Operações de Contraespionagem

Nota 01 do bloco CI Ofensiva (Detectar, Enganar, Neutralizar), dentro da taxonomia de CI do capítulo 13 (Contra-Inteligência).
Traduz a operação de contraespionagem clássica para o ciberespaço corporativo: o que a caracteriza, objetivos legítimos, fases, instrumentação e governança, com um cenário fictício conduzido de forma ética.
Dialoga com as notas 02 (Dangles, Doubles e Barium Meals) e 03 (Decepção e Manipulação do Adversário) deste bloco, com a nota da CI Defensiva e com o controle CTI.10 do capítulo 15.

1. Contexto e Posicionamento na Biblioteca

A contraespionagem é o ramo da disciplina que identifica, monitora e neutraliza a atividade de agentes adversários contra os interesses da organização. No ciberespaço corporativo, isso significa tratar o intruso não apenas como incidente a remover, mas como fonte de informação sobre quem ataca, com qual intenção e com qual capacidade. A operação de contraespionagem é a unidade de trabalho da CI Ofensiva: um esforço deliberado, autorizado e delimitado no tempo, cujo produto principal é conhecimento sobre o adversário e cujo subproduto é tempo e vantagem para a defesa.

Esta nota abre o bloco porque estabelece o arcabouço que as demais detalham: a nota 02 apresenta o vocabulário do engano, a nota 03 cobre a teoria da decepção e a nota 04 trata da neutralização de capacidades por vias legais. O pressuposto de todo o bloco é institucional: operação é atividade defensiva documentada, conduzida dentro de infraestrutura própria, com mandato escrito e parecer jurídico, nunca improvisação ofensiva de analista entusiasmado. A diferença entre as duas posturas não é de técnica, é de governança, e é essa diferença que separa uma organização madura de um risco jurídico ambulante.

2. O Que Caracteriza uma Operação de Contraespionagem

Três elementos distinguem uma operação de contraespionagem de um incidente bem analisado. O primeiro é a intenção de manter o contato em vez de encerrá-lo: onde o fluxo de resposta a incidentes busca contenção e erradicação imediatas, a operação aceita prolongar a observação para colher informação, sempre que o risco a ativos for aceitável e os dados em jogo forem substituíveis ou falsos. O segundo é a pergunta central: a resposta a incidentes pergunta como o adversário entrou e o que ele tocou, enquanto a contraespionagem pergunta quem ele é, o que busca e o que faria a seguir. O terceiro é a governança: a operação existe por autorização escrita, com escopo, prazo, limites e critérios de aborto definidos antes do primeiro movimento e revisados a cada etapa.

A tabela não sugere substituição entre as disciplinas, e sim sequência de decisão: toda operação de contraespionagem nasce de detecção sólida e só é autorizada quando a contenção imediata não é obrigatória. Ativo crítico sendo exfiltrado naquele momento não é candidato a operação, é candidato a contenção. A operação é candidata quando o contato está em fase inicial, o ativo em jogo é controlado e o valor da informação a colher supera o risco de prolongar a presença do intruso.

3. Objetivos Legítimos: Operador, Intenção e Proteção de Ativos

O primeiro objetivo é identificar o operador, e a palavra identificar precisa ser lida com rigor técnico. Em ambiente corporativo, identificar significa caracterizar: fuso horário e ritmo de trabalho inferidos dos timestamps, idioma de comandos e comentários, conjunto de ferramentas, nível de habilidade, sofisticação de infraestrutura e sobreposição com grupos conhecidos publicados em relatórios. Não significa, salvo com autoridade policial envolvida, apontar pessoa física, e a nota 02 do capítulo 05 (Atribuição de Ameaças) é a referência obrigatória sobre os limites dessa inferência.

O segundo objetivo é mapear a intenção. Espionagem industrial, precursor de ransomware, fraude financeira e reconhecimento contratado a terceiros pedem respostas organizacionais diferentes, e a intenção é inferida da trajetória: quais pastas o operador enumera, quais sistemas ele testa, que volume ele move e em que momento ele abandona terreno. O terceiro objetivo, que justifica todos os outros, é proteger ativos: cada hora de operação bem conduzida transfere informação para a defesa, eleva o custo do adversário e reduz a probabilidade de que a próxima campanha contra a organização alcance o mesmo ponto.

