Feedback de Hunting para Inteligência (Novos TTPs, IoCs)

Nota 02 do capítulo 10 - Integração entre CTI e Threat Hunting. Fecha o laço inverso do capítulo: a caça como fonte primária de inteligência, devolvendo ao time de CTI o que só o ambiente próprio revela.
Define as classes de retorno (novos TTPs, IOCs, infraestrutura, padrões de campanha e lacunas de visibilidade), a ficha de envio ao time de CTI e o enriquecimento do perfil do ator com evidência interna.
Dialoga com a nota 01 deste capítulo, com o controle INT.2 da seção 15 e com as notas de perfil, confiabilidade e confiança calibrada do capítulo 05.

1. Contexto e Posicionamento na Biblioteca

Todo finding verdadeiro de uma caça carrega informação que nenhum feed externo possui: uma técnica confirmada contra o stack real da organização, um artefato que ainda não circulou em fonte alguma, uma infraestrutura dedicada a este ambiente específico. A nota 01 deste capítulo levou o conhecimento externo até a caça; esta nota percorre o caminho de volta, porque a integração CTI-TH só fecha o laço quando o resultado da execução reentra na base de inteligência e melhora a próxima priorização. Um programa em que a caça consome relatórios e nunca devolve nada opera metade de um ciclo, e a devolução é o que converte investigação em ativo de conhecimento.

O risco que justifica o processo é a evaporação do conhecimento. Sem artefato formal de retorno, o achado vive no relatório da caça, depois na memória do analista e finalmente desaparece na troca de equipe, levando junto o custo de todo o esforço investigativo. A organização então paga de novo pelo mesmo aprendizado quando um adversário recorrente usa a mesma rota. O controle INT.2 da seção 15 exige a contribuição formal em até 24 horas da confirmação de um verdadeiro positivo; esta nota descreve o conteúdo e a forma dessa contribuição, com a ficha de descoberta, as classes de retorno e o efeito esperado no perfil do ator.

2. A Caça como Fonte Primária de Inteligência

Fontes externas descrevem ambientes de outras vítimas: o relatório do fornecedor documenta o que o adversário fez lá, o feed lista o que foi visto em telemetria agregada de milhares de clientes, o ISAC compartilha o que colegas do setor observaram. A caça é diferente em natureza, e não apenas em grau, porque documenta o que o adversário fez aqui, contra a nossa superfície, com a nossa telemetria, no nosso fuso horário. Essa evidência primária tem três propriedades que nenhuma fonte externa replica: é confirmável até o evento de log, é contextualizada contra o baseline do ambiente e chega antes da imprensa, porque a intrusão ativa frequentemente é detectada pela caça antes que qualquer relatório exista.

A caça também produz conhecimento negativo de alto valor, e essa é a contribuição mais ignorada. Quando a hipótese bem formulada fecha como limpo validado, com visibilidade confirmada, o resultado é evidência de ausência que sustenta julgamentos de risco e demonstra cobertura; quando a busca não pode ser executada por falta de log, a lacuna de visibilidade é um produto de inteligência interna que fundamenta investimento em coleta, e não um fracasso a esconder. O time de CTI que recebe essas três moedas, confirmação, artefato e lacuna, escreve relatórios com mais autoridade, porque passa a citar o próprio ambiente como fonte.

Existe ainda uma função estratégica de médio prazo. O acúmulo disciplinado de fichas de descoberta constrói a única série histórica que importa para avaliar adversário recorrente: quantas vezes o mesmo padrão de operação apareceu aqui, em que superfícies, com que intervalo e com que evolução de técnica. Nenhuma fonte comercial entrega essa visão longitudinal do próprio ambiente, e é ela que permite responder, com dados, à pergunta executiva de se a organização está sendo alvo direcionado ou acertada por barragem aleatória.

A responsabilidade pela devolução é dupla, e desenhar essa dupla função evita o buraco clássico entre os times. O hunter escreve a ficha, porque é quem detém o contexto da execução, conhece as consultas e viu o comportamento; o analista de CTI absorve, valida, enriquece e integra, porque é quem mantém o perfil e conhece o grafo do cluster. O ritual que sustenta a prática em equipes de todos os tamanhos é a revisão semanal de fichas abertas, na mesma reunião de operação que revisa o backlog da nota 01, de modo que a devolução tenha horário fixo no calendário e não dependa de boa vontade pontual.

