Ciclo de Caça (Hunt Loop)

Nota 04 do capítulo 06 - Fundamentos de Threat Hunting. Apresenta o hunt loop de quatro etapas: criar hipótese, investigar via ferramenta, descobrir padrões e informar e enriquecer a analítica.
Define iteratividade, critérios de parada e os artefatos que cada ciclo deve produzir, com preview das metodologias TaHiTI, PEAK e OTHF.
Dialoga com a nota 02 (hipótese), com o capítulo 07 (metodologias completas) e com as salvaguardas TH.4, TH.6 a TH.10 e MET.2 do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

As notas anteriores definiram o que é caçar e com que instrumento; esta nota define como o trabalho se organiza no tempo. O hunt loop é o motor repetível da disciplina: um ciclo de quatro etapas que converte uma hipótese da nota 02 em produto verificável, e que por design não encerra em si mesmo, porque toda execução realimenta a próxima. A meta da nota é que o leitor consiga conduzir um ciclo completo e registrá-lo no caderno de caça, competência que o capítulo 07 expande para metodologias organizacionais inteiras.

O capítulo 07 detalha TaHiTI, PEAK, OTHF e outras metodologias de mercado; aqui elas aparecem como variações do mesmo loop, suficientes para escolher por onde aprofundar. A salvaguarda TH.4 do capítulo 15 institucionaliza o processo de hunting como controle, e a MET.2 cobra as métricas do ciclo, de forma que este texto opera como manual de execução entre a governança e a medição. O grupo AUT, mais adiante no capítulo 15, mostra o destino da automação das rotinas que o loop valida.

2. As Quatro Etapas do Hunt Loop

O loop clássico de caça tem quatro etapas, executadas em ordem e revisadas em espiral: criar a hipótese, investigar via ferramenta, descobrir padrões e informar e enriquecer a analítica. A ordem importa, a iteração importa mais: nenhum ciclo real percorre as quatro etapas uma única vez, porque o que se descobre na terceira etapa reformula a consulta da segunda e, às vezes, a própria hipótese da primeira.

2.1 Criar a Hipótese

A etapa inicial formula a hipótese no padrão SE-ENTÃO da nota 02, escolhe o tipo na taxonomia e registra identificador, fonte e relevância no caderno de caça. O time-box típico é de uma a duas horas, e o produto é a hipótese escrita com critério de falsificação, não a consulta pronta. Pular a escrita para "ir direto ao dado" é o atalho mais caro do programa: sem critério escrito antes, o resultado é sempre interpretável a favor de qualquer conclusão.

2.2 Investigar via Ferramenta

A segunda etapa traduz a hipótese em consultas executáveis na plataforma disponível, KQL, SPL, EQL, SQL ou linha de comando, e executa com registro de cada consulta e parâmetro. O hunter pleno começa pelas agregações mais baratas, empilhamentos e contagens, antes de qualquer análise profunda, e mantém versionamento informal das consultas, porque a consulta que fechou a hipótese é produto do ciclo, e não lixo de processo. Ferramentas do capítulo 09 entram aqui como aceleração, não como substitutas do raciocínio.

2.3 Descobrir Padrões

A terceira etapa é analítica: ler o resultado procurando padrão, raridade, cadência e coerência com o baseline da salvaguarda TH.2. É aqui que a ACH do capítulo 05 entra em campo, porque quase todo padrão interessante tem duas explicações concorrentes, a benigna e a hostil, e o ciclo exige testar as duas antes de classificar. O produto pode ser um achado, um padrão normal novo a documentar ou um resultado ambíguo que gera hipótese filha; qualquer um dos três é progresso, desde que registrado.

2.4 Informar e Enriquecer a Analítica

A etapa final fecha o loop convertendo o aprendizado em produto duradouro: detecção nova ou ajustada, baseline documentado, inteligência interna enriquecida no MISP ou OpenCTI, pedido de telemetria ao grupo DAT e, quando o achado é real, caso aberto para a resposta com contexto rico. É também a etapa de disseminação, no espírito da salvaguarda CTI.8: o que o ciclo aprendeu sobre o ambiente vale para o SOC inteiro, e não apenas para o hunter. O ciclo só encerra quando essa realimentação está registrada, e é essa etapa que separa programa de hobby.

