CTI.2 - Avaliação de Ameaças

Nota do grupo COL (Ciclo de Inteligência: Planejamento e Coleta) da seção 15 - Framework CTH - Controles.
Deriva do Capítulo 9 do PDF de referência (controle CTI.2) e das categorias de atores do Capítulo 2.
Traduz o panorama abstrato de ameaças em uma lista priorizada que direciona PIRs, coleta e hunting.

1. Contexto e Posicionamento no Framework CTH

O controle CTI.2 ocupa a segunda posição do grupo COL e responde à pergunta que antecede qualquer coleta: quais adversários importam para esta organização. O Capítulo 9 do Framework CTH observa que, sem esse processo, equipes de CTI e threat hunting dispersam esforços em centenas de grupos e milhares de técnicas sem foco no risco real. A avaliação de ameaças considera três dimensões complementares: a capacidade do adversário (ele consegue nos atacar), a intenção (ele quer nos atacar) e a oportunidade (existem vetores disponíveis na nossa superfície).

O produto central do controle é o perfil de ameaça, uma lista priorizada de atores com contexto suficiente para gerar requisitos de coleta (CTI.1), hipóteses de caça (TH.x) e decisões de priorização de vulnerabilidades. O perfil não é um relatório estático de prateleira, é um instrumento vivo revisado trimestralmente e reavaliado por gatilhos. Ele também serve como linguagem comum entre CTI, SOC e gestão, porque cada ator priorizado carrega motivação, capacidade e TTPs mapeadas no MITRE ATT&CK.

2. Componentes do Perfil de Ameaça

Um perfil útil deixa de ser uma ficha biográfica do adversário quando cobre cinco componentes objetivos. Cada componente responde perguntas distintas e produz elementos que alimentam etapas diferentes do ciclo de inteligência.

A motivação merece atenção especial porque muda a expectativa de comportamento. Grupos orientados a lucro buscam velocidade e monetização, e tendem a parar após o ciframento; grupos de espionagem buscam furtividade e persistência longa, o que exige hunting contínuo em vez de confiança em alertas. Interpretar a motivação corretamente evita desenhar defesas para o adversário errado.

3. Categorias de Atores e Características Principais

O Framework CTH organiza o panorama em cinco categorias, que facilitam a triagem inicial antes da análise individual de cada ator.

A categoria não substitui a análise individual, mas orienta onde buscar evidência. Um hospital dificilmente entra na mira de espionagem industrial, mas está no centro das campanhas de RaaS; uma operadora de energia precisa tratar espionagem como cenário crítico. A composição do catálogo de atores deve refletir o setor, a geografia e a superfície exposta da organização.

4. Priorização por Probabilidade e Impacto

O CTI.2.5 recomenda scoring quantitativo que combine probabilidade de ataque com impacto potencial, produzindo um ranking objetivo. A probabilidade se deriva da atratividade do setor, da historicidade de ataques, da presença de vulnerabilidades exploráveis e da atividade recente do ator; o impacto se deriva da criticidade dos ativos almejados e do custo de uma violação. Escalas simples de 1 a 5, multiplicadas, já entregam um ordenamento defensável e auditável.

O limiar de decisão importa mais do que o número em si. Atributos com score igual ou superior a 15 recebem perfil detalhado e hunting programado; entre 8 e 14 recebem monitoramento e detecções básicas; abaixo disso entram em observação passiva. Os pesos e limiares devem ser revisados semestralmente, porque atratividade de setor e custo de violação mudam com o negócio.

5. Fontes para Construção do Perfil

O perfil ganha validade quando é construído sobre fontes convergentes, e não sobre um único relatório de fornecedor. Quatro famílias de fonte sustentam a avaliação, cada uma corrigindo o viés da anterior.

• Relatórios táticos e de pesquisa de fornecedores e laboratórios: entregam TTPs, infraestrutura e cronologia de campanhas, mas carregam viés comercial e tendem a destacar atores midiáticos.
• ISACs e comunidades setoriais: entregam proximidade real, com vítimas do mesmo setor e padrões que não chegam à imprensa; a troca segue a marcação TLP (PLT.5).
• Incidentes próprios e telemetria interna: entregam a perspectiva mais valiosa, porque revelam quem efetivamente operou contra o ambiente; alimentam o ciclo via CTI.4.
• Superfície externa e exposição: dados de EASM (INS.3) mostram quais ativos podem transformar capacidade do adversário em oportunidade real, ajustando a probabilidade atribuída.

A triangulação entre essas famílias reduz dois erros simétricos: superestimar atores famosos sem proximidade e subestimar grupos silenciosos que já operam na borda do ambiente. Cada entrada no perfil deve registrar as fontes que a sustentam, permitindo reavaliação posterior.

6. Cadência de Revisão e Gatilhos de Reavaliação

O CTI.2.3 exige atualização trimestral, revisando a prioridade dos atores com base em novos incidentes no setor, evolução de TTPs, mudanças na infraestrutura da organização e inteligência recente. Cada mudança de prioridade deve registrar justificativa, autor e data, transformando o histórico do perfil em evidência de maturidade. A cadência trimestral é compatível com o ciclo de revisão dos PIRs (CTI.1.3), e o ideal é que ambas compartilhem o mesmo fórum.

Gatilhos de reavaliação ad hoc antecedem o calendário quando o cenário muda de forma relevante. Exemplos práticos incluem nova campanha confirmada contra o setor, CVE crítica com exploração ativa em produto exposto pela organização, anúncio de afiliação ou desmembramento de grupo de ransomware, mudança geopolítica que afete parceiros e fornecedores, e incidente interno atribuído a ator que não estava no perfil. Nessas situações, a revisão se limita ao ator e ao risco afetados, mantendo o catálogo estável no restante.

