Threat Hunting baseada em TTPs (ATT&CK)

Nota 04 do capítulo 10 - Integração entre CTI e Threat Hunting. Fecha o capítulo com o padrão-ouro: caça orientada a comportamento mapeado em MITRE ATT&CK, que sobrevive à troca de IOC e de malware.
Apresenta o método em quatro passos (escolher a técnica, mapear os dados, formular a hipótese, buscar o comportamento), a cobertura por tática e a relação com o detection engineering.
Dialoga com o capítulo 08 (técnicas por TTP), com o grupo MAP da seção 15, com o capítulo 18 (deteção como código) e com as notas anteriores deste capítulo.

1. Contexto e Posicionamento na Biblioteca

A caça orientada a TTP inverte a lógica das duas notas anteriores: em vez de perguntar se um artefato conhecido já passou por aqui, pergunta como este ambiente se comportaria se um adversário usasse determinada técnica, independente de quem, de quando e de qual ferramenta. É a técnica de maior custo de formulação e de maior teto de descoberta da família de caças, porque o comportamento investigado não envelhece com a rotação de infraestrutura nem com a recompilação de malware. Esta nota fecha o capítulo de integração com o padrão que as notas anteriores apontavam como destino: o IOC de qualidade é a porta de entrada, e a caça por TTP é o terreno onde o hunting produz conhecimento duradouro.

A técnica deve muito da sua operacionalização ao MITRE ATT&CK, que fornece o vocabulário comum de táticas, técnicas e sub-técnicas com que CTI, hunting e detecção conversam. O capítulo 08 já percorreu as técnicas por tática com consultas concretas; o papel desta nota é metodológico, definindo como se escolhe uma técnica, como se verifica que o ambiente pode observá-la, como a hipótese é estruturada e como o resultado realimenta o mapa de cobertura do grupo MAP e o pipeline de detecção do capítulo 18. A salvaguarda TH.6 da seção 15 fornece a estrutura SE-ENTÃO que a execução adota, e o DeTT&CT e o ATT&CK Navigator são as ferramentas de referência para visualizar cobertura.

Os pré-requisitos da técnica são os mesmos do programa, mas aqui eles doem mais cedo, porque a caça por TTP é a que mais cobra telemetria e disciplina de registro. Sem o inventário de coleta do TH.1, o passo de mapeamento de dados vira suposição; sem o baseline da salvaguarda TH.2, o comportamento raro não se distingue do ruído; sem o caderno de caça com consultas versionadas, a recaça trimestral da mesma técnica não é comparável. O time que ainda não tem esses três alicerces pode iniciar a técnica em escala piloto, uma técnica por mês com todos os registros, e é justamente a prática que constrói os alicerces que ela exige.

2. Por que TTP é o Padrão-Ouro

A justificativa estrutural está na Pirâmide de Dor, apresentada no capítulo 03: quanto mais alto o nível do indicador, mais custa ao adversário mudar. Um IP de C2 troca-se em minutos com um clique no painel do provedor; um domínio custa um registro novo; um hash exige recompilação; mas a forma de operar, a sequência de técnicas, a preferência por ferramentas nativas, o horário de operação e a disciplina de cobertura de rastros, é o que exige retrabalho real, por vezes meses de desenvolvimento. Caçar por TTP posiciona o defensor no nível em que o adversário paga caro para evadir, e por isso a descoberta sobrevive a campanhas: um afiliado de ransomware que rotaciona loader toda semana continua apagando cópias de sombra antes de cifrar, e é esse comportamento que a caça mira.

Há uma segunda razão, menos citada e igualmente decisiva: a caça por TTP não depende de inteligência externa fresca para existir. A técnica ATT&CK é conhecimento estável, documentado publicamente, e a hipótese comportamental sobre T1059.001 ou T1003.001 é válida hoje, no próximo trimestre e no próximo ano, o que permite uma carteira de caças planejada e cadenciada, e não refém do noticiário. O capítulo de maturidade da nota 05 do capítulo 06 usa exatamente essa transição, de caça reativa a manchete para caça planejada por comportamento, como marcador entre os níveis iniciais e intermediários de maturidade.