3. Iteratividade e Critérios de Parada

O loop é iterativo por natureza, e a iteração sem critério vira espiral infinita. A prática de mercado adota time-box de quatro a oito horas por ciclo, com paradas legítimas definidas antecipadamente:

• Hipótese falsificada: consulta executada, janela coberta e zero achados; o fechamento registra evidência e pode gerar detecção de ausência ou pedido de telemetria.
• Achado confirmado e transferido: padrão validado com segunda fonte, caso aberto na resposta e detecção permanente proposta; o ciclo encerra com referência cruzada ao incidente.
• Hipótese derivada priorizada: o padrão ambíguo abriu pergunta melhor que a original; a hipótese filha entra no portfólio da salvaguarda TH.5 e o ciclo atual encerra com a derivação registrada.
• Telemetria insuficiente: os dados não permitem responder; o ciclo vira pedido formal ao grupo DAT e entra no caderno como hipótese suspensa, não como fracasso.
• Time-box esgotado: o registro captura o estado exato, consultas executadas, achados parciais e próximo passo, para que outro analista retome sem prejuízo.

A regra prática que sustenta a cadência: melhor dez ciclos fechados e registrados por trimestre do que um ciclo perfeito que não termina. A nota 05 vai mostrar que a frequência dos ciclos é dimensão de maturidade por si só, e o grupo MET cobra exatamente essa contagem no painel do programa.

4. Variações de Metodologia: TaHiTI, PEAK e OTHF

O loop de quatro etapas é o vocabulário comum; as metodologias de mercado organizam o mesmo motor com ênfases diferentes. A tabela resume o suficiente para escolher a leitura do capítulo 07:

A leitura correta da tabela é a de escolha adaptável, e não a de fé metodológica. Equipes reais costumam rodar o loop clássico no dia a dia, adotar a disciplina de sprint e triagem do PEAK para a cadência e emprestar do TaHiTI a conexão com o fluxo de resposta quando a caça encontra caso. O capítulo 07 desenvolve cada uma com detalhe suficiente para desenhar o processo documentado que a salvaguarda TH.4 exige na auditoria.

5. Exemplo de Ciclo Completo: Hipótese de C2

O exemplo usa o ambiente de estudo da biblioteca, o mesmo da nota 01, e mostra o loop inteiro em uma hipótese de comando e controle. A etapa 1 formula e registra a hipótese:

ID: H-2025-031
Título: Beacon C2 disfarçado de tráfego HTTPS de processo não-navegador
Tipo: TTP-driven, técnica T1071.001
Relevância: lacuna de cobertura em C2 apontada pelo heatmap do grupo MAP
SE um host corporativo mantém canal C2 por HTTPS com processo não-navegador,
ENTÃO haverá conexões periódicas de um mesmo processo para destino externo
     estável, em cadência regular, com volume baixo e constante,
DADOS: telemetria de rede do EDR e logs de proxy, 14 dias, todas as estações
FALSIFICAÇÃO: nenhum processo não-navegador com periodicidade regular na janela
SAÍDAS: detecção permanente de beacon, enriquecimento de intel, caso se confirmado

A etapa 2 traduz a condição em consulta de agregação, filtrando navegadores para expor os processos que não deveriam falar com a internet em série:

// Etapa 2: consolidar conexoes externas por processo e destino em 14 dias
DeviceNetworkEvents
| where Timestamp > ago(14d) and RemotePort in (80, 443)
| where InitiatingProcessFileName !in~ ("chrome.exe", "msedge.exe", "firefox.exe", "opera.exe")
| summarize Conexoes = count(), Destinos = dcount(RemoteIP),
            Primeira = min(Timestamp), Ultima = max(Timestamp)
    by DeviceName, InitiatingProcessFileName, RemoteIP, RemotePort
| extend DuracaoHoras = (Ultima - Primeira) / 1h, MediaPorHora = Conexoes / DuracaoHoras
| where Conexoes >= 50 and MediaPorHora between (2 .. 12)
| order by Conexoes desc

A etapa 3 testa a periodicidade do candidato que emerge, PC-FIN-114 conversando com 203.0.113.87 a partir de um processo desconhecido, medindo a regularidade que separa beacon de navegação:

// Etapa 3: medir regularidade por hora do par host-destino suspeito
DeviceNetworkEvents
| where Timestamp > ago(14d)
| where DeviceName == "PC-FIN-114" and RemoteIP == "203.0.113.87"
| summarize Contagem = count() by Janela = bin(Timestamp, 1h)
| render timechart

O gráfico mostra picos estáveis a cada hora, assinatura clássica de beacon com jitter baixo, e a ACH roda as explicações concorrentes antes da classificação. Atualização legítima de agente teria cadência parecida, mas o processo pai desconhecido, a ausência do binário no inventário e o destino novo no proxy fecham a classificação como achado provável, elevado à resposta com a linha do tempo da nota 01 como contexto. A etapa 4 fecha o loop com os produtos: detecção Sigma permanente para beacon de processo não-navegador, evento no MISP com o par infraestrutura e técnica, pedido de telemetria de JA3 ao grupo DAT e hipótese filha registrada, H-2025-032, sobre a persistência que sobreviveu à reimagem do host.