3. O que Devolver: Classes de Retorno

Nem todo achado vira o mesmo produto, e a classe do retorno define o destinatário, o formato e o prazo. A taxonomia abaixo cobre as cinco classes que o hunting entrega ao time de CTI, com exemplos concretos e o destino típico de cada uma:

A classe de TTP confirmada merece cuidado na fronteira entre fato e inferência, disciplina que a nota 08 do capítulo 05 formaliza. Execução observada de um binário com argumentos compatíveis com a técnica é fato; o vínculo do binário com o ator X do relatório que motivou a caça é inferência, e a ficha precisa separar os dois planos, porque o perfil do ator enriquecido com fato mal rotulado contamina toda a cadeia analítica posterior. A mesma disciplina vale para a classe de infraestrutura: a resolução simultânea é fato, e a atribuição da infraestrutura ao cluster é inferência com confiança própria.

Cada classe também tem um critério de qualidade de aceitação, e o CTI tem o direito de devolver a ficha que não cumpre o critério da sua classe. TTP confirmada exige técnica ATT&CK válida e evento de log citado; IOC novo exige tipo, valor canônico, primeira e última vez; infraestrutura exige correlação executada ou pedido explícito de correlação; padrão de campanha exige no mínimo duas observações que sustentem o padrão; lacuna de visibilidade exige a consulta frustrada preservada e a fonte de dados ausente identificada. Esses critérios escritos evitam a negociação ad hoc de qualidade, que sempre desce para o menor denominador comum.

4. Estrutura de Envio para o Time de CTI

A ficha de descoberta é o artefato de envio, e o template abaixo é o padrão desta biblioteca, alinhado ao formato que o controle INT.2 exige. O objetivo é que o analista de CTI consiga absorver o achado sem reentrevistar o hunter, com evidência auditável e confiança calibrada já registradas:

ficha_descoberta:
  id: FD-2025-017
  hunt_origem: HUNT-2025-031
  data_confirmacao: 2025-09-18
  classificacao: TLP:AMBER
  classe_retorno: ttp_confirmada + ioc_novo
  resumo: >
    Host PC-FIN-114 executou wscript a partir de anexo de e-mail e gravou
    loader em diretorio gravavel do usuario; loader beacona para dominio
    ausente de todos os feeds consultados.
  mapeamento_attack:
    tecnicas: [T1059.005, T1071.001, T1573.001]
    taticas: [Execution, Command and Control]
  observaveis:
    - tipo: hash_sha256
      valor: 44d88612fea8a8f36de82e1278abb02f68b5647c9d8f3e4a1b2c3d4e5f607182
      primeira_vez: 2025-09-16
      ultima_vez: 2025-09-18
    - tipo: domain
      valor: cdn-update-track[.]top
      contexto: beacon a cada 300s com jitter de 20 por cento
  evidencias:
    - tipo: consulta
      referencia: repositorio do TH.3, consulta HUNT-2025-031-Q3
    - tipo: extrato
      referencia: Sysmon 1 e 3 do host, janela 2025-09-16 a 2025-09-18
  confianca: alta
  justificativa_confianca: >
    Evidencia primaria reproduzivel, com cadeia de processo e trafego
    capturados em tres fontes independentes.
  relevancia_pirs: [PIR-02]
  acoes_imediatas:
    - bloqueio do dominio no proxy e no DNS
    - abertura de caso na plataforma de resposta

Quatro regras de preenchimento preservam o valor da ficha na esteira de CTI. A classificação TLP 2.0 define com quem o conteúdo pode circular, e o default prudente para achado interno com IOCs é AMBER até que o CTI decida o compartilhamento setorial do capítulo 22. A confiança segue o padrão calibrado da nota 09 do capítulo 05, alta apenas com evidência primária reproduzível, e a justificativa acompanha sempre, porque confiança sem método é opinião. Os observáveis carregam primeira e última vez, que são os campos que o TIP usa para calcular validade e expirar indicador. E toda evidência aponta para artefato consultável, consulta preservada ou extrato de log, e nunca para a conclusão desnuda de suporte.

A leitura campo a campo ajuda a entender por que a ficha tem esse desenho, e a tabela abaixo resume a função de cada grupo de campos no fluxo de trabalho do time de CTI:

O desenho desacopla, de propósito, o que protege do que instrui. As ações imediatas correm no ritmo da resposta, horas; o enriquecimento analítico corre no ritmo do CTI, dias; e a ficha serve aos dois sem que um atrase o outro. Fichas que misturam as duas urgências em um só corpo de texto tendem a travar a proteção na revisão analítica, ou a contaminar a análise com decisão de contenção tomada às pressas, e a separação em campos é o que impede os dois defeitos.

