, contando o que é normal para isolar o raro, e sabe ler o esquema por trás do dado, distinguindo o que o log registra do que o log omite. Ferramentas de linha como jq para JSON e um pouco de Python para estatística simples completam o conjunto, e o capítulo 09 detalha as plataformas em profundidade. A tabela abaixo posiciona as linguagens principais e o que cada uma oferece de diferencial para caça:

A escolha prática é dominar uma linguagem até a fluência e manter leitura nas demais, porque a hipótese não escolhe plataforma, e o dado raro costuma estar justamente na fonte que o hunter menos usa.

3.2 Sistemas e Endpoint

Caça de endpoint exige leitura fluida do que os sistemas registram, e o repertório de eventos é o alfabeto dessa leitura. A tabela consolida as fontes essenciais:

O hunter não decora tudo: sabe onde procurar o que faltou. Mecanismos de persistência em RunKeys, serviços e tarefas agendadas, mecanismos de execução lateral como WMI e DCOM e o comportamento de ferramentas administrativas legítimas fazem parte do repertório, porque a maior parte da caça de endpoint consiste em distinguir uso administrativo de abuso do mesmo mecanismo.

3.3 Rede

A competência de rede do hunter é a de inferir comportamento sem ver conteúdo, porque a maior parte do tráfego relevante está criptografada. Ler logs de Zeek como conn, dns, http e ssl, interpretar NetFlow e reconhecer padrões de beaconing, tunneling de DNS e uso anômalo de TLS, incluindo impressões como JA3 e JA4 quando disponíveis, formam o conjunto essencial. Tráfego criptografado não é tráfego invisível: SNI, certificado, tamanho e cadência de pacotes sustentam hipóteses inteiras de C2, como demonstra a nota 04. A caça de rede conversa com a de endpoint na mão dupla, com a cadeia de processo explicando a conexão e a conexão priorizando a cadeia.

3.4 Comportamento Adversário e ATT&CK

O hunter precisa navegar o MITRE ATT&CK com naturalidade, mapeando achados a técnicas e técnicas a dados necessários, e usar a Pirâmide de Dor do capítulo 04 para entender por que caçar comportamento vale mais que caçar hash. A leitura regular de relatórios de CTI, com destilação de TTPs conforme o capítulo 05, mantém o repertório de comportamentos atualizado, e a familiaridade com emulação, via Atomic Red Team ou Caldera do capítulo 15, permite validar no laboratório o que os dados do ambiente deveriam mostrar.

3.5 Identidade e Nuvem

A caça moderna cruza identidade com tudo o mais, e o hunter precisa ler logs de autenticação com naturalidade: eventos 4624 com tipo de logon, falhas em sequência, acesso a serviços como WinRM e SMB, e padrões de contas de serviço versus contas humanas. Em nuvem, o mínimo é interpretar telemetria de assinatura única, atividades de chave de API e mudanças de configuração nos principais provedores usados pela organização. O detalhamento por plataforma fica para o capítulo 26; aqui importa a competência de perguntar "que identidade fez isso, e ela faz isso sempre?" em qualquer fonte de dado.

4. Competências Analíticas e Criativas

4.1 Camada Analítica

A camada analítica separa o hunter que executa consultas do hunter que investiga. Pensamento crítico aplicado significa tratar cada resultado como hipótese concorrente e não como conclusão, aplicando ACH quando dois comportamentos explicam o mesmo dado, e explicitando pressupostos antes que eles decidam sozinhos. O controle de vieses é rotina operacional, não literatura: viés de confirmação na caça que "sabia" que o host estava comprometido, ancoragem no primeiro IOC encontrado e excesso de confiança na ferramenta são os três mais frequentes na prática, e a nota 12 do capítulo 05 dá o vocabulário para nomeá-los em revisão por pares.