4. Fases Típicas da Operação

A operação madura atravessa quatro fases nomeadas. Na detecção de reconhecimento, os sinais chegam de fontes variadas: varredura dirigida em faces externas, resolução de honeytokens de DNS plantados em registros públicos, tentativas de login em contas canário e phishing direcionado a setores específicos. A qualidade da fase depende diretamente da malha de iscas da nota 05 do capítulo 02 e da gestão de superfície do capítulo 04, porque reconhecimento invisível é fase que simplesmente não acontece para o defensor.

Na decisão de engajar, o comitê de autorização reúne jurídico, segurança, TI e o dono do negócio afetado, pesa o valor da informação contra o risco e fixa o mandato com escopo, prazo e critérios de aborto. Na condução, o time observa, coleta com preservação de evidência e aplica engano controlado conforme as notas 02 e 03, mantendo o adversário em terreno monitorado. No desengajamento, o encerramento é executado com a mesma disciplina: contenção final, cadeia de custódia completa, desativação das iscas e registro das lições no ciclo de CI da pasta 04.

5. Governança, Autorização e Limites Legais

O mandato escrito é o documento que separa operação de improviso, e o trecho abaixo mostra a estrutura mínima aceitável. Três limites legais merecem destaque em qualquer jurisdição. Primeiro, a organização não invade: nenhuma ação contra infraestrutura do adversário, nenhum acesso a sistemas de terceiros, nenhuma devolução de ataque, porque a neutralização do mundo externo segue exclusivamente as vias legais da nota 04 deste bloco. Segundo, a organização não induz: iscas oferecem oportunidade de observação, não convite ao crime, e o desenho das notas seguintes é explícito ao esconder em vez de atrair. Terceiro, a organização trata dado pessoal capturado como dado pessoal: conteúdo de sessões pode conter informação de terceiros e pede base legal, retenção limitada e sigilo, em linha com a LGPD e com a nota 03 do capítulo 12.

# Estrutura mínima do mandato de operação de contraespionagem
operacao: OP-2025-014
gatilho: resolucao_de_honeytoken_dns_em_registro_publico_da_marca
escopo: [infraestrutura_isca, segmento_DMZ_monitorado, caixa_correio_isca]
proibido: [acesso_a_infraestrutura_do_adversario, contra_ataque, dados_reais_em_iscas]
comite: [juridico, ciso, infraestrutura, dono_do_negocio]
prazo_maximo: 30_dias
criterios_de_aborto:
  - qualquer_sinal_de_exfiltracao_de_dado_real
  - aproximacao_de_ativo_fora_do_escopo
  - mudanca_de_comportamento_para_destruicao
revisao: semanal_com_registro_de_decisao
encerramento: plano_de_contencao_e_custodia_escrito_com_o_mandato

6. Instrumentação da Condução

A fase de condução exige que cada isca envolvida tenha alerta priorizado e rota de coleta, porque engano sem telemetria é só exposição. O padrão é o mesmo do pipeline do capítulo 02: eventos das iscas entram no SIEM com tag de origem, cada uso de credencial canário dispara alerta de severidade máxima e cada interação com terreno falso é correlacionada com a linha do tempo da operação. A consulta abaixo exemplifica a detecção de uso de conta canário em eventos de logon do Windows, com filtragem por tipo de logon para separar sessão interativa de autenticação de serviço.

// Uso de credencial canário: logons bem-sucedidos de contas plantadas
SecurityEvent
| where EventID == 4624
| where TargetUserName in~ ("svc_backup_legado", "adm_rotina_financeiro")
| where LogonType in (2, 3, 10)  // interativo, rede e remote desktop
| project TimeGenerated, Computer, TargetUserName, IpAddress, LogonType
| extend severidade = "critica", classe = "isca_identidade"

A regra complementar cobre o sinal mais precoce da malha: a resolução de honeytoken de DNS. Subdomínio canário publicado em registro público, em zona histórica ou em documento vazado não tem qualquer uso legítimo, de modo que a regra pode ser crítica sem risco de falso positivo relevante. Ambas as detecções alimentam o mesmo dossiê da operação, e a correlação entre elas é o que permite distinguir varredura automatizada incidental de operador humano dirigido, separação que decide se o caso chega ou não ao comitê.