A terceira razão é organizacional. TTP em ATT&CK é a moeda que conecta três funções que historicamente conversam mal: a CTI descreve adversários em técnicas, o hunting testa técnicas contra dados e o detection engineering converte técnicas em regras. Quando a caça é organizada por técnica, cada ciclo produz cobertura mensurável no mapa, lacunas nomeadas e candidatos a detecção comparáveis entre si, e a conversa entre as três funções deixa de ser narrativa para virar portfólio, como o capítulo 12 discute como desafio de governança.

Vale registrar a fronteira conceitual com o IOA, indicador de ataque, apresentado no capítulo 03, porque a diferença confunde iniciantes. O IOA é o padrão comportamental específico que sinaliza ataque em andamento, como o ritmo de beaconing ou a cadeia de processos de um loader conhecido; a TTP é a categoria geral de comportamento, documentada e comparável entre adversários. Na prática de caça, a hierarquia funciona assim: a TTP orienta o que investigar e como formular a hipótese, e os IOA são os padrões concretos que a busca procura dentro daquela categoria. Caça madura mira a categoria e reconhece padrões não previstos; caça imatura caça padrões e não reconhece a categoria, que é o modo de errar o adversário novo que opera com técnica antiga.

3. O Método em Quatro Passos

O método de referência desta biblioteca tem quatro passos, com produto e critério de qualidade em cada um. A tabela consolida o desenho, e os parágrafos seguintes detalham os dois passos que mais fracassam na prática:

O passo 1 merece método próprio, porque escolher técnica por gosto pessoal esvazia o portfólio. As três fontes legítimas de prioridade são o heatmap de cobertura, que aponta a lacuna; o perfil dos adversários de referência, que aponta a relevância; e a novidade de campo, técnica nova no catálogo ou nova no uso observado, que aponta a oportunidade de antecipação. Um quarto critério operacional entra no cálculo, o custo de execução: técnica que exige telemetria ausente e integração inviável no trimestre não é lacuna, é desejo, e fica no mapa como pendência de coleta até que o DAT a viabilize. O equilíbrio entre os quatro critérios é o que o portfólio trimestral de caças decide, com registro, porque decisão de portfólio sem ata vira preferência na próxima disputa.

O passo 2 é onde a maioria das caças por TTP falha antes de começar, porque cada técnica exige eventos específicos e o catálogo ATT&CK de fontes de dados é genérico o suficiente para enganar. T1003.001, o dump do LSASS, exige telemetria de acesso a processo com CallTrace, como Sysmon 10 com máscara de abertura configurada; sem ela, a técnica é invisível e a hipótese retorna falso negativo silencioso. T1053.005, a tarefa agendada, exige Sysmon 19 a 21 ou 4698 centralizado. O passo 2 bem executado tem três saídas possíveis, todas legítimas: a caça segue com telemetria confirmada, a caça gera pedido formal de coleta ao grupo DAT, ou a caça é redefinida para a técnica observável mais próxima. O que não é legítimo é executar sabendo que os dados não existem, porque resultado vazio sem visibilidade não é evidência de nada.

O passo 4 é onde a caça por TTP se distingue do simples mapeamento de eventos, porque buscar comportamento significa procurar padrões e não assinaturas. O arsenal comportamental da biblioteca, grouping do TH.7, stack counting do TH.8 e clustering do TH.9, é o que eleva a consulta a caça: em vez de um padrão fixo que o adversário evade renomeando o binário, o hunter compara o comportamento da técnica contra o baseline do ambiente, isola o raro e investiga com contexto. A consulta concreta do capítulo 08 para cada tática fornece o ponto de partida, e a criatividade do hunter opera no recorte, na agregação e no encadeamento, e não na decoração da sintaxe.