4.2 Camada Criativa

A camada criativa é menos mística do que parece e se treina com restrições. Perguntas do tipo "como exfiltraria este arquivo usando apenas ferramentas nativas?" ou "onde esconderia persistência que sobrevivesse a reimagem da estação?" produzem hipóteses concretas, e o hábito de ler relatórios perguntando "como isso apareceria nos nossos logs?" converte leitura em repertório. Fecha o perfil a competência de escrita: a caça que não vira relatório compreensível, no padrão da nota 04 do capítulo 05, não gera decisão, e decisão é o produto final do programa.

5. Trilhas de Aprendizado por Senioridade

As trilhas abaixo organizam a evolução do perfil em três estágios, cada um com objetivo verificável:

• Fundação, tipicamente o primeiro ano: linha de comando Windows e Linux, uma linguagem de consulta com prática real, visão geral do ATT&CK e laboratório próprio com Sysmon e SIEM de avaliação recebendo os logs; o objetivo é formar o analista que lê linha do tempo de processo sem se perder.
• Consolidação, do primeiro ao terceiro ano: empilhamento e agrupamento como técnicas de rotina, Sigma escrita do zero, DeTT&CT para mapear cobertura, caças guiadas com emulação do Atomic Red Team e participação na conversa interna de CTI; o objetivo é formar o hunter que executa o ciclo completo da nota 04 com supervisão leve.
• Especialização, a partir do terceiro ano: desenho de campanhas de caça alinhadas a PIRs, liderança de ciclos e revisão por pares, realimentação sistemática da detecção, mentoria de hunters juniores e contribuição com conteúdo comunitário, como regras Sigma públicas; o objetivo é formar o profissional que sustenta o programa e o explica ao executivo, no padrão da salvaguarda CTI.5.

Três fontes de prática aceleram qualquer uma das trilhas e custam pouco além de tempo. O laboratório próprio, com Sysmon, Zeek e SIEM de avaliação recebendo telemetria real de máquinas de uso diário, é onde o hunter aprende o que o dado realmente registra, e não o que a documentação promete. As caças guiadas públicas, em conteúdo de comunidade e em emulações do Atomic Red Team, oferecem hipóteses prontas para treinar o ciclo completo com resultado conhecido. E a rotina de reescrever relatórios de CTI como hipóteses da nota 02 treina a destilação que conecta inteligência a consulta, competência rara e valiosa em entrevista.

Cabe uma nota sobre certificações, que aparecem sempre na conversa de trilha. Certificado é útil como mapa de conteúdo e sinal inicial em contratação júnior, mas nenhuma prova de múltipla escolha mede formulação de hipótese, disciplina de caderno ou leitura de linha do tempo ambígua. O registro que sustenta senioridade nesta biblioteca é o portfólio de ciclos: cadernos de caça com hipóteses fechadas, detecções nascidas de caça e revisões por pares documentadas, porque essas evidências são auditáveis e transferíveis entre organizações.

6. Ferramentas de Bolso do Hunter

O kit mínimo do hunter cobre consulta, coleta, conteúdo e colaboração:

• Consulta: KQL no Microsoft Defender, SPL no Splunk, EQL no Elastic e SQL no Velociraptor; o domínio de uma linguagem transfere-se às demais em semanas de prática.
• Endpoint: Velociraptor para coleta e hunting em escala, osquery para interrogatório SQL de hosts, Sysmon como telemetria de referência e resposta ao vivo do EDR para investigação pontual.
• Rede: Zeek para metadados, Suricata para assinaturas, Wireshark para mergulho em PCAP e Arkime para sessão em escala.
• Conteúdo: Sigma como formato de detecção portável, YARA para artefatos e memória, Atomic Red Team para emulação e DeTT&CT para mapa de cobertura.
• Colaboração: MISP e OpenCTI para inteligência e Jupyter para estatística quando o empilhamento simples não basta.