# Regra Sigma: resolução de honeytoken de DNS, sinal de reconhecimento dirigido
title: Resolucao de subdominio honeytoken corporativo
status: stable
logsource:
  category: dns
  product: zeek
detection:
  selection:
    query|endswith: ".canario-marca.example"
  condition: selection
tags: [contrainteligencia, reconhecimento]
level: critical

7. Cenário Fictício: Operação Lanterna Cinza

O cenário a seguir é inteiramente fictício e serve de gabarito de conduta. Uma instituição de médio porte percebe resoluções repetidas de um subdomínio canário que só existia em um registro DNS público esquecido, sinal clássico de reconhecimento dirigido. O comitê autoriza operação com 21 dias de prazo: a face externa isca expõe um portal de acesso remoto falso com credenciais canário, um segmento de DMZ monitorado recebe cópia de serviços sem dado real, e todo o tráfego do portal é registrado. O operador adversário usa a credencial plantada, acessa o portal falso, enumera o segmento e abre uma planilha de "clientes" que é, na verdade, um documento marcado conforme a nota 02 deste bloco.

O produto final foi um perfil de operador (fuso de trabalho, toolkit, nível intermediário, padrões compatíveis com execução contratada), um mapa de intenção (enumeração financeira antes de qualquer movimento destrutivo, compatível com espionagem ou pré-ransomware) e um conjunto de detecções novas para o SIEM, tudo sem exposição de dado real e sem qualquer ação contra infraestrutura do adversário. O relatório alimentou os requisitos de inteligência da nota 07 do capítulo 01 e o feedback do ciclo de CI, fechando o loop institucional.

8. Erros Comuns e Pontos de Atenção

• Conduzir operação sem mandato escrito; efeito: exposição jurídica e impossibilidade de defesa institucional; correção: comitê de autorização e mandato com escopo, prazo e critérios de aborto.
• Engajar quando a contenção é obrigatória; efeito: dano irreversível a ativo real em troca de informação; correção: critério prévio de ativo substituível ou falso.
• Usar dado real nas iscas; efeito: vazamento efetivo por via própria e perda de controle; correção: apenas dados sintéticos verossímeis, revisados antes da exposição.
• Confundir identificar operador com denunciar pessoa; efeito: atribuição precipitada e risco legal; correção: perfil técnico e comportamental, inferência de grupo apenas com confiança declarada.
• Operar sem preservação de evidência; efeito: material inutilizável quando o caso migra para a esfera legal; correção: cadeia de custódia desde o primeiro dia, conforme a nota 03 do bloco de Tipologias e Interfaces.
• Deixar a operação sem dono e sem revisão; efeito: engano esquecido ligado, custo acumulado e isca queimada por abandono; correção: revisão semanal com registro de decisão.
• Tratar o adversário como alvo de punição; efeito: deriva ofensiva ilegal e escalada; correção: postura de neutralização legal pela nota 04, nunca de retaliação.
• Não ensaiar o desengajamento; efeito: encerramento improvisado destrói evidência e alerta o adversário sem ganho; correção: plano de encerramento escrito junto com o mandato.

9. Integração com o Restante da Biblioteca

A operação de contraespionagem é o elo que transforma a coleta do capítulo 02 em vantagem institucional. Os honeypots e honeytokens da nota 05 do capítulo 02 deixam de ser sensores e passam a ser peças de engano; a análise de atribuição do capítulo 05 recebe material fresco de comportamento; e os IOCs resultantes alimentam o capítulo 03 com proveniência de altíssima confiabilidade, porque toda interação com isca é, por definição, atividade do adversário.

Para frente no capítulo 13, esta nota é o quadro no qual as demais operam: o vocabulário de dangles e doubles da nota 02 fornece os instrumentos da fase de condução, a teoria da decepção da nota 03 orienta o desenho do engano e a neutralização da nota 04 define o que fazer com a capacidade adversária após o encerramento. No capítulo 15, o controle CTI.10 formaliza a proteção de contra-inteligência no Framework CTH, e a esteira da pasta 00 mostra em que ponto da esteira a operação entra. A lição técnica que atravessa todas as conexões: a operação vale o que vale o registro dela, e uma operação não documentada é, para todos os efeitos de governança, uma operação que não aconteceu.