CTI.6 - Análise de TTPs e Mapeamento ATT&CK

Controle CTI.6 do grupo ANA (Ciclo de Inteligência: Análise e Disseminação) do Framework CTH, derivado do Capítulo 10 do PDF de referência. Converte relatórios públicos, amostras e incidentes internos em TTPs estruturadas e mapeadas ao MITRE ATT&CK, criando a linguagem comum do programa de inteligência. Sustenta a formulação de hipóteses de hunting (TH.5 e TH.6), a análise de cobertura de detecção (MAP.x), a produção de relatórios (CTI.7) e o treinamento das equipes técnicas.

1. Contexto e Posicionamento no Framework CTH

A análise de TTPs é a fase do ciclo de inteligência em que dados processados se transformam em conhecimento sobre o comportamento do adversário. O Framework CTH posiciona esse controle como a ponte entre a coleta de dados, o processamento nas plataformas de inteligência e todo o consumo posterior: hipóteses de hunting, regras de detecção, treinamento e decisão executiva. Sem TTPs mapeadas, o programa entrega listas de indicadores com prazo de validade curto, e não inteligência que suporte decisões.

O MITRE ATT&CK fornece a taxonomia para esse trabalho, com 14 táticas que descrevem o objetivo do adversário em cada estágio da intrusão e centenas de técnicas e subtécnicas identificadas por códigos no formato TXXXX e TXXXX.YYY. Mapear comportamentos para essa taxonomia cria vocabulário padronizado, permite comparar atores entre si, medir a cobertura defensiva da organização e comunicar achados com precisão dentro e fora do time. Este controle define como fazer essa conversão com rigor analítico e como mantê-la atualizada de forma contínua.

2. Por que TTPs Valem Mais que IOCs

A Pirâmide de Dor, de David Bianco, organiza os indicadores pelo custo que sua troca impõe ao adversário. Na base estão hashes de malware e endereços IP, que o adversário substitui sem custo relevante a cada campanha; nos níveis intermediários estão artefatos de rede e de host, comportamentos e, no topo, as TTPs, que exigem reescrever ferramentas, reconfigurar infraestrutura e retreinar operadores. Bloquear um IOC resolve um evento isolado, enquanto detectar uma TTP enfraquece a campanha inteira e força o adversário a mudar de método.

A implicação prática é de alocação de esforço. IOCs continuam úteis para triagem rápida, bloqueio imediato e retroalimentação automatizada do SIEM e do EDR, mas o diferencial de longo prazo está em entender como o adversário opera. Um perfil de TTPs mantém valor por meses ou anos, alimenta hipóteses de hunting que sobrevivem à troca de infraestrutura e sustenta decisões de investimento em telemetria e detecção. O Framework CTH trata a análise de TTPs como capacidade central exatamente por esse retorno acumulado ao longo do tempo.

3. Extração de TTPs de Relatórios e de Incidentes Internos

A primeira fonte de TTPs são os relatórios públicos de CTI, produzidos por fornecedores comerciais, CERTs, ISACs e pesquisadores independentes. A extração exige leitura analítica, e não cópia de resumo: o analista lê a descrição do ataque, separa cada comportamento observado e o registra como técnica candidata acompanhada da evidência textual que o sustenta. Um relatório bem extraído normalmente rende entre 10 e 30 técnicas mapeadas, e a qualidade desse trabalho depende mais de disciplina de registro do que de volume de leitura.

A segunda fonte, e a mais valiosa, são os incidentes internos e os achados de hunting. Cada resposta a incidente revela a sequência exata de ações que o adversário executou contra o ambiente real, incluindo variações que nenhum relatório público descreve. O protocolo do Framework CTH exige que o relatório pós-incidente, gerado na etapa de lições aprendidas do ciclo de IR, alimente o catálogo de TTPs com mapeamento ATT&CK completo, transformando cada intrusão em ativo de conhecimento permanente da organização.

