CTI.8 - Disseminação Segmentada

Controle CTI.8 do grupo ANA (Ciclo de Inteligência: Análise e Disseminação) do Framework CTH, derivado do Capítulo 10 do PDF de referência. Define a entrega da inteligência certa, no formato certo, à pessoa certa e no tempo certo, por meio de matriz de disseminação, canais múltiplos, cadência definida e automação de distribuição de IOCs. Consuma os produtos do CTI.7 e alimenta o CTI.9 com métricas de consumo que medem o uso real da inteligência.

1. Contexto e Posicionamento no Framework CTH

Diferentes stakeholders necessitam de tipos distintos de inteligência, com níveis diferentes de detalhamento e frequências diferentes de entrega. O CISO precisa de análise estratégica trimestral com recomendações de investimento; o analista de SOC precisa de IOCs atualizados diariamente e regras prontas para implantar; o threat hunter precisa de TTPs detalhadas com hipóteses de caça; a liderança de negócio precisa da tradução de riscos técnicos em impacto de negócio. A disseminação segmentada garante que cada destinatário receba exatamente o que precisa, no formato que precisa, sem ser sobrecarregado com informação irrelevante.

O Framework CTH posiciona este controle como a etapa da esteira em que o valor analítico produzido se converte em utilização real. Inteligência relevante entregue no canal errado, no nível de detalhe errado ou com atraso perde quase todo o valor acionável, e o excesso de comunicações produz o efeito inverso do desejado, porque consumidores sobrecarregados param de ler. A matriz de disseminação, exigida pela salvaguarda CTI.8.1, é o instrumento formal que resolve esse equilíbrio e que audita quem recebe o quê, por onde e com qual frequência.

2. O Princípio da Entrega Certa em Quatro Dimensões

A disseminação eficaz responde a quatro perguntas antes de qualquer envio. A primeira é a da relevância: o conteúdo do produto muda alguma decisão ou ação do destinatário específico, ou é apenas interessante? A segunda é a do formato: o destinatário consome texto longo, dashboards, listas técnicas ou briefings falados? A terceira é a do canal: o conteúdo chega pelo meio em que o destinatário já trabalha, como o chat operacional do SOC ou a caixa de entrada da diretoria? A quarta é a do tempo: o produto chega antes da janela em que a ação é possível?

O princípio tem uma consequência organizacional direta: a equipe de CTI precisa conhecer seus consumidores como produto de software conhece seus usuários. Isso significa manter o cadastro de públicos atualizado, revisar a matriz de disseminação quando equipes mudam de formato ou de responsáveis e tratar cada tipo de produto como um serviço com consumidor definido. Quando não é possível responder às quatro perguntas para um produto, o produto está mal concebido e deve ser reformulado antes de distribuído.

3. Mapeamento de Públicos e Produtos por Audiência

A matriz de disseminação cruza cada público com o produto ideal, a frequência e o canal. O exemplo abaixo cobre os seis públicos principais de um programa maduro e serve de ponto de partida para adaptação à estrutura da organização. A coluna de produto referencia os formatos definidos no CTI.7.

Três regras práticas sustentam a matriz ao longo do tempo. Primeiro, cada linha deve ter um responsável pelo recebimento, e não apenas um departamento abstrato, porque produtos sem destinatário nomeado se perdem em listas genéricas. Segundo, a mesma base analítica pode gerar versões diferentes por público, como um relatório técnico para o SOC com IOCs e regras e um resumo executivo para o CISO com impacto e ações, prática exigida pela salvaguarda CTI.8.4. Terceiro, a matriz é revisada a cada mudança relevante de estrutura ou a cada trimestre, com registro da revisão.

4. Canais, Formatos e Cadência

Cada canal tem vocação clara, e misturar vocações dilui a atenção dos consumidores. Relatórios por e-mail servem aos produtos periódicos formais; o chat serve a alertas urgentes e curtos; o briefing serve a decisões que exigem diálogo; o feed automatizado serve a indicadores e regras; o ticket serve a tarefas acionáveis que exigem rastreabilidade. A tabela resume o papel de cada canal e o cuidado principal de uso.

