Documentação de Descobertas

Nota 05 do capítulo 07 (Processo e Metodologias de Hunting), fechando cada caça com um registro que sobrevive à memória de quem a executou.
Define o que documentar, entrega o template de relato de hunting, e cobre a conversão do achado em detecção e em novo requisito de coleta, além da biblioteca de caças como ativo institucional.
Consome o plano da nota 01, o log de execução da nota 04, e entrega detecções ao capítulo 18 e requisitos de coleta ao capítulo 02.

1. Contexto e Posicionamento na Biblioteca

Uma caça que não é documentada se pergunta por que existiu: não pode ser repetida, não pode ser auditada, não alimenta métrica e não protege a organização quando o mesmo adversário volta. A documentação de descobertas é o passo que converte horas de execução em patrimônio institucional, e por isso a biblioteca a trata como etapa obrigatória do processo, e não como boa prática recomendada. O relato de hunting é o contrato final da caça: ele registra o que foi testado, o que foi visto, o que não pôde ser visto e o que a operação ganhou com o exercício, mesmo quando o resultado é a refutação de uma hipótese.

Na biblioteca, a nota consome diretamente o plano preenchido da nota 01 e o log de caça da nota 04, e produz três saídas com destino formal: a detecção candidata que segue ao capítulo 18, o requisito de coleta que segue ao capítulo 02, e a hipótese filha que retorna ao backlog da nota 02. Dialoga com os relatórios de inteligência do capítulo 05, porque compartilham a lógica de produto com público e finalidade, e com os KPIs de hunting do capítulo 15, que medem exatamente o que esta nota registra, e sem ela nada medem.

2. O Que Documentar: Achado, Evidência, Hipótese, Dados e Lacunas

O relato responde a cinco perguntas, e cada uma tem conteúdo mínimo obrigatório. Sobre o achado: o que foi encontrado, ou que a hipótese foi refutada, descrito em comportamento e não em opinião, com técnica ATT&CK quando aplicável. Sobre a evidência: as consultas executadas, com identificador versionado, e as capturas ou extratos que sustentam o julgamento, suficientes para outra pessoa reproduzir o caminho. Sobre a hipótese: a formulação SE-ENTÃO original e sua proveniência, porque o valor do achado depende de onde a pergunta nasceu.

Sobre os dados: as fontes consultadas, a janela temporal efetiva, a cobertura verificada e a normalização assumida, porque um achado sem contexto de dados não pode ser calibrado nem repetido. Sobre as lacunas: o que a caça descobriu que não consegue ver, registrado no formato da nota 03 com técnica, fonte esperada, ausência e impacto. A lista abaixo fixa o mínimo obrigatório, e o que estiver fora dela é complemento à discrição do hunter, nunca substituto.

• Achado ou refutação descrita em comportamento observável, com técnica ATT&CK associada e julgamento de severidade provisório.
• Evidência reproduzível: consultas versionadas, parâmetros usados, janela consultada e extratos que sustentam a decisão de classificação.
• Hipótese original com proveniência, e hipóteses filhas geradas por bifurcação durante a execução, com vínculo ao backlog.
• Dados usados: fontes, campos, retenção real encontrada e cobertura verificada por amostragem antes das refutações.
• Lacunas de coleta registradas no formato da nota 03, com ação sugerida e prioridade provisória.
• Desdobramentos: detecção candidata, requisito de coleta, atualização de baseline e itens de intel produzidos, cada um com destino e responsável.

O vocabulário de confiança e incerteza do capítulo 05 se aplica ao relato de caça sem adaptação. O achado declarado com confiança alta precisa de evidência direta e verificável; o achado por inferência pede explicitação das premissas; e a refutação provisória declara as condições que a reabririam, como nova coleta ou técnica variante. Relato sem graduação de confiança força o leitor a escolher entre acreditar tudo e desacreditar tudo, e nenhuma das duas posturas é útil para quem precisa decidir sobre contenção.

3. Template de Relato de Hunting

O template abaixo é o padrão da biblioteca e preenche-se a partir do plano da nota 01 e do log da nota 04, sem redação do zero. Ele cabe em duas páginas, usa os mesmos identificadores do plano e do backlog, e é o documento que a revisão em pares lê antes de aprovar os desdobramentos. Campos entre colchetes são preenchidos por caça, e a disciplina de identificadores é o que mantém a cadeia entre hipótese, plano, execução e relato navegável por qualquer pessoa da operação.

O relato carrega classificação TLP 2.0 explícita no cabeçalho, porque circula entre times e pode receber compartilhamento externo avaliado na seção 6. Caças que citam infraestrutura de adversário ativo costumam nascer em AMBER, e a revisão em pares decide a eventual redução. A classificação errada custa caro nas duas direções: relato aberto demais vaza capacidade de detecção, e relato fechado demais impede a engenharia de detecção de consumir a regra candidata.

