CTI.7 - Produção de Relatórios de Inteligência

Controle CTI.7 do grupo ANA (Ciclo de Inteligência: Análise e Disseminação) do Framework CTH, derivado do Capítulo 10 do PDF de referência. Define a produção estruturada de relatórios de inteligência por nível de público, com técnica BLUF, templates padronizados, expressão honesta de incerteza e revisão por pares. É o elo entre a análise de TTPs do CTI.6 e a entrega segmentada do CTI.8, garantindo que inteligência de qualidade influencie decisões reais.

1. Contexto e Posicionamento no Framework CTH

A inteligência que não é comunicada de forma eficaz equivale à inteligência que não existe. Relatórios mal escritos, excessivamente técnicos para o público ou descontextualizados falham em influenciar decisões, independentemente da qualidade da análise subjacente. O Framework CTH trata a produção de relatórios como controle formal, com templates padronizados, níveis de detalhamento por audiência e processo de revisão, porque o relatório é o principal mecanismo pelo qual o conhecimento da equipe de CTI se converte em ação defensiva.

Este controle consome o output do CTI.6, que entrega TTPs mapeadas e evidências, e entrega ao CTI.8 produtos prontos para disseminação segmentada. A qualidade do texto analítico não é detalhe estético: um relatório tático que chega ao SOC sem IDs ATT&CK, sem indicadores organizados e sem ações recomendadas gera retrabalho e desgaste; um relatório estratégico que não separa fato de opinião mina a credibilidade do programa diante da diretoria. Por isso, a produção segue método, e não inspiração.

2. Níveis de Relatório e Seus Públicos

O programa produz quatro níveis de relatório, cada um com público, ciclo e formato próprios. A confusão entre níveis é a origem de grande parte dos produtos inúteis: o mesmo conteúdo não serve ao CISO e ao analista de SOC, e tentar atender os dois no mesmo documento normalmente atende mal os dois. A tabela orienta a escolha.

Além dos quatro níveis, o dossiê de ameaça é o formato profundo para atores de alto impacto, com perfil do ator, cronologia de atividade, TTPs detalhadas, infraestrutura conhecida, indicadores e recomendações específicas. A salvaguarda CTI.7.4 exige ao menos um dossiê por trimestre para o ator de maior prioridade da avaliação de ameaças. Cada tipo de produto deve ter template documentado e acessível, conforme a salvaguarda CTI.7.1, para que a qualidade não dependa de quem escreve.

3. BLUF e a Mudança na Leitura Executiva

BLUF é a sigla de Bottom Line Up Front: a conclusão vem primeiro, seguida do apoio analítico. O relatório abre com um parágrafo curto que responde às perguntas mais importantes do leitor, o que aconteceu, por que importa e o que fazer, e só então apresenta detalhamento, evidências e método. A técnica vem do ambiente militar e de inteligência e resolve o problema clássico do relatório que esconde a mensagem no fim de dez páginas que o executivo não vai ler.

A ordem BLUF muda a leitura porque respeita o limite de atenção do decisor. O CISO que abre o relatório e encontra em três linhas o impacto para o negócio e a decisão recomendada consegue usar o documento na reunião que começa em dez minutos; o leitor técnico, por sua vez, desce o texto até o nível de detalhe de que precisa e para. Cada seção do relatório segue a mesma lógica interna, com a conclusão da seção antes da argumentação, o que permite leitura em camadas sem perda de coerência.

Aplicar BLUF exige disciplina editorial. O parágrafo de abertura deve caber em quatro a seis frases, deve declarar o nível de confiança da avaliação e deve evitar jargão sem necessidade; os detalhes de método, amostras e telemetria migram para anexos. O teste prático é simples: se o leitor parar de ler após o primeiro parágrafo, ele ainda deve sair com o essencial correto.

4. Estrutura Recomendada do Relatório Tático

O relatório tático é o produto de maior rotatividade do programa e merece template fixo. A estrutura abaixo cobre os elementos mínimos, com títulos funcionais que o leitor reconhece e que facilitam a revisão por pares. O template completo, em bloco de código, serve de base para adaptação ao formato da organização.

• Resumo executivo: conclusão BLUF com o essencial da campanha ou do ator, nível de confiança declarado e prazo de validade da avaliação.
• Perfil do ator: motivação, capacidade, alvos habituais e relação com campanhas anteriores conhecidas.
• TTPs mapeadas: técnicas ATT&CK identificadas, com evidência e nível de confiança por técnica.
• Indicadores: IOCs organizados por tipo e período de validade, prontos para ingestão em SIEM e EDR.
• Impacto no ambiente: o que a campanha significa para a superfície exposta e os ativos internos da organização.
• Ações recomendadas: detecções a implantar, buscas de hunting sugeridas e configurações a revisar, com responsável e prazo sugeridos.
• Confiança e incerteza: justificativa de fonte para o nível de confiança atribuído e hipóteses em aberto.

