Indicadores e Plano de Coleta

Nota 03 do capítulo 13, pasta 04 - Processo e Ciclo de CI. Converte os vetores prováveis da matriz de risco de espionagem em indicadores de atividade adversária observáveis e em um plano de coleta com fontes técnicas, humanas e físicas.
Recebe a matriz da nota 02 e entrega o catálogo que alimenta a detecção e triagem da nota 04, no limite legal da coleta discutido aqui e na nota 05.
Dialoga com o capítulo 02 (fontes de dados e coleta) e com as notas 09 do capítulo 01 sobre EEIs.

1. Contexto e Posicionamento na Biblioteca

A terceira fase do ciclo de CI responde à pergunta operacional que decide se o programa funciona: o que exatamente vamos observar, onde e com que cadência, para perceber um adversário antes que a coleta dele esteja consumada. A resposta na doutrina de CI são os indicadores de atividade adversária, aqui chamados de IAA, que se diferenciam dos indicadores de comprometimento tradicionais por registrarem preparação e não execução. Uma varredura dirigida, uma abordagem de recrutamento, um pedido disfarçado de consultoria e uma tentativa de acesso físico recusada são todos indícios de que alguém está trabalhando contra a organização, muito antes de qualquer dado sair por uma porta.

A fase produz dois entregáveis encadeados. O catálogo de indicadores define, para cada vetor provável da matriz de risco, o que seria observável se a coleta adversária começasse. O plano de coleta define, para cada indicador, quais fontes responderão por ele, quem é o dono, qual é a cadência de leitura e qual é a saída esperada. Sem plano, o catálogo vira lista de boas intenções; sem catálogo, a coleta vira acumulação de telemetria sem direção. Os dois juntos são o contrato operacional entre a fase de avaliação, que mapeou o risco, e a fase de detecção, que vai filtrar o sinal.

O limite legal é parte da fase, e não um anexo. Contra-inteligência corporativa coleta apenas sobre fontes próprias, fontes abertas e relatos institucionais legítimos, e a linha entre observar e invadir é cruzada com frequência por programas entusiasmados. Esta nota dedica uma seção inteira ao que é permitido, ao que é proibido e ao tratamento prudente da chamada coleta passiva de dados ilícitos, tema em que a curiosidade profissional encontra risco jurídico real.

2. Indicadores de Atividade Adversária: Conceito e Distinção de IOC

Um IAA é um evento observável cuja presença, padrão ou sequência indica atividade de coleta por um adversário em preparação. A distinção em relação ao IOC (Indicator of Compromise) é temporal e conceitual: o IOC confirma que um comprometimento aconteceu, enquanto o IAA sugere que um processo de coleta está em curso ou começando. Essa diferença muda tudo na operação, porque o valor do IAA está em dar tempo de reação, e o custo está em operar com evidência mais fraca, o que exige triagem mais cuidadosa como a nota 04 descreve.

A tabela explica por que a CI não substitui o SOC e por que o SOC sozinho não faz CI. Os dois consomem fontes diferentes e respondem perguntas diferentes, e a integração entre eles é um dos pontos de maturidade que o capítulo 10 da biblioteca trata em detalhe. Um IAA frequentemente chega por um canal humano, ganha contexto técnico no SOC e volta para a CI como hipótese de caso, e é esse trânsito que o plano de coleta precisa garantir por desenho.

Cinco propriedades separam um IAA operável de uma frase de desejo, e o catálogo da seção seguinte foi construído respeitando-as. Indicador que falha em duas ou mais propriedades é candidato a reescrita ou aposentadoria na revisão trimestral.

• Observável por fonte existente ou acessível: se nenhuma fonte legítima pode registrar o evento, o indicador é letra morta.
• Descritível em linguagem operacional: um relator sem contexto técnico precisa reconhecer o evento quando ele acontece.
• Específico por ativo: indicador amarrado a um crown jewel vale mais do que uma frase genérica sobre espionagem.
• Dotado de linha de base: sem o padrão normal da fonte, nenhuma anomalia é identificável, e a linha de base é parte do indicador.
• Associado a limiar declarado: o número ou a repetição que transforma observação em sinal precisa estar escrito antes do primeiro evento.