O registro da extração deve ser padronizado para permitir auditoria e atualização. Para cada técnica extraída, o analista documenta a fonte (relatório, incidente ou amostra), a citação ou o log que evidencia o comportamento, a data da observação e o nível de confiança atribuído. Essa disciplina evita que perfis de atores acumulem técnicas duplicadas, sem evidência ou mal mapeadas, problema que degrada silenciosamente a qualidade de toda a análise de gaps posterior.

A camada de evidência distingue uma extração profissional de uma compilação apressada. Antes de aceitar uma técnica no perfil de um ator, a verificação mínima abaixo deve ser possível, e o caderno de mapeamentos deve conter o registro correspondente.

4. Metodologia de Mapeamento para MITRE ATT&CK

O mapeamento segue quatro passos, executados nesta ordem para cada comportamento identificado. O método existe para evitar o erro mais comum da prática, que é escolher primeiro a técnica e depois adaptar a descrição do comportamento para justificá-la.

1. Identificar o comportamento: descrever a ação observada em termos de verbo e objeto, sem nomes de ferramenta na primeira passada; por exemplo, executar código via interpretador de script com bypass de política de execução.
2. Escolher a técnica ou subtécnica mais específica: consultar a matriz ATT&CK e preferir sempre a subtécnica, reservando a técnica pai apenas quando não for possível discriminar qual variante foi utilizada.
3. Registrar a evidência: guardar a citação do relatório, o log, o ID de evento ou a captura que sustenta o mapeamento, pois mapeamento sem evidência não é verificável nem auditável.
4. Atribuir confiança: classificar como alta quando o comportamento foi observado diretamente no ambiente, moderada quando inferido de relatório único de terceiro e baixa quando há apenas indicação indireta ou fonte não corroborada.

O exemplo abaixo percorre o método com um trecho hipotético de relatório que descreve uma intrusão. A ficha resultante é o formato mínimo recomendado para o registro na plataforma de gerenciamento de CTI.

Trecho do relatório analisado:
"O operador entregou um arquivo DOCX com macro por e-mail direcionado. Ao abrir,
o PowerShell baixou o segundo estágio, adicionou uma entrada em
HKCU\...\Run para persistência e executou comandos remotos via WMIC."

Passo 1, comportamentos identificados:
  a) Entrega de anexo malicioso por e-mail direcionado
  b) Execução via PowerShell com download de payload
  c) Persistência via chave de registro de auto-início
  d) Movimentação lateral via WMIC

Passo 2, mapeamento:
  a) T1566.001 - Spearphishing Attachment
  b) T1059.001 - PowerShell
  c) T1547.001 - Registry Run Keys / Startup Folder
  d) T1047 - Windows Management Instrumentation

Passo 3 e 4, ficha de registro:
  fonte: relatório do fornecedor X, seção 3
  evidência: citação acima, sem amostra própria
  confiança: moderada, pois a descrição é de terceiro e não foi corroborada
  plataforma: Enterprise, versão 15 da matriz

O mesmo método se aplica a amostras de malware e à telemetria de incidentes internos, com ganho de confiança: quando o analista observa o comportamento em log próprio, a confiança é alta e o mapeamento pode descer ao nível de procedimento, documentando a sequência exata de comandos, nomes de chaves e parâmetros utilizados. Esses procedimentos detalhados são o material bruto das hipóteses de hunting mais eficazes, porque descrevem exatamente o que procurar na telemetria.

5. ATT&CK Navigator e o Mapa de TTPs do Ator

O ATT&CK Navigator é a ferramenta de referência para visualizar, comparar e organizar mapas de TTPs. Cada ator priorizado mantém uma layer própria, na qual as técnicas do seu repertório recebem cor e pontuação conforme relevância e evidência acumulada. Layers podem ser sobrepostas para comparar atores entre si, revelar técnicas compartilhadas e identificar comportamentos exclusivos que auxiliam a atribuição durante incidentes.

