Detecção e Triagem (Sinal para Foco)

Nota 04 do capítulo 13, pasta 04 - Processo e Ciclo de CI. Trata da separação entre sinal e ruído cotidiano: como os eventos coletados pelos indicadores da nota 03 são triados por plausibilidade e impacto antes de virarem casos.
Define a matriz de decisão da triagem, o tratamento de falsos positivos típicos de CI e o fluxo de escalonamento que alimenta a investigação da nota 05.
Assume o catálogo de indicadores e o plano de coleta da nota 03 e dialoga com a metodologia de caça do capítulo 07.

1. Contexto e Posicionamento na Biblioteca

A quarta fase do ciclo de CI é onde a teoria encontra o cotidiano: as fontes do plano de coleta produzem eventos todos os dias, e a esmagadora maioria deles não significa nada. Um recrutador real, um pentest interno, um cliente curioso e um consultor de verdade geram exatamente o mesmo tipo de observação que uma coleta adversária bem executada. O valor do programa de CI se decide aqui, na qualidade da triagem: triagem que descarta tudo cega o programa, e triagem que escala tudo afoga a investigação e irrita os donos de ativos até o fim do apoio político.

A triagem de CI difere da triagem de alertas do SOC em dois pontos que valem destaque. Primeiro, o volume é menor e a evidência é mais fraca, porque os indicadores humanos e físicos chegam como relatos e padrões, e não como logs; a decisão exige mais julgamento por evento. Segundo, o custo de escalar é diferente: abrir um caso de CI toca pessoas, pode envolver jurídico e RH e, se conduzido sem discrição, alerta o adversário, como a nota 05 detalha. Por isso a triagem de CI usa dois eixos, plausibilidade e impacto, e exige critérios escritos para cada um, em vez da intuição de quem está de plantão.

Esta nota define o conceito de sinal, os critérios de plausibilidade e impacto, a matriz de decisão que combina os dois eixos, os falsos positivos típicos de CI com seus discriminadores práticos e o fluxo de escalonamento com cadências de revisão. O produto da fase é uma fila de casos potenciais priorizados, entregue com o contexto suficiente para que a investigação da nota 05 comece sem retrabalho.

2. Sinal, Ruído e o Problema de Detecção em CI

Sinal é um evento que casa com um indicador do catálogo e sobrevive à primeira checagem de contexto; ruído é todo o resto, que é quase tudo. A assimetria é brutal e merece números: um plano de coleta maduro para uma organização de mil funcionários costuma gerar dezenas de eventos qualificados por semana, e menos de um por mês vira caso investigado. O objetivo da detecção não é maximizar eventos, e sim maximizar casos verdadeiros por unidade de esforço de triagem, que é a métrica de eficiência que conecta esta fase ao capítulo 11.

O problema específico de CI é que o adversário controla o ritmo da própria observabilidade. Uma coleta competente se disfarça de atividade legítima: o recrutamento acontece por canais normais, a varredura imita o fundo de ruído da internet, o insider usa o acesso que o cargo permite. Isso significa que a detecção de CI raramente depende de um evento espetacular e quase sempre depende de padrão, repetição e contexto, e é por isso que a linha de base exigida pela nota 03 não é refinamento opcional, e sim parte do mecanismo de detecção. Sem linha de base, cada evento é julgado isoladamente, e julgamento isolado é o ambiente perfeito para o viés de quem tria.

Duas implicações práticas decorrem dessa natureza. A primeira é que a triagem de CI é um trabalho de backlog e não de tempo real: salvo raro evento de impacto imediato, a fila é revista em cadência diária ou semanal, e o valor está na leitura acumulada, e não no reflexo. A segunda é que a memória da fila é parte da detecção: o terceiro recrutador diferente abordando o mesmo laboratório em dois meses só é sinal se os dois primeiros registros estiverem no mesmo lugar, pesquisáveis, com contexto do ativo.

A memória da fila exige três hábitos operacionais que fazem diferença em poucos ciclos. Eles custam minutos por evento e são a diferença entre uma fila que aprende e uma fila que apenas acumula.

