Gestão de Risco e Modelo TTPs

Primeira nota da pasta de CI Defensiva (Deter e Detectar) do Capítulo 13, que ancora a contra-inteligência
defensiva na gestão de risco: mapear adversários prováveis, catalogar seus TTPs e priorizar salvaguardas que
quebram as cadeias de ataque prováveis. Conecta-se aos grupos INS e PRT do Framework CTH (seção 15).

1. Contexto e Posicionamento na Biblioteca

As notas da pasta 01 deste capítulo definiram a CI como disciplina de fusão e descreveram seus modos. A partir
daqui, o capítulo desce para a prática, e a primeira prática de CI defensiva é a mais fundamental: decidir contra o
que se defender, com o quê e em qual ordem. Essa decisão pertence à gestão de risco, e o instrumento que a traduz
para o terreno de CI é o modelo de TTPs: o catálogo de táticas, técnicas e procedimentos que os adversários
prováveis da organização efetivamente usam.

A nota ocupa posição de ponte dentro da biblioteca. De um lado, consome os fundamentos de perfil de ameaças da
seção 01, o MITRE ATT&CK da seção 04 e o mapeamento de cobertura do grupo MAP da seção 15. Do outro, fornece a
justificativa de priorização para todas as práticas que seguem na pasta: vetting, need-to-know, segurança física e
hardening só têm orçamento e mandato quando mostram, na matriz de risco, qual cadeia de ataque adversária elas
quebram. O leitor deve sair desta nota sabendo construir e usar essa matriz.

2. CI Defensiva como Gestão de Risco

A CI defensiva não é uma coleção de controles, é um processo de decisão sobre risco. O risco relevante aqui tem
formato específico: probabilidade de que um determinado adversário conduza operação contra a organização,
multiplicada pelo impacto de essa operação atingir seus objetivos de coleta, e ponderada pela capacidade atual da
defesa de deter e detectar as técnicas que ele usa. A formulação importa porque desloca o eixo da discussão de
vulnerabilidades genéricas para operações adversárias concretas: a pergunta não é quais fragilidades existem, mas
quais fragilidades este adversário, com estes TTPs, exploraria primeiro.

Esse enfoque threat-driven é o mesmo que percorre a biblioteca desde o início, e a diferença de foco é sutil, mas
decisiva. Na segurança clássica de risco, o inventário de ameaças tende a ser genérico e estatístico; na CI, ele é
nominal e comportamental: grupos concretos, com histórico observável, contra setores e alvos específicos. A gestão
de risco de CI então trabalha com três insumos: o mapeamento de adversários prováveis, o modelo de seus TTPs e o
inventário de salvaguardas disponíveis. O produto é a priorização: onde investir primeiro, o que aceitar como risco
residual e o que monitorar por ser inviável de mitigar completamente.

3. Mapear Adversários Prováveis e seus TTPs

O ponto de partida é responder com honestidade analítica: quem tem motivação e capacidade de operar contra esta
organização. A resposta combina setor, geografia, valoração de dados, visibilidade pública e perfil de contratação.
Um fabricante de equipamento de defesa atrai espionagem patrocinada por Estado; um e-commerce atrai grupos
financeiros organizados como FIN7 e Goblin-like crews; um hospital atrai ransomware de dupla extorsão como ALPHV e
LockBit; uma empresa em processo de aquisição atrai coleta dirigida por terceiros interessados no negócio. O perfil
da seção 01 da biblioteca (Perfil de Ameaças) fornece o formato de registro.

A tabela abaixo exemplifica o mapeamento para uma organização industrial de médio porte com propriedade intelectual
valiosa e expansão internacional, mostrando como traduzir adversários prováveis em modelos de TTPs verificáveis.

Cada linha da tabela deve nascer de evidência, e não de imaginação: relatórios de CTI comercial e governamental,
compartilhamento em ISAC do setor, telemetria própria e casos públicos. O modelo de TTPs resultante é então
expresso em técnicas ATT&CK específicas, porque é esse grau de especificidade que permite mapear detecção e
controle linha a linha, como o grupo MAP da seção 15 exige.

4. Quebrar Cadeias de Ataque: Priorização de Salvaguardas

Com adversários e TTPs mapeados, a priorização das salvaguardas segue a lógica de quebrar cadeias, e não de cobrir
técnicas isoladas. A cadeia de ataque provável é a sequência mais plausível de táticas que o adversário precisaria
executar para alcançar o objetivo: reconhecimento, entrega, execução, persistência, movimento lateral, coleta e
exfiltração. Uma salvaguarda quebra a cadeia quando elimina ou degrada severamente um elo indispensável para os
TTPs modelados, e a força da quebra é o critério de prioridade.

Três regras práticas ordenam a análise. Primeira: quebrar cedo vale mais que quebrar tarde, porque o elo mais
próximo do início da cadeia protege contra mais variantes de campanha e reduz o custo de resposta; por isso,
need-to-know e hardening de e-mail prioritário valem mais que detecção sofisticada tardia. Segunda: quebrar a
técnica assinatura do adversário de maior risco produz retorno desproporcional, porque ela é o elo em que ele menos
tem alternativa; se o grupo alvo depende de valid accounts compradas, MFA resistente a phishing é a quebra de maior
valor da organização. Terceira: redundância nos elos críticos, porque a cadeia precisa de apenas um elo funcional
para avançar, e por isso a defesa em profundidade do grupo PRT pede duas ou três salvaguardas independentes por elo
crítico, uma de deter e outra de detectar no mínimo.