7. Do Perfil à Prática: Coleta, Hunting e Priorização de Vulnerabilidades

O perfil de ameaça só se justifica quando altera operações. Para a coleta, ele define quais atores merecem monitoramento dedicado e quais fontes precisam ser contratadas ou catalogadas (CTI.3, CTI.4, PLT.4). Para o hunting, cada ator priorizado contribui com TTPs que viram hipóteses testáveis, e o CTI.2.4 reforça o mapeamento dessas técnicas contra a cobertura de detecção existente, com o ATT&CK Navigator visualizando lacunas. Para a gestão de vulnerabilidades, a exploração ativa por ator prioritário sobe o peso da falha na fila de remediação.

A hipótese abaixo exemplifica a conversão direta do perfil em caça, para um ator prioritário conhecido por abusar de binários legítimos do Windows em movimento lateral.

DeviceProcessEvents
| where Timestamp > ago(7d)
| where FileName in~ ("wmic.exe", "mshta.exe", "rundll32.exe")
| where InitiatingProcessFileName !in~ ("winword.exe", "excel.exe", "outlook.exe", "explorer.exe")
| where InitiatingProcessIntegrityLevel in~ ("High", "System")
| summarize Execucoes = count(), Hosts = dcount(DeviceName)
    by FileName, ProcessCommandLine, InitiatingProcessFileName
| order by Execucoes desc

Os achados dessa caça retroalimentam o perfil em dois sentidos: confirmam ou corrigem as TTPs atribuídas ao ator e podem gerar novas detecções no SIM.4. É esse circuito, perfil, hipótese, caça, detecção e retorno, que separa a avaliação de ameaças operante de um documento consultado uma vez por auditoria.

8. Documento de Saída: Estrutura do Perfil de Ameaça

O perfil de cada ator deve seguir uma estrutura padronizada para permitir comparação e automação. O modelo abaixo, em formato legível por máquina, cobre os componentes da seção 2 e pode ser hospedado na plataforma de CTI (PLT.2).

perfil_ameaca:
  ator: "Grupo X (rotulo interno, alias publicos citados)"
  categoria: "Cybercrime organizado (RaaS)"
  prioridade: "Critica (P=5, I=5, score=25)"
  motivacao: "Lucro financeiro via ciframento e extorsao dupla"
  capacidade:
    sofisticacao: "Alta"
    zero_days: "Raro, via corretor de acesso"
    ferramentas: ["loader comercial", "estrutura de C2 alugada", "criptolocker de afiliado"]
  proximidade_historica:
    setor: "Saude e educacao na America do Sul"
    vitimas_publicas_12m: 14
    incidentes_proprios: "Nenhum confirmado"
  alvos_tipicos:
    - "Phishing com anexo compactado direcionado ao financeiro"
    - "Exploracao de VPN sem MFA"
  ttps_chave: ["T1566.001", "T1133", "T1059.001", "T1486"]
  lacunas_de_deteccao: ["T1133 sem cobertura em telemetria de rede"]
  iocs_e_fontes: "Feed interno TLP:AMBER, atualizacao semanal"
  revisao: "Trimestral; gatilhos ad hoc definidos em procedimento"

Campos como lacunas de detecção e incidentes próprios transformam o perfil em plano de trabalho. A equipe de hunting consulta as lacunas, o SOC prioriza detecções e o gestor de vulnerabilidades cruza os alvos típicos com a superfície exposta, tudo a partir do mesmo registro.

9. Implementação Prática e Salvaguardas por Nível

O Framework CTH organiza o controle em cinco salvaguardas progressivas, listadas na tabela a seguir com seu escopo prático.

Para organizações sem equipe dedicada de CTI, o caminho mínimo viável é priorizar cinco atores usando as três fontes mais acessíveis: relatórios públicos recentes, alertas do ISAC do setor e os próprios incidentes do último ano. Com o tempo, o scoring quantitativo substitui o julgamento qualitativo, mas nunca o elimina; a revisão humana das notas de probabilidade e impacto permanece obrigatória.

10. Erros Comuns e Pontos de Atenção

• Lista infinita de APTs: catalogar dezenas de grupos sem priorização produz paralisia; a disciplina de probabilidade e impacto existe exatamente para evitar isso.
• Foco só em ransomware por manchete: o ruído do noticiário não substitui a avaliação; espionagem e ameaça interna podem representar risco maior para o negócio específico.
• Perfil estático: atores priorizados há dois anos sem revisão de proximidade refletem cenário obsoleto e destroem a credibilidade do documento.
• Copiar relatório de fornecedor sem critério: a agenda editorial do mercado não é agenda de risco da organização; toda entrada exige justificativa de prioridade.
• Confundir notoriedade com risco: ator muito citado pode ter proximidade nula com o setor; ator pouco citado pode estar explorando ativamente a falha da VPN exposta.
• Ignorar a ameaça interna: a categoria exige cooperação com RH e jurídico, e sua ausência deixa o perfil incompleto justamente no vetor de detecção mais difícil.

A correção para todos os erros é a mesma em essência: registrar de onde veio cada nota de probabilidade e impacto, revisar com cadência e aceitar que mudar a prioridade de um ator é resultado esperado do processo, não admissão de erro.

11. Integração com Outros Controles do Framework CTH

Avaliar ameaças sem conectar o resultado à coleta, à caça e à remediação transforma o perfil em exercício retórico. A prática que sustenta o controle é enxuta: atores suficientes para cobrir o risco, notas justificadas, revisão acionada por gatilho e cada entrada produzindo pelo menos um item de trabalho em detecção, hunting ou hardening.