# Relato de Caça: HUNT-2025-014-R

- Data de encerramento: [data] | Hunter: [nome] | Revisor: [nome]
- Hipótese de origem: [HYP-2025-037] | Plano: [HUNT-2025-014]
- Classificação do relato: [TLP:AMBER] | Retenção: [prazo e destino]

## 1. Hipótese testada
- SE [comportamento], ENTÃO [evidência esperada] EM [fonte e campo].
- Proveniência: [relato de intel / incidente / anomalia / lacuna]

## 2. Escopo executado
- Técnica ATT&CK: [ID e nome] | Ativos: [conjunto] | Fontes: [lista]
- Janela efetiva: [início a fim] | Cobertura verificada: [amostragem e resultado]

## 3. Execução
- Iterações realizadas: [resumo do log, com consulta versionada por iteração]
- Consultas: [referência ao repositório, ex. /hunts/2025/014/q1.kql]

## 4. Achado ou refutação
- Classificação: [achado / refutação provisória / lacuna dominante / teto]
- Descrição: [comportamento observado, hosts, identidades, período]
- Evidência: [extratos, hashes, capturas, referências a casos abertos]
- Falsos positivos relevantes: [classificação, exceção criada, dono, validade]

## 5. Lacunas de coleta
- [registro no formato da nota 03, com prioridade e ação gerada]

## 6. Desdobramentos
- Detecção candidata: [ID e descrição curta, se houver]
- Requisito de coleta: [ID, se houver]
- Hipóteses filhas: [IDs no backlog]
- Intel produzida: [IOC, TTP ou relato derivado, com destino]

4. Conversão do Achado em Detecção

O achado que pode voltar a ocorrer sem exigir julgamento analítico novo é candidato natural a detecção permanente, e essa conversão é a forma mais durável de a caça pagar seu custo. O caminho da biblioteca é formal: o relato propõe a detecção candidata com a lógica testada, e o capítulo 18 assume a engenharia, que inclui reescrever a consulta no formato padrão da plataforma ou em Sigma, definir severidade e mapeamento ATT&CK, testar contra dados históricos e contra simulação, calibrar volume e falsos positivos, e registrar a regra na matriz de cobertura. A caça entrega o conhecimento do que procurar; a engenharia de detecção entrega a regra que procura sozinha.

Nem todo achado deve virar detecção, e a decisão tem critérios práticos. Atividade de alta fidelidade e baixa frequência vira regra de alerta com facilidade. Atividade que exige contexto do ativo ou da identidade para ser julgada pode vira analytics agendado na nota 06, e não alerta. Atividade que depende de sequência longa e julgamento humano permanece como caça documentada, repetível sob demanda. O bloco abaixo mostra a detecção candidata derivada do relato, no formato Sigma, exatamente como ela chega ao capítulo 18.

title: PowerShell com parâmetros codificados iniciado por aplicativo de usuário
id: c0a1f2d3-0000-4000-8000-9b8c7d6e5f41
status: experimental
description: Derivada de HUNT-2025-014-R; cobre T1059.001 observado em caça
references:
  - HUNT-2025-014-R
tags:
  - attack.execution
  - attack.t1059.001
logsource:
  product: windows
  category: process_creation
detection:
  selection_img:
    Image|endswith: '\powershell.exe'
  selection_args:
    CommandLine|contains:
      - ' -enc'
      - 'FromBase64String'
  filter_parent:
    ParentImage|endswith:
      - '\explorer.exe'
      - '\outlook.exe'
  condition: selection_img and selection_args and not filter_parent
falsepositives:
  - Automação legítima de help desk documentada em HUNT-2025-014-R
level: medium

A candidata só chega ao capítulo 18 com teste de histórico feito: a mesma lógica executada contra o período anterior à caça, para estimar volume esperado por dia e falsos positivos previsíveis. O teste histórico não substitui o teste em simulação, mas elimina candidatas obviamente inviáveis antes de consumirem engenharia. Candidatas com volume alto no histórico voltam para a caça com pedido de discriminação adicional, e o ciclo se repete até o custo de triagem caber no SLA de alerta.

5. Conversão em Novo Requisito de Coleta

Quando a lacuna dominante do relato é de dados, o desdobramento formal é o requisito de coleta, escrito no vocabulário que o capítulo 02 e a engenharia de ingestão consomem: fonte alvo, campos necessários, identificadores de evento, hosts e períodos afetados, volume estimado e custo aproximado. O requisito carrega a justificativa de valor vinda da caça, e não apenas a frase de que mais visibilidade é melhor, porque a fila de coleta compete pelos mesmos orçamentos que tudo mais compete. O quadro abaixo mostra o registro mínimo em formato de ticket.

Requisito de coleta: COL-2025-021
- Origem: HUNT-2025-014-R (lacuna dominante, refutação impossível)
- Fonte alvo: Windows Security nos servidores legados do datacenter B
- Campos e eventos: habilitar auditing de logon, Event ID 4625
- Afetados: 118 hosts Windows 2012, cobertura atual 60%
- Volume estimado: 1.8 GB por dia, dentro do teto de ingestão acordado
- Justificativa: fecha cegueira de T1078.003 confirmada em caça
- Prioridade: alta | Prazo sugerido: 30 dias

O requisito entra na fila de coleta com prioridade calculada pela mesma razão valor sobre custo da nota 02, agora com o benefício concreto de uma hipótese que já existiu e não pôde ser testada. Essa proveniência é o que diferencia o pedido de coleta derivado de caça dos pedidos genéricos de visibilidade: o primeiro tem hipótese, técnica e hosts nomeados, e o segundo pede tudo, para prevenir tudo. A fila racional prioriza o primeiro.