4. Cobertura por Tática e Priorização

A cobertura é o produto contínuo da caça por TTP, e ela se mede com rigor porque é o que transforma esforço em portfólio. A fórmula de referência divide as técnicas caçadas com resultado válido, achado confirmado, limpo validado ou lacuna registrada, pelas técnicas priorizadas para a organização, e a priorização é essencial porque caçar as 600 técnicas do catálogo é aritmética impossível: o denominador correto é a lista de técnicas plausíveis para o stack, a superfície e os adversários de referência da organização, em geral algumas dezenas por tática. A tabela abaixo exemplifica a leitura por tática:

A camada de visualização é o que torna a cobertura utilizável, e as duas ferramentas de referência são complementares. O ATT&CK Navigator mantém as camadas por adversário e por cobertura de detecção, úteis na conversa com CTI sobre quem é prioridade; o DeTT&CT mantém as camadas de visibilidade de dados e de cobertura de caça, úteis na conversa com coleta e detecção sobre o que falta. O caderno de caça alimenta as duas com o mesmo registro, e a regra de ouro é nunca confundir as três camadas que a cobertura comporta: técnica priorizada, técnica com telemetria e técnica caçada com resultado válido, cada uma é uma garantia diferente e prometer a primeira como se fosse a terceira é o erro de reporte mais comum do programa.

O ritmo de leitura da cobertura acompanha a cadência do programa. A leitura mensal trabalha o delta, técnicas caçadas no mês e o efeito no mapa por tática, e alimenta a retrospectiva do time; a leitura trimestral compara o portfólio inteiro com os adversários de referência e decide o foco do trimestre seguinte, no mesmo momento em que o backlog da nota 01 é reavaliado. Duas leituras de gestão evitam os vícios clássicos: cobertura alta em tática barata e baixa na tática crítica revela caça por conveniência, e cobertura estagnada por dois trimestres revela programa de vitrine, que caça o que já sabe detectar para reportar número sem mover risco real.

5. Relação com Detection Engineering

A caça por TTP é o cliente mais importante do pipeline de detecção, e a relação segue um ciclo com três estágios. No primeiro, a caça valida a telemetria e o comportamento, e o produto é conhecimento: a técnica funciona assim, neste ambiente, com estes ruídos conhecidos. No segundo, quando o veredicto confirma que o comportamento é detectável e raro, a lógica de busca é convertida em analytics, primeiro como consulta versionada e depois como regra Sigma com campo, limiar e filtros de falso positivo, no padrão do capítulo 18. No terceiro, a regra em produção reduz a recorrência da caça manual para a técnica, e o hunter libera capacidade para a próxima lacuna do mapa.

A conversão nem sempre acontece, e saber quando não converter é tão importante quanto converter. Hipóteses de validação, que testam cobertura contra adversários de referência, podem fechar como evidência de cobertura sem regra nova; caças de exploração, cuja lógica é data-intensive demais para rodar permanente, permanecem como analytics agendados de baixa frequência; e comportamentos raros demais para regra estável viram consultas no playbook de resposta. O critério de promoção do capítulo 07 resume: converte em detecção o que é raríssimo no ambiente, tem falso positivo controlável e justiça operacional para o SOC, e o resto tem destinos legítimos que a métrica de conversão do capítulo 11 contabiliza sem tratar como fracasso.

O ciclo também corre no sentido contrário, e essa via de mão dupla é o que distingue integração de dependência. As lacunas de telemetria que o passo 2 descobre alimentam o plano de coleta; os padrões de ruído que a execução documenta realimentam os filtros das regras; os adversários que a caça confirma priorizam o mapa de cobertura de detecção; e as técnicas que a organização não consegue observar, mesmo com investimento, entram no julgamento de risco que o assessment estratégico do capítulo 05 apresenta ao executivo. Methodologias de mercado como a TaHiTI formalizam exatamente essa integração, partindo da inteligência de ameaças para selecionar técnicas e devolvendo ao ciclo o resultado da validação, e a PEAK trata a automação do ciclo como o estágio final do processo, quando a caça confirma o que vale detecção permanente.