5. Relação com INS e PRT do Framework CTH

O Framework CTH da seção 15 fornece os grupos de controle em que as salvaguardas de CI defensiva se encaixam, e a
relação com INS e PRT é direta. O grupo INS (Inventário e Superfície de Ataque) entrega o conhecimento do terreno
que a gestão de risco de CI exige: INS.1 e INS.2 dão inventário de ativos e de software, que define o que o
adversário poderia mirar; INS.3 e INS.4 mapeiam a superfície externa e monitoram exposição, que é o primeiro
estágio da cadeia de reconhecimento; INS.5 define baselines de normalidade que habilitam a detecção de desvio. Sem
esse conhecimento, a matriz de risco de CI opera sobre um terreno desconhecido.

O grupo PRT (Defesa em Profundidade) entrega as salvaguardas de proteção em que as quebras de cadeia se
materializam: PRT.1 cobre endpoint com EDR e AV, PRT.2 cobre rede com NDR, PRT.3 cobre web com WAF, e assim por
diante. A conexão disciplinada é a seguinte: a matriz adversário por TTP por controle desta nota decide quais
salvaguardas PRT são prioritárias e com qual profundidade de configuração, e o MAP da seção 15 mede a cobertura
resultante contra ATT&CK. A CI defensiva, nesse arranjo, não cria um novo acervo de controles: ela fornece a
inteligência que prioriza, calibra e justifica os controles existentes do framework.

6. Matriz Adversário x TTP x Controle

O instrumento prático da nota é a matriz que cruza adversário, técnica e salvaguarda, atribuindo a cada célula um
julgamento de cobertura. O formato abaixo serve de gabarito para o programa, e o exemplo usa o adversário de maior
risco da tabela da seção 3, a espionagem patrocinada por Estado.

A leitura da matriz dirige investimento com clareza: os dois elos fracos mapeados são acesso inicial por credencial
e exfiltração por serviço de nuvem, e são eles que recebem as próximas iniciativas, com prazo e responsável. O
acompanhamento da matriz é periódico, trimestral no formato usual de mercado, e recebe três tipos de gatilho de
atualização: mudança no perfil de adversários do setor, observação de TTP novo na telemetria própria e mudança na
arquitetura de salvaguardas. O script abaixo ilustra a automação mínima do acompanhamento, cruzando detecções
habilitadas no SIEM com as técnicas da matriz.

Automação mínima de acompanhamento (pseudoconsulta)
1. Fontes: inventário de regras de detecção (SIEM), catálogo MISP/OpenCTI,
   planilha da matriz de CI.
2. Junção por técnica ATT&CK: para cada técnica da matriz, verificar se há
   regra habilitada que cobre a técnica no sensor correspondente.
3. Saída: coluna "Cobertura hoje" recalculada com data e evidência da regra.
4. Alerta: técnica de adversário prioritário com cobertura "Fraca" há mais
   de um trimestre abre item no comitê de risco com proposta de salvaguarda.

7. Erros Comuns e Pontos de Atenção

• Modelar adversários por fama e não por proximidade: APT famosa não é ameaça provável por ser famosa; a correção é
  âncora em evidência setorial, telemetria própria e compartilhamento de ISAC.
• Listar TTPs sem especificidade: escrever phishing sem dizer qual variante, qual vetor e qual alvo interno impede
  o mapeamento de controle; a correção é técnica ATT&CK com subtécnica e contexto.
• Priorizar por ferramenta vendida: a matriz que nasce de um apelo comercial não quebra cadeia; a correção é partir
  da cadeia provável e aceitar a ferramenta só se ela quebra elo identificado.
• Medir cobertura por número de regras: centenas de regras genéricas não cobrem a técnica assinatura do adversário
  prioritário; a correção é medir cobertura por técnica mapeada na matriz.
• Congelar a matriz: adversário muda de TTP quando detectado, e matriz estática vira documento morto; a correção é
  ciclo trimestral com gatilhos de atualização por evento.
• Ignorar o elo humano: cadeia modelada só em termos técnicos deixa de fora o recrutamento e o insider, que são
  elos reais nos casos de espionagem; a correção é incluir técnicas humanas na matriz, ligando-a ao vetting e ao
  need-to-know.
• Confundir inventário de ativos com modelo de ameaça: saber o que existe não diz quem ataca e como; a
  correção é parear o inventário do INS com os adversários e TTPs observados na matriz, e não o contrário.

8. Integração com o Restante da Biblioteca

A matriz desta nota é o insumo de priorização que as demais práticas da pasta de CI Defensiva consomem: vetting e
need-to-know quebram o elo humano de coleta, segurança física fecha o elo de acesso ao terreno e hardening reduz a
superfície que o reconhecimento explora. Com a seção 01, a nota usa o Perfil de Ameaças e o ciclo de inteligência;
com a seção 04, usa o ATT&CK como vocabulário de TTPs e o EASM como visão da superfície externa. Com a seção 15,
alimenta o INS com foco de inventário, o PRT com prioridade de salvaguardas e o MAP com medição de cobertura por
adversário prioritário, e retroalimenta o hunting orientado por inteligência da seção 10, cujas hipóteses nascem
naturalmente das células fracas da matriz.