A conversão fecha um ciclo que a biblioteca persegue com constância: a caça descobre cegueira, o requisito corrige a coleta, a nota 03 atualiza o mapeamento por técnica, e a próxima caça sobre a mesma técnica consegue refutar ou confirmar de verdade. Sem o requisito formal, a lacuna permanece conhecida e não corrigida, o pior dos estados possíveis, porque o conhecimento existe e a operação não age sobre ele.

6. A Biblioteca de Caças como Ativo Institucional

Relatos individuais viram ativo quando são organizados como biblioteca interna de caças: repositório único, identificadores coerentes, campos de busca por técnica ATT&CK, ator, fonte de dados e ano. O valor prático aparece em quatro situações corriqueiras. Um novo hunter consulta o que já foi caçado antes de abrir hipótese nova e para de pagar custo de descoberta repetida. Um incidente em andamento consulta caças passadas sobre as técnicas vistas, e ganha consultas prontas com falsos positivos já mapeados. A revisão de cobertura do capítulo 15 usa a biblioteca como registro histórico de onde a operação já olhou. E a retenção de conhecimento sobrevive à rotatividade, porque o que um analista aprendeu sobre o ambiente fica no repositório, e não sai da empresa com ele.

A manutenção mínima da biblioteca exige três hábitos de governança. Cada relato recebe revisão em pares antes de ser arquivado como definitivo, o que corrige vieses de interpretação e valida os desdobramentos. Cada relato é indexado pelos campos de busca no momento do arquivamento, e não depois, porque indexação retroativa não acontece. E cada caça relevante para a comunidade externa é avaliada para compartilhamento sob TLP 2.0 adequado, alimentando o ciclo de inteligência do capítulo 05 com produto técnico da operação.

Os campos mínimos de indexação de cada relato na biblioteca são:

• Identificadores da cadeia: hipótese de origem, plano e relato, com ano.
• Técnica e tática ATT&CK, com todos os IDs tocados pela caça.
• Fontes de dados consultadas, pelo vocabulário do mapeamento da nota 03.
• Classificação do encerramento: achado, refutação, lacuna dominante ou teto.
• Desdobramentos gerados, com identificadores de detecção, de coleta e de hipóteses filhas.
• Classificação TLP e restrições de compartilhamento.

7. Erros Comuns e Pontos de Atenção

O erro mais frequente é documentar apenas caças com achado, o que cria uma biblioteca otimista que não representa o terreno: as refutações são exatamente as caças que economizam horas aos próximos hunters e as lacunas são as que geram os requisitos de coleta mais bem justificados. O segundo erro é relato sem evidência reproduzível, com consultas descritas de memória e sem versão, o que impede auditoria e transforma o julgamento do achado em questão de confiança pessoal. O terceiro é o relato que descreve o achado e esquece os dados usados, sem fonte, janela e cobertura, e que portanto não pode ser calibrado nem repetido quando o adversário volta com variação.

Um erro de formato merece atenção: relatos que crescem sem limite e viram dossiês ilegíveis, misturando narrativa, consulta e comentário de reunião. O template da seção 3 limita o relato ao que decide, e o log completo da execução fica no repositório de consultas, referenciado por identificador. A separação entre decisão e rastro completo é o que mantém o relato legível dois anos depois, quando for lido por alguém que não estava na sala.

Um quarto erro é o relato que embarca evidência bruta sem contexto, colando dezenas de linhas de log no corpo do texto, o que enterra a decisão sob o rastro. A regra é extrato curto no corpo, rastro completo no repositório, e referência cruzada entre os dois. O mesmo vale para capturas de tela sem legenda ou sem indicação de horário e fonte, que viram adorno ilegível em vez de evidência.

8. Integração com o Restante da Biblioteca

Esta nota converte em produto formal o ciclo iniciado na nota 01, e cada desdobramento tem destino nomeado: detecção candidata ao capítulo 18, requisito de coleta ao capítulo 02, hipótese filha ao backlog da nota 02 e analytics agendado à nota 06. Os KPIs do capítulo 15 dependem dos relatos para calcular caças executadas, taxa de conversão em detecção, lacunas abertas e fechadas, e a qualidade dessas métricas é exatamente a qualidade da documentação.

Com o capítulo 05, o relato compartilha a lógica de produto para público, e caças com valor para comunidade saem como produto de inteligência técnica sob TLP 2.0. Com o capítulo 14, os IOC e TTPs produzidos por caças alimentam a plataforma de CTI e voltam como hipóteses futuras, fechando o loop hunting-driven intelligence. Com o capítulo de resposta a incidentes, o achado confirmado chega com evidência organizada, encurtando o caminho entre descoberta e contenção, que é a razão operacional final de documentar bem.