A divisão de papéis na conversão segue a fronteira entre as funções, e a tabela abaixo resume o destino de cada produto da caça por TTP com o responsável pela industrialização:

6. Exemplo: Caça da Técnica T1059.001 PowerShell

O exemplo percorre os quatro passos com T1059.001, sub-técnica de execução de comandos e scripts via PowerShell, presente no arsenal de praticamente todos os adversários relevantes da biblioteca, de APT29 a afiliados de ransomware. A justificativa da escolha combina os três critérios do passo 1: a técnica aparece no perfil dos atores priorizados, a cobertura de detecção no mapa estava parcial e o ambiente tem telemetria candidata, o que a torna caça de retorno alto. O mapeamento do passo 2 confirma três fontes disponíveis, com a ressalva de que a mais rica depende de configuração:

Passo 2, mapeamento de dados para T1059.001:
- Evento 4104 de script block logging: conteúdo do bloco executado
- Sysmon 1 ou 4688 com linha de comando: processo, pai e argumentos
- Sysmon 3 ou logs de proxy: conexões de rede do processo
Pré-requisito de qualidade: script block logging habilitado em estações
e servidores; sem ele, a caça recai sobre metadados de processo apenas.

A hipótese do passo 3 segue o padrão SE-ENTÃO do TH.6, com foco no vetor clássico de PowerShell ofuscado a partir de processo de produtividade, comportamento que separa bem o operador humano das automações legítimas de administração:

ID: H-2025-044
Título: PowerShell com decodificação iniciado por aplicativo de Office
Tipo: ttp-driven | Técnica: T1059.001 | Tática: Execution
SE um adversário executa carga via PowerShell ofuscado a partir de
     documento ou e-mail abertos pelo usuário,
ENTÃO powershell.exe terá pai WINWORD.EXE, EXCEL.EXE, WSCRIPT.EXE ou
     OUTLOOK.EXE, com linha de comando contendo -enc, -ep bypass,
     FromBase64String, DownloadString ou IEX,
DADOS: DeviceProcessEvents, 30 dias, estações e servidores de arquivo
FALSIFICAÇÃO: zero ocorrências com a cadeia de pai confirmada fecha a
              hipótese como limpo validado
SAÍDAS: hosts e contas, linha do tempo, hash de carga eventual, regra Sigma

A execução do passo 4 combina a busca assinatura-caçada com o stack counting dos pais, e o segundo ângulo é o que garante a descoberta mesmo quando o adversário usa técnica de decodificação diferente:

// Ângulo 1: conteúdo de comando com padrões de ofuscação e download
DeviceProcessEvents
| where Timestamp > ago(30d) and FileName =~ "powershell.exe"
| where ProcessCommandLine has_any ("-enc", "-ep bypass", "FromBase64String",
        "DownloadString", "IEX", "-w hidden")
| where InitiatingProcessFileName in~ ("WINWORD.EXE", "EXCEL.EXE",
        "WSCRIPT.EXE", "OUTLOOK.EXE")
| project Timestamp, DeviceName, AccountName, ProcessCommandLine,
          InitiatingProcessFileName

// Ângulo 2: stack counting de pais de PowerShell, sem padrão fixo
DeviceProcessEvents
| where Timestamp > ago(30d) and FileName =~ "powershell.exe"
| summarize Execucoes = count(), Usuarios = dcount(AccountName)
    by DeviceName, Pai = InitiatingProcessFileName
| where Execucoes <= 3 and Pai !in ("powershell.exe", "cmd.exe", "explorer.exe")
| order by Execucoes asc

O fechamento do exemplo segue o padrão do capítulo: o ângulo 1 retornou duas execuções legítimas de integração de planilha, registradas como ruído conhecido com o filtro correspondente; o ângulo 2 revelou um pai raro, wscript.exe alimentando PowerShell em uma estação do financeiro, que a investigação conectou à campanha CLUSTER-2025-041-PHISH já documentada. A lógica validada virou regra Sigma com o filtro de integração, a cobertura de T1059.001 subiu no mapa do DeTT&CT de parcial para caçada com resultado válido, e o IOC de saída alimentou a ficha de descoberta do ciclo de feedback da nota 02.

