Maturidade em Threat Hunting (Níveis 0 a 4)

Nota 05 do capítulo 06 - Fundamentos de Threat Hunting. Apresenta o Hunting Maturity Model de níveis 0 a 4, com descrição detalhada de cada nível, dimensões de avaliação e plano de progressão entre patamares.
Fecha o capítulo conectando maturidade de caça a maturidade de coleta e detecção, e às salvaguardas HNT e MET do capítulo 15.
Dialoga com a nota 05 do capítulo 01 (maturidade em CTI), com a salvaguarda GOV.06 e com o grupo DAT do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

O capítulo 06 terminou de definir o quê e o como da caça; esta nota responde aonde a organização está e o que falta para o próximo patamar. Todo programa de caça tem um nível real, declarado ou não, e a diferença entre os níveis não é orçamento, é o uso que se faz dos dados que já existem. O diagnóstico explícito evita os dois erros simétricos de planejamento: cobrar caça de nível 3 de uma operação que ainda não tem telemetria, e eternizar um programa de nível 1 achando que plataforma nova resolve.

A nota espelha, no lado do hunting, o trabalho que a nota 05 do capítulo 01 fez para CTI: modelo de referência, níveis descritos com evidência, avaliação honesta e plano de progressão. As salvaguardas do grupo HNT do capítulo 15 são o conteúdo do próximo nível de cada organização, e o grupo MET fornece as métricas que provam a progressão. A leitura recomendada é em par com aquela nota do capítulo 01, porque maturidade de CTI e de caça avançam juntas ou nenhuma das duas avança.

2. O Hunting Maturity Model

O modelo de referência desta biblioteca é o Hunting Maturity Model, HMM, divulgado por David J. Bianco, que ordena programas em cinco patamares, de HM0 a HM4, pelo critério central de como a organização usa seus dados para caçar. A força do modelo está na simplicidade: ele não mede ferramentas, certificações nem tamanho de equipe, mede o processo analítico, e por isso resiste ao marketing que infla outros modelos. A escala curta, com um único eixo, tem custo conhecido: não separa dimensões, e é por isso que a seção 4 adiciona as dimensões de dados, frequência, automação e pessoas como lente de avaliação.

O HMM conversa com os demais modelos da biblioteca sem competir com eles. O modelo de maturidade CTH da salvaguarda GOV.06, com cinco níveis e salvaguardas associadas, é a versão institucional que audita a esteira inteira; o CTI-CMM citado no capítulo 01 cobre a metade de inteligência; o HMM cobre a metade de caça. Programas que reportam ao executivo usam a escala do GOV.06 como linguagem oficial e o HMM como diagnóstico técnico do componente de hunting, e essa camada dupla evita a confusão comum de medir coisas diferentes com números iguais.

3. Os Níveis 0 a 4 em Detalhe

A tabela resume os cinco níveis; as subseções descrevem cada um com sinais observáveis, limite estrutural e o passo que o tira do lugar:

3.1 Nível HM0, Inicial

No HM0 a organização confia exclusivamente em alertas e não mantém qualquer processo de busca ativa; caça acontece por acidente, quando a triagem aprofunda um alerta por curiosidade. A telemetria costuma ser esparça, com logs de firewall e antivírus no SIEM e pouco mais, e a premissa operacional implícita é que o que não alerta não existe. O limite é de dado e de postura ao mesmo tempo: não há o que caçar com profundidade nem há permissão cultural para duvidar dos controles. O passo de saída não é comprar ferramenta, é mapear os dados disponíveis na salvaguarda TH.1 e executar a primeira caça por IOC, porque movimento gera mais dado que planejamento.