A cadência por tipo de produto segue o ritmo de decisão do consumidor, e a tabela abaixo organiza os ritmos padrão do programa. Produtos diários atendem a operação de plantão, produtos semanais consolidam a semana para SOC, detecção e gestão de vulnerabilidades, produtos mensais servem a gestores de risco e hunters, produtos trimestrais atendem a diretoria e produtos ad hoc nascem de eventos críticos. O calendário definido pela salvaguarda CTI.7.2 deve refletir essas frequências, e o cumprimento do calendário é parte da confiabilidade percebida do programa.

O alerta rápido merece disciplina própria, porque é o produto com maior risco de abuso. Ele deve ser reservado a eventos que exigem ação imediata, deve caber em uma tela, deve abrir com a ação necessária e deve conter os indicadores mínimos para a ação. Quando alertas rápidos viram rotina, os consumidores aprendem a ignorá-los, e o produto mais valioso da disseminação perde a função.

TEMPLATE - ALERTA RÁPIDO DE AMEAÇA (chat e e-mail)
TLP:AMBER | ID: CTI-ALR-2025-31 | Emitido: 2025-06-12 09:40

AÇÃO REQUERIDA HOJE: bloquear domínio de staging e implantar regra Sigma R2.

O quê: campanha de phishing dirigida usando anexo com macro e C2 no
domínio staging-ator-a[.]example, observado desde ontem no setor financeiro.

Indicadores essenciais:
  domínio: staging-ator-a[.]example (bloquear em proxy e DNS)
  hash do anexo: 4d1f...c9 (bloquear em EDR)

Quem executa: SOC plantão A, com engenharia de detecção em cópia.
Detalhes completos: relatório tático CTI-TAT-2025-14 (link interno).

5. TLP por Canal e Controle de Acesso

A classificação TLP limita tecnicamente o que cada canal pode carregar, e a matriz de disseminação registra o nível máximo permitido por canal. Um canal de chat com participação ampla comporta TLP:GREEN e TLP:CLEAR, mas não TLP:AMBER; um canal fechado de plantão de incidente comporta TLP:AMBER; TLP:RED restringe-se aos destinatários nomeados da conversa e não deve transitar por canais de lista. A regra é do produto para o canal: classifica-se o conteúdo primeiro e escolhe-se o canal compatível depois, nunca o caminho inverso.

O controle de acesso acompanha a classificação em cada plataforma. Listas de distribuição por e-mail devem refletir os grupos autorizados por nível, os canais de chat precisam de grupos gerenciados com revisão periódica de membros e os repositórios de produtos exigem permissão por nível TLP. A salvaguarda CTI.8.3 adiciona a gestão de preferências de destinatários, que permite opt-in e opt-out por categoria de produto, com o cuidado de manter obrigatórios os produtos essenciais à função, como alertas para operação. O objetivo é reduzir ruído sem criar pontos cegos de informação.

6. Automação da Distribuição de Indicadores

A disseminação de IOCs e regras não deve depender de envio manual, porque manual é lento, esquecível e não escala. A salvaguarda CTI.8.2 exige a implantação automática de indicadores no SIEM via API, o envio de alertas urgentes para o chat via webhook e a distribuição de relatórios por lista configurada. O pipeline típico conecta a plataforma de CTI à infraestrutura de detecção, aplica filtros por confiança, tipo e TLP, e registra cada entrega para auditoria.

# Fluxo ilustrativo de distribuição automática de IOCs
origem: plataforma_cti
  entidades: [ip-dst, domain, sha256, url]
  filtros:
    confianca_minima: 60
    tlp_maximo: green
    validade_minima_dias: 7
  transformacoes:
    - marcar tag "fonte:cti-interno"
    - aplicar expiração de 30 dias no SIEM
destinos:
  siem:
    metodo: api
    acao: criar_lista_de_referencia_e_deteccoes_correlatas
    cadencia: a cada 15 minutos
  edr:
    metodo: api
    acao: sincronizar_lista_de_bloqueio_ioe_para_resposta
    tlp_maximo: amber
    cadencia: a cada 60 minutos
  chat_soc:
    metodo: webhook
    acao: resumo_diario_de_novos_iocs_e_mudancas
    cadencia: diaria as 07:00
auditoria: registrar cada entrega com timestamp, volume e filtros aplicados

A automação exige salvaguardas próprias. Filtros de confiança e de validade evitam que indicadores de baixa qualidade gerem falso positivo em massa; a expiração automática evita que listas cresçam indefinidamente e degradem a performance de busca; e o registro de auditoria permite reconstruir o que foi distribuído em um dado dia, o que é essencial tanto para investigação quanto para o ajuste fino dos filtros. A revisão mensal dos filtros, com taxa de falso positivo por fonte, mantém o pipeline saudável.