A ferramenta certa é a que o hunter já domina quando a hipótese chega: trocar de plataforma no meio do ciclo custa mais do que qualquer ganho de recurso. O capítulo 09 se dedica a avaliar e integrar essas ferramentas em programa; aqui elas importam como instrumentos do ofício, e a regra prática é manter o kit pequeno e dominado, com uma novidade por trimestre no máximo.

7. Matriz de Competências por Senioridade

A matriz abaixo operacionaliza o perfil para avaliação e plano de desenvolvimento individual:

A matriz serve a dois usos com frequência desigual. Para a gestão, ela vira inventário de equipe na salvaguarda CTI.4, expondo pontos únicos de falha, como a única pessoa que domina Velociraptor. Para o indivíduo, ela vira plano de trimestre: escolher uma competência, definir evidência de avanço e revisar em noventa dias, no mesmo padrão de evidência que o capítulo 15 exige das salvaguardas.

Em contratação e avaliação, a matriz vira roteiro de exercícios práticos no lugar de entrevista teórica:

Exercícios de avaliação de hunter, dois dias de painel:
- Empilhamento guiado sobre dataset simulado de duas horas, com hipótese dada
- Revisão de hipótese escrita pelo candidato, avaliando escopo e falsificação
- Leitura de linha do tempo de processo e apontamento do momento hostil
- Redação de relatório de caça de uma página a partir de achado fictício

8. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem em montagem e evolução de equipes de caça:

• Contratar por ferramenta: exigir anos de uma plataforma específica filtra por currículo de fornecedor, e não por ofício; a competência de consulta migra entre linguagens.
• Promover analista de triagem sem trilha: senioridade em fila de alerta não transfere automaticamente para hipótese; sem a trilha da seção 5, a promoção frustra os dois lados.
• Hunter único e heróico: ponto único de falha humano; a matriz da seção 7 existe justamente para expor redundância ausente.
• Trilha só de curso: certificado sem laboratório não forma hunter; evidência de aprendizado é caça executada e registrada, não folha de presença.
• Ignorar a escrita: hunter que não documenta encerra o valor no próprio console, e o programa perde o produto que sustenta o patrocínio.
• Confundir senioridade com sofisticação de ferramenta: o diferencial do sênior está na qualidade da pergunta e da formulação, e não no número de plataformas que opera.
• Avaliar competência por entrevista de teoria: perguntas de memória selecionam leitores, e não hunters; painel com exercício real de empilhamento sobre dataset simulado revela o ofício em quarenta minutos.

Um ponto final de atenção é a relação entre perfil e fase do programa. Nos níveis iniciais de maturidade, o perfil mais valioso é o generalista que documenta e cria rotina; nos níveis 3 e 4, a especialização em análise e engenharia passa a valer mais, porque o gargalo muda de cadência para conversão de achado em detecção. Contratar o perfil do nível 4 para um programa de nível 1 gera frustração rápida, e é por isso que esta nota e a nota 05 devem ser lidas em par.

9. Integração com o Restante da Biblioteca

Esta nota conecta a dimensão humana do capítulo 06 ao resto da biblioteca. A montante, consome o repertório analítico do capítulo 05, em especial ACH e vieses, e a definição de papéis da salvaguarda CTI.3. A jusante, prepara a execução do ciclo da nota 04, o uso das ferramentas do capítulo 09, as técnicas por TTP do capítulo 08 e a automação do capítulo 18, que é o destino natural de parte da competência de engenharia do hunter. A matriz desta nota alimenta o inventário de competências da CTI.4, e as métricas de pessoas apoiadas no grupo MET mostram ao patrocinador que o investimento em trilha tem produto.

Para o estudante, o exercício recomendado é a autoavaliação honesta na matriz da seção 7, com evidência por célula: qual consulta recente prova o nível declarado em consulta de dados, qual caça registrada prova o nível em ATT&CK. O plano de trimestre que sai dessa autoavaliação, com uma competência e uma evidência de avanço, é o mesmo formato que a nota 05 pede na dimensão de pessoas, e fecha o alinhamento entre perfil individual e maturidade do programa.