3.2 Nível HM1, Mínimo

No HM1 a organização caça, mas de forma ad hoc e reativa às manchetes: aparece um IOC público, alguém executa a consulta no SIEM, eventualmente encontra algo e nada do esforço sobrevive à semana. As buscas são pontuais, manuais e por indicadores de baixo custo na Pirâmide de Dor, e o histórico morre no console de quem executou. O limite do nível é a ausência de memória e de rotina: cada caça recomeça do zero, e a organização não consegue dizer quantas caçadas fez no ano. Sinais observáveis do patamar:

• Consultas por IOC executadas a partir de feeds e manchetes, sem hipótese formal registrada.
• Resultados discutidos por mensagem direta e não arquivados em lugar consultável.
• Frequência irregular, com picos após publicações de risco e silêncio nos meses tranquilos.

O passo de saída é registrar: caderno de caça simples, com hipótese, consulta e resultado, e cadência mínima acordada, mensal se for o possível.

3.3 Nível HM2, Procedural

No HM2 a caça ganha processo: rotinas de análise de dados documentadas, execução além de IOC, com agregações, estatísticas e comparações contra baselines da salvaguarda TH.2, e cadência estabelecida com dono e time-box. O programa já produz valor recorrente, encurta o caminho entre raridade e investigação e alimenta o SOC com descrições do comportamento normal que melhoram a triagem. Sinais observáveis do patamar:

• Cadência acordada respeitada por pelo menos um trimestre completo, com time-box e dono por ciclo.
• Caderno de caça em uso contínuo, com hipótese, consultas e fechamento registrados para cada ciclo.
• Pelo menos três rotinas de análise documentadas e reexecutáveis por outro analista.

O limite estrutural é que as rotinas são conhecidas e repetidas: o programa executa bem o que já sabe caçar, e não cria análise nova por conta própria. O passo de saída é a criação de rotinas próprias a partir de TTPs, com o ATT&CK como roteiro de lacunas, e a realimentação deliberada da detecção.

3.4 Nível HM3, Criativo

No HM3 o programa caça comportamento e cria rotinas analíticas novas: as hipóteses da nota 02 cobrem todos os tipos, o heatmap do grupo MAP direciona as lacunas e cada ciclo da nota 04 termina com produto duradouro, seja detecção nova, telemetria pedida ou inteligência interna enriquecida. É o nível em que a caça vira fonte de detecção, e não apenas consumidora, e em que a conversa com CTI e detecção é institucionalizada, no padrão do capítulo 10. Sinais observáveis do patamar:

• Hipóteses de todos os tipos da nota 02 circulando no portfólio, com priorização registrada.
• Detecções e inteligência interna novas originadas de caça em cada trimestre, com autoria e data.
• Lacunas de cobertura ATT&CK perseguidas por decisão, e não por acaso.

O limite é operacional: as rotinas criadas dependem de humano para executar, e o volume de hipóteses boas excede a capacidade de rodá-las. O passo de saída é a automação do que já validou valor.

3.5 Nível HM4, Líder

No HM4 as rotinas que provaram valor viram consultas agendadas e detecções permanentes, e o programa opera em caça contínua: as análises automatizadas triam o volume, e os humanos formulam hipóteses novas, investigam os desvios que a automação escala e realimentam o ciclo. As métricas do grupo MET são nativas do processo, porque caderno e agendamento são a mesma fonte, e o programa mede sucesso por conversão de achado em detecção e por cobertura ATT&CK crescente. Sinais observáveis do patamar:

• Consultas agendadas cobrindo as rotinas de maior valor, com triagem automática de desvios.
• Detecções novas de origem em caça por trimestre, medida no grupo MET e reportada ao patrocinador.
• Equipe com redundância, revisão por pares e trilha de formação, conforme a nota 03.

O nível não é utópico: exige, na prática, um time pequeno com engenharia e disciplina de caderno, e é o destino natural do programa que sustenta o loop da nota 04 por alguns anos.

4. Dimensões de Avaliação

O nível único do HMM esconde gargalos, e as quatro dimensões abaixo abrem o diagnóstico. A leitura por dimensão quase sempre revela desalinhamento, e o desalinhamento, não a média, define o plano:

Três padrões de desalinhamento merecem atenção na leitura. Dados de nível 3 com frequência de nível 1 indica programa de papel, com telemetria comprada e cadência não institucionalizada. Frequência de nível 3 com dados de nível 1 indica esforço admirável com teto baixo, e o investimento correto é no grupo DAT, não em mais horas de analista. Automação de nível 4 sobre processo de nível 2 costuma significar alertas automatizados de baselines rígidos, que geram ruído em escala, e a correção é voltar à qualidade analítica antes de automatizar mais.