• Todo evento é vinculado ao ativo da matriz de direcionamento no momento do registro, e não depois, porque a vinculação tardia nunca acontece.
• Todo evento guarda a evidência original anexada ou referenciada, da mensagem encaminhada ao print do log, com data de captura.
• A fila é pesquisável por ativo, origem e indicador, e a pesquisa por ativo é a consulta diária mais usada do analista de plantão.

3. Critérios de Triagem: Plausibilidade e Impacto

A plausibilidade mede a probabilidade de o evento ser de fato atividade adversária, e cada critério abaixo é respondido com evidência ou marcado como desconhecido. Critérios desconhecidos não somam pontos, mas geram item de coleta complementar, o que conecta a triagem de volta ao plano da nota 03 em vez de deixar lacunas esquecidas.

• Coerência com o perfil do adversário: o vetor do evento é compatível com a capacidade e o vetor dominante atribuídos na matriz de risco da nota 02?
• Temporalidade: o evento coincide com janela de interesse plausível, como anúncio de M&A, lançamento, disputa comercial ou saída recente de pessoa-chave?
• Especificidade do alvo: o evento toca um ativo ou pessoa nomeada na matriz de direcionamento, ou é genérico e poderia ter qualquer destino?
• Repetição e padrão: o evento tem precedentes recentes na fila, da mesma origem ou de origens distintas com o mesmo alvo?
• Verificabilidade: existe evidência primária acessível para checar, como log, registro de visitantes, mensagem encaminhada ou documento pedido?
• Comportamento do agente: o agente do evento insistiu após recusa, desviou de escopo, ofereceu vantagem ou demonstrou conhecimento interno que não deveria ter?

O impacto mede o que acontece se o evento for sinal real, e usa a própria matriz de direcionamento como régua. Os critérios de impacto são: o ativo envolvido é P1 ou P2; o alvo é pessoa-chave com know-how não documentado; a perda potencial é irreversível, no sentido de que informação capturada não pode ser recuperada; e o evento expõe processo sem proteção legal alternativa, como patente ou registro. Impacto é avaliado sem considerar plausibilidade, porque a pergunta dos dois eixos é diferente: plausibilidade pergunta se é real, impacto pergunta se importa.

A matriz de decisão combina os eixos em quatro destinos, e os critérios de passagem entre quadrantes são declarados para evitar que a decisão dependa da sensibilidade de quem tria.

O exemplo abaixo aplica os critérios a um evento fictício da fila, para fixar o padrão de registro esperado. O evento é o segundo registro de abordagem ao laboratório de baterias em 40 dias, desta vez por telefone, com pedido de detalhes sobre ensaios em andamento.

Com quatro critérios confirmados, um parcial e um contraindício, o evento é classificado com plausibilidade alta; o impacto é alto por tocar ativo P1 e pessoa-chave com know-how não documentado. O destino é o quadrante alto por alto: caso aberto no mesmo dia, com notificação ao líder de CI e resumo para a nota 05.

4. Falsos Positivos Típicos e Como Distingui-los

Os falsos positivos de CI são previsíveis e merecem catálogo próprio, porque a maior parte do esforço de triagem é gasta com eles. Distinguir bem cada um economiza horas e evita os dois erros caros: acusar um parceiro legítimo ou perder o sinal verdadeiro disfarçado de falso positivo comum. A tabela abaixo lista os seis mais frequentes com o discriminador prático de cada um.

O pentest interno merece regra específica, porque é o falso positivo mais caro quando confundido com atividade adversária real e o disfarce mais conveniente quando a atividade é real. A regra desta biblioteca é a sincronização obrigatória: toda campanha de teste, interna ou contratada, é registrada em calendário compartilhado com a equipe de CI, com janela, origem, escopo e identificador de campanha, e a equipe de segurança que não registra está criando risco de escalonamento falso contra si mesma. O mesmo vale para exercícios de engenharia social do próprio time de segurança, que devem incluir o RH entre os avisados.