O canal de envio é a integração direta com o TIP, e não mensagem solta; ficha entregue por e-mail depende de alguém digerir, reformatar e reclassificar, e cada transformação manual é ponto de perda. O prazo do INT.2 é de 24 horas para confirmação de verdadeiro positivo, e o prazo existe porque o valor de IOC decai por dia: domínio de C2 registrado na ficha da semana passada pode já ter rotacionado, e a janela de caça retrospectiva se fecha com ele.

A automação reduz o custo do preenchimento sem remover a validação humana, e é aqui que a orquestração do INT.5 entra. Com o registro de caça estruturado do capítulo 07, o fluxo de automação pré-preenche os campos deriváveis da ficha, identificador de origem, consultas executadas, janela analisada, observáveis extraídos automaticamente, e o hunter valida, redige o resumo e assina a confiança. A regra de desenho é automatizar a cópia e nunca o julgamento: confiança, vínculo com o ator e classificação de campanha são decisões analíticas que o fluxo sugere, mas que a ficha só carrega com validação humana registrada.

5. Enriquecimento do Perfil do Ator

O destino analítico da ficha é o perfil de ameaça do ator, produzido no padrão do capítulo 01 e mantido pelo ciclo do CTI.2. A contribuição do hunting entra em três seções do perfil: as TTPs confirmadas migram da lista "reportada por terceiros" para a lista "observada internamente", com data e caso de referência; a infraestrutura nova entra no grafo do cluster, correlacionada com DNS passivo e certificados; e o padrão operacional interno, janela de atividade e alvo, atualiza o julgamento de direcionamento. Um perfil que separa o reportado do observado comunica, sem dizer, qual julgamento pode ser sustentado com evidência própria.

O enriquecimento interno também calibra a atribuição, com duas regras de segurança analítica. A primeira é que evidência interna nova pode tanto elevar quanto derrubar confiança: loader diferente do reportado no mesmo comportamento sugere afiliado diferente, e o perfil deve registrar a hipótese alternativa, no espírito da Análise de Hipóteses Concorrentes da nota 10 do capítulo 05, antes de fechar o vínculo com o ator esperado. A segunda é a defesa contra inteligência circular: a caça partiu do relatório, encontrou artefato compatível, e o analista tende a registrar o achado como confirmação do relatório; a ficha deve registrar o que o achado independe do relatório de origem, que são os observáveis técnicos, e o que é herança dele, que é o vínculo de atribuição.

A manutenção do perfil exige rastro de versão, e a ficha de descoberta é o insumo natural desse rastro. Cada atualização de perfil cita as fichas que a motivaram, com data, e a versão anterior permanece consultável, porque a evolução do perfil é, ela mesma, inteligência: ator que passa de phishing com anexo a exploração de edge device entre dois trimestres está mudando de capacidade, e a série de versões mostra a mudança antes que o julgamento a perceba. Em equipes com volume, a revisão de perfil por evidência interna acontece mensalmente, no mesmo ritmo do briefing do INT.1, e não por evento, porque perfil editado por evento perde a consistência de critério.

Por fim, o retorno interno alimenta a contribuição setorial. Achados com TLP compatível são candidatos a compartilhamento com ISAC ou parceiros, na forma de IOC com contexto e hipótese operacional, e essa circulação devolve à organização a reputação de fonte confiável, que é moeda real nos acordos de compartilhamento. A decisão de compartilhar é do CTI, com jurídico quando o achado toca dados de incidente, e a ficha de descoberta é exatamente o pacote que viaja sem retrabalho de formatação.

6. Exemplo de Ciclo Completo de Feedback

O ciclo abaixo amarra as notas 01 e 02 do capítulo em uma linha do tempo única, partindo do relatório de phishing da campanha CLUSTER-2025-041-PHISH-FIN que o capítulo 05 usa como cenário canônico. A caça HUNT-2025-031, gerada da hipótese H-2025-014, executou a busca por execução de wscript a partir de processo de Office e confirmou o host PC-FIN-114, com o agravante de um domínio de beacon ausente de todos os feeds consultados:

