Modo Ativo (Defensiva e Ofensiva)

Nota do Capítulo 13 que estabelece a contra-inteligência como disciplina ativa e distingue seus dois modos:
o defensivo, que deter, detectar e proteger, e o ofensivo, que enganar, detectar operações e neutralizar.
Fundamenta a separação das pastas de CI Defensiva e CI Ofensiva. Dialoga com Honeypots (02) e CTI.10 (15).

1. Contexto e Posicionamento na Biblioteca

A biblioteca construiu até aqui uma defesa predominantemente reativa e preditiva: o SOC responde a alertas, o
hunter caça com hipóteses e o analista de CTI antecipa ameaças. A contra-inteligência acrescenta uma postura
diferente: assumir que existe um adversário operando contra a organização agora, ou em preparação, e agir sobre
essa operação de forma deliberada. Esta nota define o que significa a CI ser uma disciplina ativa e organiza suas
ações em dois modos, defensivo e ofensivo, que a taxonomia do capítulo separa em pastas próprias.

O posicionamento desta nota é conceitual, mas com consequência prática imediata: sem distinguir os dois modos, o
programa de CI se perde entre atividades de proteção cotidiana e operações especiais que exigem autorização,
segredo e risco calculado. A tabela comparativa e os exemplos de operação entregam o vocabulário mínimo para
decidir, em cada caso, em qual modo a organização está agindo e quais salvaguardas o modo exige.

2. Contra-Inteligência como Disciplina Ativa

Monitorar e operar contra o adversário são mentalidades distintas. Monitorar é observar sinais, gerar alertas e
alimentar métricas: é a postura padrão do SOC, do EDR e do SIEM, que registram o que acontece e avisam. Operar
contra o adversário é mudar o ambiente para que o comportamento dele produza informação para nós e custo para ele:
plantar iscas que só ele encontraria, alimentar o reconhecimento dele com dados falsos, cronometrar a resposta dele
para avaliar intenção. A CI ativa é a disciplina que desenha essas interações de propósito, e não apenas as sofre.

Essa natureza ativa não elimina o monitoramento; ela o instrumentaliza. Em CI, todo sensor pode ser posicionado com
intenção: o honeypot não é apenas um alarme, é uma pergunta endereçada ao adversário; o canário token não é apenas
um alerta de vazamento, é uma marca que revela por onde a informação saiu. A diferença entre monitorar e operar
está, portanto, na direção da intenção: no monitoramento puro, o dado é subproduto do tráfego; na CI ativa, o
ambiente é moldado para que o adversário, ao agir, entregue inteligência.

3. Modo Defensivo: Deter, Detectar e Proteger Ativos

O modo defensivo é a CI em escala de operação cotidiana, e sua finalidade é elevar o custo e reduzir a
probabilidade de sucesso das operações adversárias antes e durante sua execução. Deter significa convencer o
adversário de que a organização é um alvo caro: controles visíveis, disciplina de acesso, reputação de detecção
rápida e resposta firme. Detectar significa manter sensores que capturam o reconhecimento e a infiltração em fase
inicial: varreduras externas sistemáticas, tentativas de acesso anômalas, interação com iscas. Proteger significa
aplicar need-to-know, vetting, hardening e segurança física, reduzindo o que o adversário pode alcançar mesmo
quando atua bem.

O modo defensivo se sustenta em salvaguardas contínuas e mensuráveis, e é por isso que a pasta de taxonomia de CI
Defensiva deste capítulo é dedicada a ele. Gestão de risco com modelo de TTPs, vetting de pessoas, need-to-know,
segurança física e de informação, hardening de ativos e redução de superfície são todas práticas de deter, detectar
e proteger. Nenhuma delas exige enganar o adversário com operação especial, e todas se integram naturalmente aos
grupos INS e PRT do Framework CTH da seção 15.

4. Modo Ofensivo: Enganar, Detectar Operações e Neutralizar

O modo ofensivo usa o ambiente como instrumento contra a operação adversária, e suas três funções clássicas são
enganar, detectar operações específicas e neutralizar a capacidade do adversário de prosseguir. Enganar significa
entregar ao adversário uma versão controlada da realidade: credenciais isca que parecem válidas, documentos com
marca d'água única, compartilhamentos falsos com dados plausíveis, infraestrutura de mentira que consome o tempo do
reconhecimento dele. Detectar operações significa transformar cada interação do adversário com o engano em
confirmação de atividade maliciosa, com alta fidelidade e baixo risco de falso positivo, porque isca legítima não
tem motivo para ser tocada. Neutralizar, na escala corporativa, significa retirar a vantagem que ele já obteve:
invalidar o que ele exfiltrou, rotacionar o que ele conhece, expor a operação dele para quem precisa saber, sem
transformar neutralização em contra-ataque.

O modo ofensivo corporativo tem limite claro: ele acontece dentro do perímetro e dos ativos da própria organização,
ou em infraestrutura própria e contratada. Disparar comandos contra servidores do adversário, desfigurar sistemas
alheios ou invadir contas em plataformas de terceiros não é CI ofensiva, é crime, mesmo com boa motivação. A pasta
de CI Ofensiva deste capítulo desenvolve essas práticas, e a nota de contraespionagem define o subconjunto voltado
ao operador humano adversário.

5. Tabela Comparativa dos Dois Modos

A tabela abaixo organiza as diferenças operacionais entre os modos, servindo de referência para decisões de desenho
de programa e de autorização de atividades.