Há ainda o falso negativo disfarçado de falso positivo, e ele merece alerta permanente: a coleta adversária competente escolhe exatamente a capa mais plausível, e o recrutador de fachada se parece com o recrutador legítimo em quase tudo. A defesa não é desconfiar de todo recrutador, o que destruiria o programa em semanas, e sim aplicar os discriminadores de forma consistente e registrar as checagens: empresa confirmada, vaga publicada, histórico do recrutador. O registro das checagens cria a linha de base que fará a exceção aparecer.

5. Fluxo de Triagem Operacional

O fluxo abaixo é o padrão desta biblioteca e deve ser executado pelo analista de plantão de CI, com as cadências da seção 6. Ele assume que os eventos chegam da fila unificada construída pela nota 03, com tag do indicador, fonte e ativo envolvido.

Etapa 1: Classificação de entrada
  O evento casa com um indicador do catálogo e traz fonte e ativo identificados?
  Nao: devolver à fonte para registro correto e contar como defeito de coleta.
  Sim: prosseguir com o indicador como contexto.

Etapa 2: Checagem de contexto imediata
  Há teste de segurança, campanha de marketing ou evento conhecido que explica o evento?
  Sim: registrar como explicado, linkar ao registro do calendário compartilhado e encerrar.
  Nao: prosseguir.

Etapa 3: Avaliação de plausibilidade
  Aplicar os seis critérios da seção 3 e registrar a resposta de cada um.
  Plausibilidade alta: três ou mais critérios confirmados e nenhum contraindício forte.
  Plausibilidade baixa: menos de três critérios confirmados ou contraindício presente.

Etapa 4: Avaliação de impacto
  Aplicar os quatro critérios de impacto sobre o ativo envolvido, sem olhar a plausibilidade.

Etapa 5: Decisão pela matriz
  Alto x Alto: abrir caso CI com número, dono e prazo; notificar líder de CI no mesmo dia.
  Alto x Baixo: monitorar com prazo fixo de duas semanas e critério de reavaliação escrito.
  Baixo x Alto: monitorar o ativo, não o evento; abrir tarefa de coleta complementar.
  Baixo x Baixo: descartar com registro; alimentar a métrica de falsos positivos.

Etapa 6: Registro e devolução
  Toda decisão gera registro com data, analista, critérios e evidência consultada.
  Casos abertos entram na fila da nota 05 com resumo executivo de até 10 linhas.

Três qualidades separam uma triagem boa de uma triagem burocrática, e devem ser cobradas na revisão semanal. A primeira é a completude do registro, porque decisão sem critérios anotados é inauditável. A segunda é a honestidade com o quadrante baixo por baixo: descartar é uma decisão normal e a maior parte das decisões deve ser essa, e fila que nunca descarta está mal calibrada. A terceira é a velocidade nos casos de alto impacto: evento de plausibilidade e impacto altos não espera o próximo ciclo para ser notificado.

O resumo executivo de dez linhas exigido na etapa 6 é o documento de abertura do caso da nota 05, e o modelo abaixo fixa o padrão. Ele é escrito para ser lido pelo investigador e pelo líder de CI sem acessar a fila, e cada linha responde a uma pergunta que o leitor faria de qualquer forma.

RESUMO DE ESCALONAMENTO - CASO POTENCIAL CI-2025-014
Evento: segunda abordagem a pesquisador-chefe (CJ-03) em 40 dias, por telefone.
Fonte: registro IAA-01 encaminhado pelo RH; mensagem e anotação em anexo.
Plausibilidade: alta; quatro critérios confirmados, um parcial, um contraindício.
Impacto: alto; ativo P1, pessoa-chave com know-how não documentado.
Contexto de fila: primeiro registro ligou a abordagem a rede profissional sem
  verificação de empresa; padrão sugere coleta dirigida ao laboratório.
Coleta pendente: titularidade do telefone; verificação da empresa declarada no
  primeiro contato; crachás e wi-fi do período no prédio do laboratório.
Decisão: caso aberto no mesmo dia; líder de CI notificado; resumo encaminhado
  à investigação com recomendação de discrição máxima.