D+0  Caça confirma o padrão; hunter abre a ficha FD-2025-017 no mesmo dia
D+0  Ficha entra no TIP via integração; IOCs recebem contexto e validade
D+1  CTI correlaciona o domínio novo: mesmo nameserver do cluster 041
D+2  Perfil do ator atualizado: T1059.005 e T1573.001 passam a "observado"
D+3  Bloqueios e busca retrospectiva pelos observáveis em 45 dias de histórico
D+5  Relatório tático seguinte cita verificação interna do cluster; ISAC recebe
     IOC com TLP:AMBER; briefing do INT.1 prioriza hipóteses do mesmo cluster

Três efeitos do ciclo merecem leitura atenta, porque são os que se repetem em toda integração saudável. O cluster de CTI ganhou uma técnica que nenhum feed externo tinha, T1573.001 de criptografia de canal, observada na própria telemetria. A detecção permanente entrou em produção no quarto dia, convertendo o padrão do loader em regra do capítulo 18, de modo que a próxima campanha do mesmo operador não dependa de nova caça. E a priorização do mês seguinte mudou de base: hipóteses sobre o mesmo cluster subiram no backlog com justificativa de evidência interna, e não de manchete.

O mesmo ciclo, visto pela métrica, é o que o capítulo 11 mede: o tempo entre confirmação e ficha foi de horas, dentro da meta de 24 horas do INT.2; o tempo entre ficha e perfil atualizado foi de dois dias; e o tempo entre ficha e detecção em produção foi de quatro dias. Sem os timestamps registrados em cada etapa, essa leitura não existiria, e o laço voltaria a depender de impressão.

O ciclo também ilustra o retorno corretivo, que é o caso em que a devolução contradiz a fonte de origem. Se o CTI correlacionasse o domínio novo com um nameserver que não o do cluster 041, a ficha não seria descartada: ela registraria a hipótese de atividade distinta, o julgamento do relatório original seria reavaliado com confiança menor para o vínculo daquele operador, e a avaliação de fonte do capítulo 05 anotaria a divergência como dado para a próxima calibração. Devolução que só confirma é suspect de circularidade; devolução capaz de corrigir a fonte é o sinal de que o laço está de fato funcionando.

7. Erros Comuns e Pontos de Atenção

• Devolver só o verdadeiro positivo: lacunas de visibilidade e achados negativos validados são produto de inteligência igualmente valioso; o antídoto é tratar a ficha como destino possível de todo encerramento de caça, não apenas do VP.
• Ficha sem evidência: conclusão sem consulta preservada ou extrato de log obriga o CTI a confiar cegamente; o antídoto é o campo de evidências obrigatório, apontando para artefato auditável.
• Confiança inflada: registrar alta confiança por entusiasmo contamina o perfil do ator; o antídoto é a régua calibrada do capítulo 05 com justificativa escrita na ficha.
• IOC sem contexto e sem validade: hash sem primeira e última vez, ou domínio sem associação à campanha, vira bloqueio às cegas; o antídoto são os campos de observável do template, que a esteira do capítulo 02 exige.
• Inteligência circular: registrar como confirmação o que é herança do relatório de origem; o antídoto é separar fato observado de vínculo inferido, com hipótese alternativa registrada quando houver.
• Canal informal: ficha por mensagem direta não entra no TIP e morre com a conversa; o antídoto é a integração direta e a regra de que achado não registrado não existe para o processo.
• Retorno atrasado: IOC devolvido semanas depois encontra infraestrutura rotacionada; o antídoto é o prazo de 24 horas do INT.2, medido e reportado no capítulo 11.

8. Integração com o Restante da Biblioteca

A montante, esta nota consome o processo do capítulo 07, que produz os registros de caça de onde a ficha extrai evidência, e a disciplina analítica do capítulo 05, que fornece as réguas de fato, inferência e confiança. A jusante, alimenta o perfil de ator do capítulo 01, o cluster e o relatório do capítulo 05, o compartilhamento do capítulo 22 e a detecção como código do capítulo 18. Na seção 15, o INT.2 institucionaliza o fluxo com prazo e template, o CTI.9 fecha o ciclo de feedback do lado da inteligência e o MET.2 mede a conversão de achados em registros de inteligência.

Para o estudante, o exercício de fixação é simular o ciclo completo no laboratório: executar uma técnica controlada, caçá-la com hipótese própria, redigir a ficha de descoberta como se o achado fosse real e inscrever os observáveis num TIP de estudo com validade e confiança. O treino da devolução é tão importante quanto o treino da busca, porque a maior parte das equipes aprende a caçar antes de aprender a devolver, e é a devolução que transforma caça pontual em capacidade organizacional.