A linha de base merece ênfase, porque ela é o que separa detecção de adivinhação. Um pedido de imprensa só é sinal quando comparado com o padrão histórico de pedidos; uma exportação só é anômala contra o volume normal da conta; uma varredura só é dirigida quando contrasta com o fundo de ruído da internet que bate no perímetro todos os dias. O plano de coleta deve incluir um período de calibração de 30 a 60 dias para fontes novas, durante o qual eventos são registrados sem alerta, e a linha de base resultante entra no campo de limiar do indicador.

3. Catálogo Base de Indicadores por Vetor

O catálogo abaixo cobre os indicadores de maior rendimento para os riscos de espionagem mapeados na nota 02, organizados por vetor. Cada organização deve adaptá-lo aos seus ativos P1 e P2, e a regra prática é exigir que todo ativo P1 tenha pelo menos dois indicadores de vetores diferentes cobrindo-o.

• Abordagem de funcionário por recrutador não identificado, especialmente quando o interesse recai sobre o projeto atual e não sobre a vaga, e quando a empresa declarada é difícil de verificar.
• Contato de consultor, jornalista ou pesquisador pedindo detalhes técnicos desproporcionais ao propósito declarado, com prazos artificiais e insistência após recusa.
• Varredura externa dirigida a um conjunto específico de ativos de perímetro, em janela temporal estreita, especialmente após publicações da organização sobre produto ou parceria.
• Tentativa de acesso físico recusada, visitante que desvia de roteiro, interesse desproporcional em áreas não comerciais e coleta de descarte em arredores da planta.
• Pico de exportação de arquivos ligados a um crown jewel por conta com acesso legítimo, fora do padrão histórico da conta e sem aprovação associada.
• Candidato a vaga com histórico profissional difícil de verificar e interesse recorrente em processos internos durante as entrevistas.
• Contato de ex-funcionário com colegas pedindo atualizações sobre projetos, fora do escopo plausível do novo emprego.
• Reconhecimento de perfis públicos de pessoas-chave em redes profissionais, relatado pelos próprios funcionários ou observado por padrões de visualização quando a plataforma permite.
• Sonda de credenciais de funcionários em serviços de autenticação, com origem que coincide com campanhas de phishing dirigidas ao setor.
• Pedido de acesso amplo por fornecedor ou consultor recém-onboardizado, sem justificativa compatível com o escopo contratado.

O catálogo é vivo e tem governança própria: cada indicador tem um ID, uma descrição operacional que um relator não técnico consiga reconhecer, o ativo que protege, as fontes que responderão por ele e o limiar que separa ruído de sinal. Indicadores sem limiar geram fila infinita de falsos positivos, e indicadores sem fonte atribuída nunca são checados; os dois defeitos são os mais comuns em catálogos reais.

4. Plano de Coleta: Estrutura, Fontes e Cadências

O plano de coleta organiza a resposta a cada indicador em três classes de fonte, e a tabela abaixo define as classes com exemplos e limitações típicas. A diversidade de classes é deliberada, porque os vetores humano e físico raramente deixam rastro técnico, e o vetor técnico raramente é percebido por canais humanos.

Três regras estruturam o plano. Primeira regra: cada indicador tem dono nomeado, e o dono é uma função, não uma pessoa física, porque o plano precisa sobreviver a trocas de equipe. Segunda regra: cada fonte declara a sua cadência de leitura, e a leitura é efetivamente executada por alguém, com registro, porque plano não lido é igual a plano inexistente. Terceira regra: a saída de cada leitura é padronizada, com registro positivo, negativo ou inconclusivo, e é essa padronização que permitirá às notas 04 e 06 medir cobertura e feedback.

A integração técnica do plano com o SOC merece registro explícito. Os indicadores de classe técnica são implementados como regras de detecção no SIEM, no vocabulário do capítulo 18, com consulta agendada e alerta para o analista de plantão, e os indicadores de classe humana e física são implementados como formulários e procedimentos operados por RH e segurança patrimonial. O bloco abaixo exemplifica a implementação de um indicador de varredura dirigida como consulta agendada.

IAA-03: varredura externa dirigida a ativos ligados a CJ-01 e CJ-02
Fonte técnica: logs de firewall de perímetro e plataforma EASM
Lógica: origem externa única consultando 5 ou mais portas distintas em 3 ativos
  que aparecem publicamente associados ao produto estratégico, em janela de 24 horas.
Consulta agendada (KQL simplificada):
DeviceNetworkEvents
| where RemoteIPType == "Public"
| summarize PortasDistintas=dcount(RemotePort), Ativos=dcount(DeviceName)
    by IPAddressRemote=RemoteIP, bin(Timestamp, 24h)
| where PortasDistintas >= 5 and Ativos >= 3
| project Timestamp, IPAddressRemote, Ativos, PortasDistintas
Saída: alerta para fila de triagem CI com tag IAA-03 e ativos envolvidos.
Falso positivo esperado: monitoramento externo contratado (lista de permissão por CIDR).