6. Escalonamento e Cadência de Revisão

O escalonamento tem três níveis, com critérios e prazos declarados. O nível 1 é o analista de plantão, que executa o fluxo e decide nos quadrantes de descarte e monitoramento. O nível 2 é o líder de CI, notificado no mesmo dia para todo caso aberto e para todo evento de impacto alto com plausibilidade inconclusiva, e responsável por reavaliar monitoramentos que expiraram o prazo. O nível 3 é o comitê de CI, com participação de jurídico e RH, acionado quando o caso envolve suspeita de insider, quando a resposta pode tocar um terceiro nomeado ou quando o adversário presumido é um serviço de inteligência, situações em que a discrição da nota 05 precisa ser planejada antes de qualquer movimento.

O exercício trimestral de detecção merece detalhe, porque é o único momento em que a equipe mede se sua triagem detectaria de fato. Um cenário simulado simples consiste em plantar três eventos compatíveis com o catálogo, como uma abordagem fictícia encaminhada pelo RH e uma exportação sintética marcada, e medir se a fila os capturou, quanto tempo levou e que decisão a triagem tomou. O resultado alimenta os limiares da nota 03 e os critérios desta nota, fechando o laço entre coleta, triagem e métricas.

7. Erros Comuns e Pontos de Atenção

O erro mais comum da fase é a triagem por intuição, sem critérios anotados, que produz decisões inconsistentes entre analistas e deixa a organização sem capacidade de explicar, meses depois, por que um sinal foi descartado. O segundo erro é tratar todo falso positivo como defeito: falso positivo é custo normal de detecção, e a métrica saudável mede tendência, não zero. O terceiro erro é triar o evento e não o ativo, perdendo o padrão de repetição que só aparece na leitura acumulada da fila por crown jewel.

Dois cuidados de gestão completam a lista. O primeiro é o controle de acesso à fila: ela descreve pessoas, abordagens e suspeitas, e circula apenas entre quem precisa operá-la, no padrão de need-to-know que a nota 05 formaliza. O segundo é a guarda do registro de descarte, que é o documento mais consultado quando um caso explode meses depois, porque permite reconstruir o que a organização sabia e quando sabia, e é também o insumo mais valioso para recalibrar critérios sem culpar o analista que decidiu com as regras da época.

Os sinais abaixo indicam triagem doente e devem ser tratados como alarme de processo, com causa investigada na revisão semanal. Eles complementam os sinais de avaliação doente da nota 02 e seguem a mesma lógica: processo com sintoma claro não espera o ciclo seguinte.

• Nenhum caso aberto há mais de dois trimestres, enquanto a fila cresce, indicando limiares impossíveis ou descarte automático por excesso.
• Mais da metade dos eventos sem decisão pendente acumulada além do prazo da cadência, indicando capacidade de triagem subdimensionada.
• Decisões do mesmo tipo de evento com destinos diferentes e sem registro de critérios, indicando triagem por intuição.
• Falsos positivos recorrentes do mesmo tipo sem atualização do discriminador, indicando que a fila não aprende.

8. Integração com o Restante da Biblioteca

A fila de triagem é o ponto de encontro entre a disciplina de CI e o restante do programa de CTI e Threat Hunting. Para a nota 05 desta pasta, ela é a fonte dos casos, e o resumo executivo de dez linhas exigido na etapa 6 do fluxo é o documento de abertura do caso. Para o capítulo 07, a mesma disciplina de hipótese e linha de base que orienta o hunting reaparece aqui na forma de padrão acumulado, e as notas do capítulo 10 sobre integração CTI e hunting mostram como casos de CI devolvem hipóteses de caça para o SOC. No capítulo 11, as métricas de fila, taxa de caso por evento e tempo de decisão formam o painel de eficiência da triagem. No capítulo 15, a fase corresponde às salvaguardas de detecção do Framework CTH aplicadas ao eixo de contra-inteligência, e o capítulo 18 fornece o padrão de engenharia para as regras que automatizam a parte técnica do fluxo.