O exemplo também fixa o compromisso com a recaça, que é o que separa caça por TTP de projeto pontual. A técnica T1059.001 não sai da carteira ao virar regra: a regra cobre o padrão validado, e a caça volta ao ciclo trimestral com ângulo novo, outro vetor de decodificação, outro pai inesperado, outra tática de vizinhança, porque comportamento de adversário evolui e a detecção de hoje é a assinatura de amanhã. É essa recorrência planejada, e não o achado isolado, que o capítulo 11 mede com a cobertura anual de caças por técnica, e é ela que transforma o mapa de cobertura em promessa verificável de que o ambiente é testado de forma contínua, e não mapeado uma única vez com propósito de relatório.

7. Erros Comuns e Pontos de Atenção

• Executar sem o passo 2: caça de técnica sem telemetria confirmada produz falso negativo silencioso; o antídoto é o inventário do TH.1 com verificação de evento por evento, e pedido de coleta formal quando faltar dado.
• Hipótese genérica: "caçar PowerShell suspeito" não é técnica nem critério; o antídoto é a ficha SE-ENTÃO com comportamento, janela, dados e falsificação, no padrão do capítulo 06.
• Buscar assinatura e chamar de caça: padrão fixo de comando é evadido com uma alteração de sintaxe; o antídoto é combinar o ângulo direto com stack counting, grouping ou clustering contra baseline.
• Confundir camadas de cobertura: reportar como caçada a técnica que apenas foi priorizada ou que tem telemetria, sem execução com resultado válido; o antídoto é o mapa com as três camadas separadas.
• Automatizar cedo demais: converter a primeira execução em regra antes de conhecer os falsos positivos enterra o SOC em ruído; o antídoto é o critério de promoção com rodadas de validação contra histórico.
• Ignorar sub-técnicas: T1059 cobre muito e detecta pouco; o antídoto é operar no nível da sub-técnica quando ela existe, porque é ali que o comportamento é específico o bastante para virar detecção.
• Caçar técnica inaplicável ao stack: técnica de macOS em ambiente Windows gasta ciclo e não valida nada; o antídoto é o denominador da priorização, restrito às técnicas plausíveis para o parque real.

8. Integração com o Restante da Biblioteca

A montante, esta nota consome o heatmap do grupo MAP da seção 15, os perfis de ator do capítulo 01 e a metodologia do capítulo 07, que fornece o processo formal que os quatro passos concretizam. A jusante, alimenta o capítulo 08, que fornece as consultas por tática, e o capítulo 18, que industrializa as detecções validadas. Na seção 15, a salvaguarda TH.6 estrutura a hipótese, o TH.8 e o TH.9 fornecem o arsenal comportamental do passo 4, o MET.2 mede a conversão em detecção e a cobertura de caças, e o DAT.1 recebe os pedidos de telemetria que o passo 2 produz.

O exercício de fechamento do capítulo é executar os quatro passos completos sobre uma técnica com telemetria disponível no ambiente de estudo, escolhida pelo critério do passo 1 com justificativa escrita. A caça só está encerrada quando as quatro saídas existem: veredicto no caderno, atualização das três camadas de cobertura no mapa, candidata a detecção com avaliação de promoção e, se houver observável novo, ficha de descoberta devolvida ao CTI. Esse fechamento em quatro produtos é o teste de que a caça por TTP integrou, de fato, o ciclo que este capítulo inteiro descreveu.