5. Como Avaliar a Organização

A avaliação séria combina três evidências: artefatos observados, caderno de caça e conversa com quem tria alerta. O checklist abaixo, no formato da nota 05 do capítulo 01, registra a avaliação anual e torna os anos comparáveis:

avaliacao_maturidade_th:
  data: 2025-06-30
  avaliador: lider de hunting com revisao do CISO
  dados:
    telemetria_edr: [1-4, "alta", "EDR em todas as estacoes e servidores"]
    dns_e_proxy: [1-4, "parcial", "proxy centralizado, DNS apenas no site principal"]
    identidade: [1-4, "alta", "logs de autenticacao centralizados"]
    normalizacao: [1-4, "baixa", "esquemas divergentes por fonte"]
  frequencia:
    cadencia_formal: [1-4, "parcial", "mensal no papel, bimestral na prática"]
    time_box_e_dono: [1-4, "sim", "6 horas por ciclo, hunter designado"]
  automacao:
    consultas_agendadas: [1-4, "nao", "nenhuma consulta em agendamento"]
    realimentacao_deteccao: [1-4, "manual", "2 Sigma criadas no semestre a partir de caças"]
  pessoas:
    hunters_com_tempo_alocado: [1-4, "parcial", "1 hunter em 20 por cento do tempo"]
    trilha_e_redundancia: [1-4, "nao", "sem trilha formal; ponto único de falha"]
  resultado:
    nivel_conservador: 2
    justificativa: rotinas existem e há cadência parcial, sem criação de rotina nova nem automação
    gargalos: [normalizacao_de_dados, consultas_agendadas, tempo_alocado]

As regras de honestidade valem as mesmas da nota de CTI: pior caso por dimensão quando a evidência for mista, evidência de artefato em vez de declaração e registro com data e avaliador para comparação anual. A pergunta que corrige mais autodeclaração inflada é simples: mostre o caderno de caça dos últimos três meses. Caderno vazio fecha a discussão de nível com rapidez educada, e caderno cheio, com hipóteses e produtos, sustenta o nível declarado sem argumento retórico.

6. Plano de Progressão Entre Níveis

A progressão entre níveis é sequencial, e o passo de cada transição tem evidência de conclusão verificável:

• HM0 para HM1: inventário de dados da salvaguarda TH.1 concluído, primeira caça por IOC executada e registrada no caderno e caça mensal acordada com a liderança do SOC.
• HM1 para HM2: caderno de caça em uso contínuo, três rotinas de análise documentadas e reexecutáveis, baselines iniciais da TH.2 publicados e cadência com dono e time-box respeitada por um trimestre.
• HM2 para HM3: portfólio de hipóteses da nota 02 operando com os cinco tipos, heatmap do grupo MAP direcionando lacunas e cada ciclo encerrando com produto, seja detecção candidata, telemetria pedida ou intel interna.
• HM3 para HM4: consultas validadas convertidas em agendamento, triagem automática dos desvios, revisão humana focada em hipótese nova e métricas do grupo MET nascendo do próprio caderno.

O plano também declara o que o programa não fará no ciclo, porque capacidade finita é regra. Um programa de nível 1 com um hunter em 20 por cento do tempo deve registrar formalmente que automação e caça de crown jewels ficam para ciclos futuros, e comunicar a fronteira ao patrocinador, no mesmo padrão da nota 05 do capítulo 01. Salto de nível é possível em papel e raro em evidência, e o plano honesto trabalha um degrau por ano com produtos que a MET.2 consiga cobrar na auditoria.