TEMPLATE - RELATÓRIO TÁTICO DE INTELIGÊNCIA
TLP:AMBER  |  ID: CTI-TAT-2025-14  |  Data: 2025-06-02  |  Validade: 30 dias

1. RESUMO EXECUTIVO (BLUF)
   O grupo Ator-A está conduzindo campanha de phishing dirigida ao setor
   financeiro usando anexos com macro e persistência via Run Keys.
   Confiança: moderada. Ação prioritária: implantar as duas regras Sigma
   da seção 6 e revisar a política de execução de macros.

2. PERFIL DO ATOR
   Motivação: financeira. Capacidade: média-alta. Alvos: bancos e fintechs.
   Relação com campanhas anteriores: infraestrutura parcialmente compartilhada.

3. TTPS MAPEADAS (ATT&CK Enterprise v15)
   T1566.001 Spearphishing Attachment        confiança alta
   T1059.001 PowerShell                      confiança alta
   T1547.001 Registry Run Keys               confiança moderada
   T1047 Windows Management Instrumentation  confiança baixa, em verificação

4. INDICADORES
   12 hashes SHA256, 3 domínios de staging e 1 certificado TLS reutilizado,
   com data de última observação e validade sugerida por item.

5. IMPACTO NO AMBIENTE
   Superfície: estações de usuário com macros habilitadas e servidores de
   arquivo sem bloqueio de extensões executáveis em anexo.

6. AÇÕES RECOMENDADAS
   a) Implantar regras Sigma R1 e R2 no SIEM até 2025-06-04, responsável: DET.
   b) Executar hunting de T1547.001 conforme hipótese TH-2025-07.
   c) Bloquear execução de macros vindas da internet por GPO até 2025-06-09.

7. CONFIANÇA E INCERTEZA
   Moderada: dois relatórios de terceiros convergem; telemetria interna ainda
   não confirmou a variante descrita. Hipótese em aberto sobre o uso de WMIC.

5. Incerteza, Confiança e Qualidade Analítica

A expressão honesta de incerteza é marca de maturidade analítica. Cada avaliação deve receber um nível de confiança, alto, moderado ou baixo, acompanhado da justificativa de fonte: confiança alta decorre de observação direta ou de convergência de múltiplas fontes independentes; confiança moderada indica inferência razoável de fontes confiáveis sem corroboração completa; confiança baixa sinaliza fonte única, indireta ou de fiabilidade duvidosa. O leitor precisa saber quanto confiar para calibrar decisões, e a ausência de incerteza declarada costuma esconder análise superficial.

A linguagem analítica distingue três categorias com rótulos explícitos. Fato é o que foi observado e pode ser verificado, como um hash baixado de um anexo; inferência é a conclusão lógica extraída de fatos, como atribuir a intrusão a um ator pelo padrão de infraestrutura; hipótese é a suposição a testar, como a suspeita de uso de WMIC sem evidência fechada. O relatório profissional marca cada afirmação com a categoria a que pertence, e o par de revisão confere essa marcação item por item.

O sensacionalismo é falha de qualidade, e não questão de tom. Expressões como ataque devastador, hacker implacável e ameaça letal não agregam informação, distorcem prioridades e desgastam a credibilidade do programa quando o prognóstico não se confirma. O padrão recomendado é de verbos observados para fatos, de conectores de inferência para conclusões, como sugere, indica e é consistente com, e de marcadores de hipótese para o que ainda é especulação, como é possível que e não se pode descartar.

A tabela abaixo mostra, com frases típicas, como a mesma informação deve ser formulada em cada categoria analítica. O exercício de reescrever afirmações soltas nessas três linhas é a forma mais rápida de treinar a equipe na disciplina de qualidade.

6. Revisão e Controle de Qualidade

Todo relatório passa por revisão por pares antes da disseminação, conforme a salvaguarda CTI.7.3. A revisão confere quatro dimensões: acurácia factual de IOCs, técnicas e nomes de grupos; validação do mapeamento ATT&CK, técnica por técnica; clareza da redação para o público-alvo; e correção da classificação TLP. O revisor não é editor de estilo apenas, é a segunda linha analítica que assume corresponsabilidade pelo conteúdo, e o registro das revisões alimenta a melhoria contínua do processo.

O checklist abaixo padroniza a revisão e evita que a qualidade dependa da memória do par. Ele deve ficar anexado ao fluxo de produção, com registro por relatório.

1. A conclusão BLUF responde o que, por que e o que fazer dentro do primeiro parágrafo?
2. Toda afirmação foi marcada como fato, inferência ou hipótese, com nível de confiança justificado pela fonte?
3. O mapeamento ATT&CK foi conferido técnica por técnica, preferindo subtécnicas com evidência vinculada?
4. Os IOCs foram testados em formato, validade e período de observação, e estão prontos para ingestão automatizada?
5. O nível TLP está correto para o conteúdo e para o canal de distribuição previsto?
6. A linguagem evita sensacionalismo e jargão desnecessário para o público declarado?
7. As ações recomendadas têm responsável, prazo e critério de conclusão verificável?