Os dois modos não competem: o defensivo sustenta a operação diária e o ofensivo entra onde o defensivo precisa de
confirmação e de vantagem. Um programa maduro descreve explicitamente, em política, o que está sempre em modo
defensivo e o que precisa de autorização para operar em modo ofensivo, evitando improvisos sob pressão de
incidente.

6. Legalidade e Limites

O limite jurídico do modo ofensivo é a fronteira do perímetro. Operações dentro de ativos próprios, com dados
controlados pela organização e com envolvimento autorizado das pessoas envolvidas, estão amparadas pela legítima
defesa de interesses e pelo poder diretivo empregatício, desde que respeitem LGPD, sigilo de comunicações e normas
trabalhistas. Ações contra infraestrutura de terceiros, mesmo que essa infraestrutura seja a base do adversário,
configuram crime informático e expõem a empresa e o profissional a responsabilidade penal e civil, além de
retaliarem alvos que frequentemente são infraestrutura compartilhada e legítima.

Outros limites merecem atenção deliberada. A coleta sobre pessoas, incluindo monitoramento de funcionários
suspeitos de infiltração, precisa de base legal, proporcionalidade e envolvimento de jurídico e RH, conforme
tratado nas notas de vetting e de ameaça interna do capítulo. O engano pode produzir situações delicadas com
pessoas: um dangle que induz um funcionário a aceitar propina para depois denunciá-lo cria risco ético e
trabalhista, e a doutrina recomenda que iscas voltem-se à operação técnica e à avaliação de conduta já suspeita, e
não à tentação de condutas novas. Por fim, o compartilhamento de inteligência produzida em operações ofensivas deve
respeitar TLP e acordos, porque revelar o mecanismo pode queimar a isca e o programa.

7. Exemplos de Operação em Cada Modo

O primeiro exemplo ilustra o modo defensivo. Uma organização do setor financeiro, ao mapear que grupos de fraude
bancária operam com reconhecimento de funcionários no LinkedIn seguido de phishing dirigido, aplica CI defensiva em
quatro frentes: treina e monitora sinais de abordagem de recrutadores nas áreas sensíveis, endurece need-to-know
nos projetos de pagamento, planta credenciais isca em repositórios internos plausíveis e estabelece regra de
correlação no SIEM para uso de qualquer credencial isca, com resposta imediata de contenção. Nenhuma atividade
exige engano ativo além das iscas, e a operação roda indefinidamente como parte da linha de base.

Regra de correlação defensiva (KQL simplificado)
OfficeActivity
| where UserId in~ ("fin.vault.backup", "rh.dados.legacy")
| where Operation in ("FileAccessed", "FileDownloaded")
| extend foi_isca = true
| project TimeGenerated, UserId, OfficeWorkload, SourceFileName

O segundo exemplo ilustra o modo ofensivo. Diante de exfiltração confirmada de documentação de produto e da
hipótese de que o adversário continua com acesso a um repositório, a organização autoriza uma operação de engano:
substitui o conteúdo acessível pelo caminho suspeito por versões falsas de roadmap e especificação, cada cópia com
marca d'água única, e observa por duas semanas. A interação do adversário com a versão específica X confirma o
canal de acesso, o conteúdo falso contamina a avaliação que ele entregará a quem contratou a operação, e a
neutralização se completa com rotação de todos os segredos que a documentação real citava. A operação teve
autorização executiva, prazo definido e critério de encerramento documentado.

8. Erros Comuns e Pontos de Atenção

• Chamar de ofensivo o que é apenas irritação: responder a phishing com flood de e-mails ou atacar o servidor C2 é
  contra-ataque, não CI, e gera risco legal e de escalada sem ganho de inteligência.
• Operar ofensivamente sem autorização formal: engano mal documentado vira caso trabalhista ou reputacional quando
  descoberto; a correção é autorização executiva com escopo, prazo e critério de encerramento.
• Plantar iscas que ninguém encontra: isca mal posicionada não gera sinal; a correção é posicionar onde o
  adversário plausivelmente passaria, com base no modelo de TTPs da pasta de CI Defensiva.
• Não proteger o segredo das iscas: quando a existência do honeypot vira conteúdo de treinamento amplo ou de
  publicação, ele perde valor; a correção é need-to-know estrito sobre a infraestrutura de engano.
• Medir o ofensivo com métricas de volume: número de alertas de isca é métrica vã; a métrica útil é a qualidade da
  confirmação e a neutralização alcançada.
• Misturar os modos sem separação de governança: o time de operação diária não deve decidir sozinho por operar em
  modo ofensivo; a correção é trilha distinta de autorização e de revisão.

9. Integração com o Restante da Biblioteca

O modo defensivo recebe desenvolvimento completo na pasta 02 deste capítulo, com gestão de risco e TTPs, vetting,
segurança física e hardening, e encontra respaldo nos grupos INS e PRT da seção 15. O modo ofensivo se desenvolve
na pasta de CI Ofensiva do capítulo, com engano, contrainspeção e neutralização, e dialoga com Honeypots e
Honeynets (seção 02) na parte técnica de infraestrutura isca. A detecção de reconhecimento tratada no CTI.10.5 da
seção 15 é o ponto de contato operacional entre os modos: o sinal que o modo defensivo captura é o gatilho que o
modo ofensivo transforma em operação autorizada.