A layer do ator deve carregar metadados, e não apenas cores. Comentários por técnica registram a evidência, a data da última observação, a confiança e a fonte; a pontuação pode refletir a frequência de uso em campanhas recentes. O arquivo JSON da layer é versionado no repositório do programa, o que permite comparar o perfil do ator ao longo do tempo e detectar mudanças de comportamento, como a adoção de novas técnicas de evasão após publicações sobre suas detecções.

Estrutura mínima de layer do Navigator para um ator priorizado:
{
  "name": "Ator-A - perfil interno",
  "versions": { "attack": "15", "navigator": "5", "layer": "4.5" },
  "domain": "enterprise-attack",
  "description": "Perfil de TTPs mantido pelo CTI, revisão trimestral",
  "techniques": [
    { "techniqueID": "T1059.001", "score": 80,
      "comment": "Observado em 2 incidentes internos e 3 relatórios" },
    { "techniqueID": "T1547.001", "score": 60,
      "comment": "Relatado por terceiro, confiança moderada" }
  ],
  "gradient": { "colors": ["#c8e6c9", "#ef5350"], "minValue": 0, "maxValue": 100 }
}

6. Do Mapa ao Hunting, à Cobertura de Detecção e ao Treinamento

O mapa de TTPs de um ator é o insumo direto do Threat Hunting orientado por hipótese. Os controles TH.5 e TH.6 do Framework CTH descrevem a formulação de hipóteses a partir de técnicas ATT&CK e a execução de caças estruturadas; sem mapa de TTPs, essas etapas degeneram em exploração aleatória de dados. Cada técnica do perfil do ator de maior prioridade deve ter ao menos uma hipótese de hunting candidata, priorizada pela combinação entre relevância do ator, disponibilidade de telemetria e ausência de cobertura atual.

A mesma sobreposição fundamenta a análise de gaps de detecção conduzida no grupo MAP. Ao sobrepor o mapa do ator com a layer de cobertura da organização, construída a partir de regras do SIEM, alertas do EDR e detecções de rede, emergem três conjuntos: técnicas cobertas, técnicas com telemetria mas sem detecção e técnicas sem visibilidade alguma. O relatório trimestral de gaps exigido pela salvaguarda CTI.6.3 prioriza o investimento em detecção exatamente nesses dois últimos conjuntos, começando pelas técnicas mais usadas pelos atores mais relevantes.

O mapa também orienta treinamento e simulação. Exercícios de mesa e atividades de red team podem selecionar técnicas do perfil dos atores prioritários, garantindo que o time treine contra ameaças plausíveis e não contra cenários genéricos, enquanto analistas novos usam o mapa como roteiro de estudo do comportamento adversário real. Dessa forma, a análise de TTPs retorna para o programa em três frentes simultâneas: hipóteses de hunting, priorização de detecção e capacitação de pessoas.

A transição do mapa para a caça é mais clara quando se examina um caso. A partir da técnica T1547.001 observada no exemplo da seção 4, a hipótese de hunting formulada no padrão do TH.5 verifica se chaves de auto-início foram modificadas por processos que não são instaladores legítimos, como no exemplo em KQL abaixo.

// Hipótese: persistência via Run Keys fora de rotinas legítimas de instalação
DeviceRegistryEvents
| where Timestamp > ago(7d)
| where RegistryKey has @"\Software\Microsoft\Windows\CurrentVersion\Run"
    or RegistryKey has @"\Software\Microsoft\Windows\CurrentVersion\RunOnce"
| where ActionType in ("RegistryValueSet", "RegistryKeyCreated")
| where InitiatingProcessFileName !in~ ("msiexec.exe", "install.exe",
    "setup.exe", "chrome_installer.exe")
| where InitiatingProcessFileName !in~ ("excel.exe", "winword.exe",
    "powerpnt.exe", "outlook.exe")
| project Timestamp, DeviceName, RegistryKey, RegistryValueName,
    RegistryValueData, InitiatingProcessFileName, InitiatingProcessCommandLine
| order by Timestamp desc

O resultado da caça retroalimenta o próprio mapa: quando nada é encontrado, a cobertura da hipótese é confirmada e o registro é arquivado como evidência de execução; um achado positivo gera nova técnica ou procedimento no catálogo e, em seguida, uma regra de detecção permanente no grupo DET. Esse circuito entre CTI.6, TH.5, TH.6 e DET é o mecanismo concreto pelo qual a análise de TTPs reduz o dwell time da organização.