7. Métricas de Consumo como Insumo do Feedback

Disseminar sem medir consumo é entregar no escuro. As métricas mínimas incluem a taxa de abertura por produto, os indicadores de leitura efetiva quando a plataforma permite, o número de acionamentos gerados, como tickets abertos e regras implantadas a partir do produto, e as perguntas recebidas dos consumidores. Essas métricas não medem qualidade por si só, mas revelam padrões de uso que, interpretados no CTI.9, orientam reformulação de produtos, ajuste de cadência e realocação de esforço analítico.

A leitura correta das métricas considera o desenho de cada produto. Baixa abertura de um relatório mensal por um público específico pode indicar formato errado, canal errado ou irrelevância real, e cada hipótese tem consequência diferente; alta taxa de acionamento de um pacote técnico de detecção valida o formato e justifica investimento em automação adicional. O registro dessas métricas por produto, ao longo de trimestres, é o que permite ao CTI.9 distinguir sinal de ruído na opinião dos consumidores.

8. Implementação Prática e Salvaguardas por Nível

As salvaguardas do controle avançam da matriz documentada à automação completa e ao dashboard de inteligência. A tabela resume as salvaguardas CTI.8.1 a CTI.8.5 com os entregáveis verificáveis correspondentes.

Critérios de sucesso incluem todos os produtos com destinatário nomeado, cadência cumprida no calendário, níveis TLP respeitados em 100% dos canais e métricas de consumo coletadas por padrão. Quando um produto acumula três ciclos de baixo consumo sem ação corretiva, a revisão da matriz passa a ser obrigatória, com decisão formal de reformular, redirecionar ou descontinuar.

9. Erros Comuns e Pontos de Atenção

• Relatório único para todos os públicos: o documento longo que tenta servir a C-level e ao SOC não é lido por nenhum dos dois; a correção é a base analítica única com versões diferenciadas por audiência.
• Disseminar sem medir consumo: sem métricas, o programa não sabe o que funciona e repete formatos mortos; a correção é coletar abertura, acionamento e perguntas por produto, por padrão.
• Transformar o alerta rápido em boletim rotineiro: o produto mais valioso vira ruído ignorado; a correção é critério formal de acionamento e resumo diário como alternativa para rotina.
• Enviar conteúdo TLP:AMBER por canal amplo: a violação expõe a organização e parceiros; a correção é a regra do produto para o canal, com níveis máximos registrados na matriz.
• Distribuir IOCs manualmente: a prática atrasa detecção e esquece destinatários; a correção é pipeline automatizado com filtros, expiração e auditoria.
• Listas de distribuição genéricas e sem dono: produtos se perdem em caixas coletivas; a correção é destinatário nomeado por linha da matriz e revisão periódica dos grupos.
• Ignorar perguntas recebidas: as perguntas são demanda não formalizada de inteligência; a correção é registrá-las e encaminhá-las ao ciclo do CTI.9 como insumo de ajuste.

10. Integração com Outros Controles do Framework CTH

O CTI.8 recebe os produtos prontos do CTI.7 e entrega aos consumidores internos definidos na matriz, com marcação TLP governada pelo PLT.5 e exigida pelo CTI.10 no controle de acesso. A automação de indicadores conecta-se ao PLT.1 e ao PLT.3 para distribuição estruturada em MISP e STIX, e alcança os grupos DAT, DET e IR por meio do SIEM, do EDR e dos fluxos de resposta. As métricas de consumo produzidas aqui são o insumo principal do CTI.9, que as converte em decisões de melhoria dos PIRs, das fontes e dos formatos.

No plano de maturidade, o marco Básico exige matriz documentada e distribuição automatizada de indicadores; o Intermediário exige preferências de destinatários e versões diferenciadas por audiência; o Avançado exige dashboard de inteligência em tempo real para stakeholders autorizados. O sinal de maturidade consolidada é o consumo medido e crescente por público, com cadências cumpridas, canais compatíveis com o TLP e nenhum produto sem destinatário nomeado.