Para as classes humana e física, a implementação do plano é procedural, e a qualidade desses procedimentos decide se os indicadores correspondentes existem na prática ou apenas no papel. Os itens abaixo são o mínimo operacional observado em programas que fazem as classes humana e física funcionarem de verdade.

• Formulário único de registro de abordagem, com campos fixos de identidade declarada do abordador, canal, conteúdo, alvo e data, acessível a qualquer funcionário em poucos minutos.
• Convênio formal entre CI e segurança patrimonial, definindo o que é repassado diariamente, em que formato e com qual ponto de contato, para que o CFTV e o controle de visitantes virem fonte de inteligência e não arquivo morto.
• Instrução de encaminhamento para comunicação e comercial, definindo que pedidos de imprensa e consultoria com conteúdo técnico são repassados à CI antes de qualquer resposta substantiva.
• Bloco dedicado na entrevista de saída, executado pelo RH, que registra se houve abordagens externas durante o vínculo e como o funcionário reagiu, alimentando a linha de base do vetor humano.

5. Limites Legais e a Coleta Passiva de Dados Ilícitos

A linha legal da coleta de CI é mais estreita do que o entusiasmo do primeiro caso sugere, e a organização que a ignora transforma um programa de proteção em passivo jurídico. É legítimo coletar sobre fontes próprias, como telemetria interna, registros de visitantes e e-mails corporativos cobertos por aviso de monitoramento; sobre fontes abertas, como publicações, registros públicos e redes sociais sem violação de termos; e sobre relatos institucionais, como o funcionário que registra uma abordagem. É proibido acessar sistemas de terceiros sem autorização, comprar ou aceitar dados claramente obtidos de forma ilícita, usar pretexting contra terceiros para obter registros protegidos, gravar pessoas sem base legal e monitorar funcionários fora do escopo e do aviso formal.

A chamada coleta passiva em comunidades adversárias merece cuidado específico, porque existe uma zona cinzenta tentadora. Observar publicamente fóruns abertos, sem interação e sem login, para detectar menções à organização é uma prática consolidada, desde que documentada e aprovada pelo jurídico. O que não se faz é entrar em comunidades fechadas sob identidade falsa, interagir com vendedores de dados roubados, aceitar amostras de vazamentos para "confirmar" a origem ou adquirir bases vazadas da própria organização: cada uma dessas ações pode caracterizar participação em cadeia ilícita, além de alertar o adversário da existência da coleta. A regra prática desta biblioteca é simples: se a evidência só pode ser obtida por conduta que a organização não defendaria publicamente em juízo, ela não será coletada, e a lacuna será registrada para tratamento por outro caminho, como pedido formal, cooperação com autoridades ou monitoramento de fontes que reflitam o conteúdo de forma legítima.

Antes de habilitar qualquer fonte nova, o plano exige resposta a quatro perguntas de verificação, com aprovação do jurídico registrada. Elas custam poucos minutos e evitam os incidentes mais caros da disciplina, que são legais e reputacionais, e não técnicos.

• Qual é a base legal específica desta fonte, e qual aviso, contrato ou política a sustenta?
• O uso desta fonte poderia ser defendido publicamente, em detalhe, sem constrangimento para a organização?
• A coleta desta fonte alerta o adversário de que ele está sendo observado, e o benefício compensa essa perda de vantagem?
• Os dados coletados incluem dados pessoais de funcionários ou de terceiros, e o tratamento deles respeita a lei de proteção de dados e as políticas internas?

6. Exemplo de Plano de Coleta Tabulado

O plano abaixo usa os indicadores do catálogo da seção 3 sobre o cenário da oficina da nota 01. Ele é propositalmente operacional: donos por função, cadências declaradas e saídas padronizadas, que é o formato que sobrevive à troca de equipe.

O plano também declara lacunas assumidas, e o registro delas é o que permite ao feedback da nota 06 melhorar o ciclo seguinte. No exemplo acima, o IAA-08 tem cobertura fraca, porque plataformas profissionais limitam a visibilidade de quem visualizou perfis, e essa limitação é anotada: a resposta possível é reforçar o relato voluntário com sensibilização específica, e não contratar um serviço obscuro que prometa o impossível.