7. Implementação Prática e Salvaguardas por Nível

As salvaguardas do controle seguem o modelo de três níveis cumulativos do Framework CTH, e cada nível exige evidência arquivada para fins de auditoria. O ponto de partida é a disciplina de análise e registro; os níveis superiores adicionam profundidade analítica e automação. A tabela resume as salvaguardas CTI.6.1 a CTI.6.5 com os entregáveis verificáveis correspondentes.

Critérios de sucesso operacional incluem a existência de perfis sem técnicas órfãs, ou seja, sem mapeamento desacompanhado de evidência, e o tempo médio entre a publicação de um relatório relevante e a atualização dos perfis afetados, que programas maduros mantêm abaixo de cinco dias úteis. A revisão trimestral dos perfis deve ser agendada e registrada em changelog, porque a ausência de revisão sistemática é a principal causa de degradação silenciosa dos mapas de TTPs.

8. Erros Comuns e Pontos de Atenção

Os erros abaixo aparecem com frequência em programas de todos os portes, e cada item traz o efeito observável e a correção recomendada.

• Mapear a ferramenta em vez do comportamento: registrar T1059.001 simplesmente porque o relatório citou PowerShell, sem descrever o uso real, produz mapa inflado; a correção é descrever sempre o comportamento primeiro e consultar a matriz depois.
• Mapear tudo por medo de omitir: perfis com mais de 100 técnicas perdem utilidade para priorização; a correção é restringir o perfil às técnicas com evidência direta e manter o restante em camada secundária de baixa confiança.
• Confundir tática com técnica: tática é o objetivo, como Persistência, e técnica é o como, como T1547.001; a correção é revisar as fichas com o par objetivo e meio em mente e treinar o time com exemplos reais.
• Usar técnica pai quando existe subtécnica adequada: a perda de especificidade impede hunting direcionado e dilui a análise de gaps; a correção é justificar explicitamente todo mapeamento que permanecer em técnica pai.
• Acumular perfis desatualizados: o ator muda de infraestrutura e de ferramentas, mas o mapa continua o mesmo; a correção é revisão trimestral obrigatória com registro de mudanças.
• Ignorar os incidentes internos: o time consome relatórios externos e esquece o próprio ambiente, que é a fonte de maior confiança; a correção é protocolo que obriga o relatório pós-incidente a alimentar o catálogo de TTPs.

9. Integração com Outros Controles do Framework CTH

O CTI.6 alimenta diretamente o CTI.7, que transforma perfis de TTPs em relatórios por audiência, e o CTI.9, cujo feedback revela quais técnicas importam para os consumidores. No grupo HNT, os controles TH.5 e TH.6 consomem o mapa para formular e executar hipóteses; no grupo DET, as regras de detecção priorizadas vêm dos gaps identificados; no grupo MAP, a comparação de layers quantifica a cobertura por tática. A análise de amostras do CTI.6.4 apoia-se no DAT.x para requisitar telemetria ausente e no PRT.5 para converter características de amostras em regras YARA e Sigma.

No plano de maturidade, o marco Básico exige extração regular e perfis para os cinco atores prioritários; o Intermediário exige análise de gaps e análise de amostras em nível de procedimento; o Avançado exige automação da extração com revisão humana assistida. O sinal de maturidade consolidada é um ciclo em que cada incidente, cada relatório relevante e cada caça atualizam os perfis, e cada atualização de perfil produz, em tempo curto, ao menos uma hipótese de hunting ou uma detecção nova.