7. Relação com Maturidade de Coleta e Detecção

Maturidade de caça tem teto dado pela coleta: sem telemetria de processo, rede e identidade centralizadas e normalizadas, hipótese boa morre na primeira consulta. O grupo DAT do capítulo 15 e a salvaguarda TH.1 definem essa base, e a ordem de investimento em programas reais é invariável: primeiro a coleta que responde às perguntas das hipóteses priorizadas, depois a análise, depois a automação. O mesmo autor do HMM propôs também um modelo de maturidade de gerenciamento de coleta, com patamares de nenhum a abrangente, e a leitura conjunta dos dois modelos é a prática mais útil desta seção: caça de nível 3 exige coleta de pelo menos patamar intermediário, com fontes catalogadas e retenção suficiente para janelas de 30 dias. O erro inverso, comprar telemetria sem pergunta analítica, também existe e produz o arquivo morto de logs caros que ninguém consulta, e é por isso que o plano de coleta deve nascer das hipóteses, e não do catálogo de produtos.

A relação com a detecção é simbiótica e mede a saúde do programa. Caça de nível 3 e 4 é a principal fornecedora de detecções comportamentais do capítulo 18, e a ausência de detecções novas originadas de caça, visível na métrica de conversão, é o sintoma mais confiável de programa estagnado em nível 2. O resultado final da esteira aparece no dwell time do grupo RES: coleta que responde, caça que pergunta e detecção que lembra são os três elos que encurtam o tempo de residência do adversário, e a avaliação de maturidade das três funções deve sempre ser lida em conjunto.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo distorcem diagnósticos e planos de maturidade de caça:

• Autodeclaração por ferramenta: plataforma avançada não muda nível; processo analítico muda, e o caderno de caça é a prova.
• Saltar níveis: planejar automação sem rotina validada produz alertas de ruído em escala, e o programa perde credibilidade com o SOC.
• Caça como projeto de inovação: sem cadência e dono, o programa vira demonstração trimestral e morre na primeira crise de orçamento.
• Medir só achados: pressão por incidente encontrado infla classificações e deseduca o ciclo; conversão em detecção e cobertura são as métricas honestas.
• Copiar o nível alvo de outra organização: porte, setor e apetite de risco definem o patamar adequado, e nível 3 sustentado vale mais que nível 4 declamado.
• Avaliar caça isolada da esteira: coleta cega e detecção parada limitam qualquer nível declarado, e a leitura conjunta com DAT, detecção e RES é obrigatória.

Um ponto final de atenção é o custo real da transição 3 para 4, que é o mais caro da escala e o mais mal estimado. Automatizar rotina validada exige engenharia de consulta, gestão de falsos positivos em escala e manutenção contínua, e a organização que não tem detection engineering do capítulo 18 deve tratar a transição como projeto de dois anos, e não como configuração de plataforma. O caminho intermédio honesto é automatizar as dez rotinas de maior valor e manter o resto no ciclo humano, com métrica comparando o custo por detecção gerada em cada modo.

9. Integração com o Restante da Biblioteca

Esta nota fecha o capítulo 06 e conecta a metade de fundamentos do hunting à operação. A nota 01 deu o conceito, a nota 02 o instrumento, a nota 03 as pessoas e a nota 04 o processo; esta nota mede o conjunto e aponta o próximo degrau. A jusante, o capítulo 07 organiza metodologias completas, o capítulo 08 fornece técnicas por TTP e o capítulo 09 as ferramentas; no capítulo 15, o grupo HNT é o conteúdo do próximo nível, o grupo MET cobra a progressão e a salvaguarda GOV.06 encaixa o diagnóstico na governança da esteira inteira.

Para o estudante, o exercício de fechamento é aplicar o checklist da seção 5 ao próprio ambiente de estudo ou de trabalho, redigir o plano de progressão de um degrau com evidências de conclusão e cruzar o resultado com a autoavaliação de perfil da nota 03 e com o diagnóstico de maturidade de CTI do capítulo 01. O artefato final, um plano de um degrau com prazo, dono e evidência, é o documento que sobrevive à troca de patrocinador, e é o padrão de entrega que a biblioteca adota do capítulo 01 ao capítulo 27.