REGISTRO DE LACUNA DE COLETA
ID: LAC-02 | Indicador afetado: IAA-08 | Ativo: CJ-03
Limitação: a rede profissional não expõe quem visualizou perfis; visibilidade parcial.
Risco: reconhecimento de pessoas-chave pode ocorrer sem sinal observável.
Tratamento aceito: reforço do relato voluntário; sensibilização específica do público;
  revisão da exposição pública dos perfis ligados ao ativo, sem exigir ocultação total.
Revisão: a cada ciclo, com teste de nova fonte aprovada pelo jurídico.

O registro de lacuna cumpre uma segunda função que raramente é percebida: ele protege a equipe de CI na revisão do ciclo, porque distinguir lacuna assumida de omissão involuntária é a diferença entre um programa honesto sobre seus limites e um programa que apenas esqueceu de olhar. A nota 06 consome esses registros na avaliação do feedback.

7. Manutenção do Plano e Métricas de Cobertura

O plano de coleta envelhece rápido, porque os adversários mudam de vetor quando percebem observação e a organização muda de ativos a cada ciclo de direcionamento. A manutenção segue a cadência trimestral de revisão do catálogo, na qual cada indicador recebe um destino: manter, ajustar limiar, aposentar por inutilidade ou substituir por um melhor. Aposentar indicador é decisão tão importante quanto criar, porque catálogo inflado dilui a atenção de quem tria e esconde os indicadores que realmente funcionam.

As métricas mínimas de cobertura conectam esta fase ao capítulo 11. A cobertura de ativos mede o percentual de ativos P1 e P2 com pelo menos dois indicadores de vetores distintos; a cobertura de células mede o percentual de células de risco alto da matriz com ao menos um indicador correspondente; e a taxa de sinais úteis mede, na fila de triagem, quantos eventos por indicador geraram caso ou ajuste de salvaguarda no trimestre. Um plano saudável costuma apresentar cobertura de ativos acima de 90 por cento, cobertura de células acima de 80 por cento e sinais úteis concentrados em poucos indicadores, o que já aponta onde a manutenção deve cortar.

A decisão da revisão trimestral tem quatro destinos possíveis por indicador, e a tabela abaixo fixa o critério de cada um. Formalizar os destinos evita que a revisão vire renovação automática de tudo, que é o comportamento default quando não existe critério escrito.

8. Erros Comuns e Pontos de Atenção

O erro mais comum da fase é confundir plano de coleta de CI com lista de feeds: baixar inteligência técnica externa não é coleta de CI, porque o problema da disciplina não é saber o que o mundo de ameaças produz, e sim perceber o que está sendo feito contra ativos específicos. O segundo erro é concentrar todas as fontes na classe técnica e deixar o RH e a segurança patrimonial fora do plano, o que cega o programa exatamente para os vetores onde a espionagem corporativa prefere operar. O terceiro erro é construir o plano sem limiares e sem donos, entregando uma tabela bonita que ninguém lê semanalmente.

Dois cuidados completam a lista. O primeiro é documental: cada indicador precisa de descrição operacional testada, e o teste simples é pedir a um relator leigo que identifique o evento descrito; se ele não conseguir, o indicador precisa ser reescrito. O segundo é jurídico e constante: o plano deve ser revisado pelo jurídico na criação e nas mudanças, com registro de aprovação, porque fontes e procedimentos evoluem, e uma fonte aceitável em um ciclo pode não ser no seguinte. Essa disciplina de registro também protege a equipe em eventual contestação, como a nota 05 detalha no contexto de investigação e produção de prova.

9. Integração com o Restante da Biblioteca

O catálogo e o plano alimentam a nota 04 desta pasta, que define como os eventos coletados são triados em plausibilidade e impacto antes de virarem casos, e a nota 05, que consome as evidências reunidas quando a triagem escala um caso. No capítulo 02, as notas sobre fontes técnicas e humanas detalham as ferramentas e os métodos de coleta que este plano apenas orquestra; no capítulo 01, a nota 09 sobre EEIs fornece o formato dos elementos de informação que cada indicador deve produzir; e no capítulo 03, a taxonomia de indicadores contextualiza a diferença entre IOC, IOA e o IAA aqui apresentado. No capítulo 15, o grupo COL materializa o plano em salvaguardas de coleta, e o capítulo 18 fornece o padrão de engenharia das regras de detecção que implementam a classe técnica do plano.