O tempo de ciclo é um indicador de qualidade tão importante quanto o conteúdo. A salvaguarda CTI.7.5 orienta a medição da taxa de utilização dos relatórios, da taxa de ações implementadas e do tempo médio entre gatilho e disseminação; alertas de ameaça maduros saem em horas, relatórios táticos em poucos dias. Essas métricas alimentam o feedback do CTI.9 e justificam o valor do programa diante da governança.

7. Ciclo de Vida do Relatório

O relatório nasce como rascunho interno, tipicamente TLP:RED ou TLP:AMBER+STRICT, contendo hipóteses em aberto e evidências ainda não sanitizadas. Nessa fase, o documento circula apenas dentro da equipe de CTI e acumula as correções do par de revisão. A conversão para o estado disseminável acontece quando o texto passa o checklist, ganha classificação TLP definitiva e recebe o ID formal do produto, o que cria rastreabilidade de versão desde a origem.

Após a disseminação, o relatório entra em estado ativo, com duas obrigações contínuas: responder dúvidas dos consumidores, registradas como insumo do feedback, e ser atualizado quando novas evidências surgirem. Atualizações seguem controle de versão visível, com changelog na primeira página indicando o que mudou, por exemplo a elevação de uma hipótese a fato confirmado ou a revogação de IOC descartado. Um relatório corrigido em silêncio é pior do que um relatório com incerteza declarada, porque destrói a confiança nos produtos anteriores.

O encerramento do ciclo acontece quando a validade expira ou o assunto se esgota, e o relatório é arquivado com a marcação final. Produtos táticos expiram em semanas; dossiês permanecem vivos como referência e são revisados em cada atualização de perfil de ator. O arquivo do programa, indexado na plataforma de CTI, transforma relatórios passados em corpus pesquisável, que sustenta análises comparativas futuras e acelera a produção dos próximos documentos.

8. Implementação Prática e Salvaguardas por Nível

As salvaguardas do controle avançam do template ao ciclo de vida completo, e cada nível exige evidência arquivada. A tabela resume as salvaguardas CTI.7.1 a CTI.7.5 com os entregáveis verificáveis correspondentes.

Critérios de sucesso incluem todos os produtos publicados com template vigente, nenhum relatório disseminado sem revisão registrada e evolução positiva da taxa de utilização reportada no feedback. Quando a taxa de utilização de um tipo de produto cai de forma consistente, a resposta correta é reformular o produto ou descontinuá-lo, decisão documentada no ciclo do CTI.9, e não insistir na entrega por hábito.

9. Erros Comuns e Pontos de Atenção

• Escrever um único relatório para todas as audiências: o resultado é texto longo que ninguém lê inteiro; a correção é produzir versões diferenciadas a partir da mesma base analítica, como prevê o CTI.8.
• Enterrar a conclusão no fim do documento: o executivo abandona a leitura antes da mensagem; a correção é adotar BLUF em todos os produtos, com a seção de resumo obrigatória no template.
• Confundir fato com inferência: afirmar atribuição sem declarar evidência e nível de confiança destrói credibilidade quando a avaliação é contestada; a correção é a marcação explícita por categoria em cada afirmação.
• Usar linguagem sensacionalista para chamar atenção: o ganho de curto prazo vira perda de confiança no médio prazo; a correção é vocabulário analítico com verbos de inferência controlados.
• Disseminar relatório sem revisão por pares: erros factuais e de TLP chegam ao consumidor e exigem retratação formal; a correção é checklist obrigatório com registro.
• Deixar o relatório morrer após o envio: IOCs revogados e hipóteses confirmadas continuam no texto original; a correção é controle de versão com changelog e prazo de validade declarado.
• Medir produção em volume de páginas: páginas não são valor, decisão é; a correção é medir utilização e ações implementadas, como orienta a salvaguarda CTI.7.5.

10. Integração com Outros Controles do Framework CTH

O CTI.7 consome TTPs, evidências e níveis de confiança produzidos pelo CTI.6, e entrega seus produtos ao CTI.8, que define públicos, canais e cadência. A marcação TLP aplicada na produção é a mesma governada pelo PLT.5 e respeitada pelo controle de acesso do CTI.10; os indicadores técnicos alimentam o PLT.1 e o PLT.3 para distribuição estruturada em MISP e STIX. As ações recomendadas dos relatórios tornam-se tarefas nos grupos DET, HNT e IR, e as perguntas recebidas pelos consumidores voltam como insumo estruturado do CTI.9, fechando o ciclo de melhoria.

No plano de maturidade, o marco Básico exige templates e calendário de produção; o Intermediário exige revisão por pares registrada e dossiês trimestrais; o Avançado exige métricas de qualidade e utilização orientando a reformulação contínua dos produtos. O sinal de maturidade consolidada é um portfólio de relatórios em que cada produto tem leitor definido, taxa de utilização conhecida e histórico de revisão completo, evidenciando que a inteligência produzida influencia decisões reais de segurança.