6. Artefatos e Métricas do Ciclo

O caderno de caça é o artefato que dá memória ao programa, e a entrada mínima por ciclo segue o formato abaixo:

ciclo:
  id: CICLO-2025-07
  hipotese: H-2025-031
  tipo: ttp-driven
  periodo_dados: 2025-05-01 a 2025-05-15
  time_box: 6 horas
  consultas:
    - kql_beaconing_v1
    - kql_periodicidade_v1
  achados:
    - descricao: beacon de 60 minutos para 203.0.113.87 a partir de PC-FIN-114
      classificacao: verdadeiro positivo provável
      tecnica: T1071.001
  produtos:
    - deteccao sigma: beacon_processo_nao_navegador
    - evento MISP: e-2025-118
    - caso IR: IR-2025-041
  hipoteses_derivadas:
    - id: H-2025-032
      descricao: persistência por tarefa agendada no mesmo host
  status: encerrado com realimentação de detecção

As métricas que o grupo MET cobra sobre os ciclos são contáveis e baratas: hipóteses executadas por período, proporção de ciclos encerrados com produto, taxa de conversão de achado em detecção permanente, hipóteses derivadas por ciclo e cobertura ATT&CK incremental medida no grupo MAP. Nenhuma delas exige plataforma nova; todas exigem o caderno preenchido, e é por isso que o registro é condição de métrica, e não burocracia. O capítulo 11 desenvolve essas métricas com metas e fórmulas.

7. Erros Comuns e Pontos de Atenção

Os erros abaixo atacam o loop nas suas quatro etapas e valem checklist de revisão:

• Pular a etapa final: achado tratado, produto esquecido; o padrão volta a exigir humano no próximo trimestre, e o programa não cresce.
• Time-box indefinido: ciclo que se estende por dias perde cadência e vira projeto paralelo; parar e registrar é preferível a terminar mal.
• Consultas sem registro: a consulta que fechou a hipótese é produto; sem ela, o ciclo não é reexecutável nem auditável.
• Investigar a anomalia sem ACH: classificar pelo primeiro sinal, com a explicação benigna nunca testada, é o modo mais barato de gerar falso positivo caro.
• Trocar de metodologia a cada ciclo: o valor da metodologia está na comparabilidade acumulada; escolha no capítulo 07 e sustente por trimestres.
• Confundir o loop com o processo de resposta: o ciclo encerra na abertura do caso; contenção, forense e erradicação são do grupo RES do capítulo 15.

Um ponto final de atenção é a relação entre o loop e a automação. Todo padrão confirmado num ciclo é candidato a consulta agendada, e a diferença entre maturidade 3 e 4 na nota 05 é exatamente essa conversão em escala. O loop não compete com a automação: ele é a fábrica dela, e o programa maduro mede sucesso pela proporção de ciclos que terminam alimentando detecção ou telemetria, e não pela quantidade de horas de analista gastas por trimestre.

8. Integração com o Restante da Biblioteca

O loop é o mecanismo que move a biblioteca nas duas direções. A montante, consome hipóteses da nota 02, inteligência do capítulo 05 e lacunas do grupo MAP; a jusante, alimenta a detecção do capítulo 18, a resposta do grupo RES e as métricas do grupo MET e do capítulo 11. O capítulo 07 expande o loop em metodologias organizacionais, o capítulo 08 fornece o repertório de técnicas por TTP que abastece a etapa 1, e o capítulo 09 equipa a etapa 2. O capítulo 19 fecha o círculo, usando o loop como instrumento de validação purple team.

Para o estudante, o exercício recomendado é executar o ciclo do C2 no laboratório completo: gerar tráfego periódico de um processo inofensivo, como um script que consulta um endereço local a cada minuto, rodar as duas consultas da seção 5 e preencher o caderno da seção 6 do início ao fim, incluindo hipótese filha. O artefato final, um caderno com ciclo fechado, é a prova mínima de que o programa funciona, e é o padrão que a salvaguarda TH.4 pede quando é auditada.