CTI.10 - Proteção de Contra-Inteligência

Controle CTI.10 do grupo ANA (Ciclo de Inteligência: Análise e Disseminação) do Framework CTH, derivado do Capítulo 10 do PDF de referência. Aplica OPSEC à própria produção de inteligência, protegendo plataformas, métodos de coleta e produtos contra a observação do adversário. Complementa a disciplina de contra-inteligência da biblioteca ao defender a vantagem de informação que sustenta todo o programa de CTI e Threat Hunting.

1. Contexto e Posicionamento no Framework CTH

Adversários sofisticados, especialmente grupos APT patrocinados por Estados, monitoram ativamente as capacidades defensivas de seus alvos. Eles pesquisam quais ferramentas de segurança a organização utiliza, quais detecções estão implementadas, quais fontes de inteligência são consultadas e quais vulnerabilidades são conhecidas internamente. Se um adversário descobre que a organização detecta sua técnica de comunicação C2, ele simplesmente muda a técnica antes de operar, e meses de trabalho analítico perdem a vantagem de surpresa.

O Framework CTH posiciona este controle como a segurança operacional do próprio programa de CTI. A produção de inteligência gera ativos de alto valor para o adversário: o relatório revela o que a organização sabe e como sabe, a plataforma de CTI revela prioridades e fontes, e a lista de detecções revela o mapa mental da defesa. A proteção de contra-inteligência cobre quatro dimensões, resumidas na tabela abaixo, e cada uma delas recebe salvaguardas específicas nas seções seguintes.

Este controle conecta-se naturalmente à disciplina de contra-inteligência tratada no diretório 13 da biblioteca, que aborda a matéria em profundidade, incluindo operações de engano e contrainspeção. A diferença de foco é de escopo: aqui, a preocupação é a proteção do ciclo de inteligência interno, dos seus artefatos e da sua operação cotidiana; lá, a disciplina é tratada como campo próprio, com técnicas de detecção de reconhecimento, engano e resposta. O CTI.10 fornece as salvaguardas mínimas que o programa de CTI deve cumprir independentemente do estágio da prática de contra-inteligência da organização.

2. Need-to-Know e Need-to-Share em Equilíbrio

O princípio de need-to-know limita o acesso à informação ao conjunto de pessoas que realmente precisam dela para executar sua função. Aplicado de forma absoluta, porém, ele estrangula o programa: SOC, hunters e detecção precisam da inteligência para agir, e excesso de restrição empurra o consumo para canais informais, que são menos controlados. O equilíbrio correto aplica os dois princípios em conjunto, concedendo acesso amplo ao que é amplo por natureza, como IOCs genéricos, e restringindo o que é sensível, como atribuições, métodos de coleta e hipóteses em investigação.

A decisão prática começa pela classificação do conteúdo, e não da pessoa. Um relatório tático com TTPs de ator público pode circular em TLP:GREEN para a comunidade; a mesma campanha com evidências internas de comprometimento e nomes de vítimas é TLP:AMBER restrita; a hipótese de atribuição baseada em método de coleta delicado é TLP:RED interna. Depois de classificado, o conteúdo recebe público compatível, e a regra que evita exceções individuais improvisadas é conceder acesso por função documentada, nunca por conveniência pontual.

O risco de compartilhar demais tem nome e custo. Relatórios internos que circulam em listas amplas acabam em screenshots, repositórios pessoais e fóruns de análise; hipóteses de atribuição citadas em conversas públicas permitem que o adversário identifique exatamente qual técnica de coleta foi comprometida e a desative. O controle de divulgação externa, incluindo apresentações em eventos e publicações de blog da própria organização, deve passar por revisão de OPSEC com as mesmas perguntas do need-to-know, agora na direção inversa.

3. Controle de Acesso e Marcação TLP Disciplinados

A base técnica da proteção é o controle de acesso por função nas plataformas de inteligência, exigido pela salvaguarda CTI.10.1. MISP, OpenCTI, SIEM e os repositórios de relatórios devem ter RBAC com grupos mínimos, autenticação multifator obrigatória e auditoria de acessos habilitada. A correspondência entre níveis TLP e grupos de plataforma deve estar documentada e testada, com teste prático trimestral de amostras por nível, verificando o comportamento real do lado receptor, inclusive em exportações e sincronizações.

A disciplina de marcação TLP exigida pela salvaguarda CTI.10.2 é o complemento lógico do RBAC: controle de acesso sem classificação coerente protege mal, porque o conteúdo sensível não é identificado, e classificação sem controle de acesso é apenas etiqueta. A ausência de marcação trata o material como AMBER por padrão, com alerta para classificação, o que evita que conteúdo sensível circule sem proteção enquanto aguarda decisão.

O monitoramento de acessos da salvaguarda CTI.10.3 fecha o ciclo: acessos fora de horário habitual, vindos de endereços incomuns, com volume de consultas anômalo ou a coberturas de conteúdo fora da função do usuário podem indicar conta comprometida ou acesso indevido. Alertas automáticos para esses padrões, com triagem pelo SOC, convertem a plataforma de CTI em superfície monitorada como qualquer ativo crítico, e o log de auditoria passa a ser evidência investigativa em caso de suspeita de vazamento.

4. Proteção dos Métodos de Coleta

Os métodos de coleta são a parte menos visível e mais delicada do programa. Quando o adversário identifica quais feeds são consumidos, quais fontes OSINT são monitoradas e quais ferramentas de análise são empregadas, ele ganha duas vantagens: sabe o que a organização provavelmente não viu, e pode envenenar ou saturar exatamente os canais monitorados. A salvaguarda CTI.10.4 trata essa proteção como diretriz formal, e a operação cotidiana deve traduzi-la em hábitos verificáveis.

As medidas principais de proteção da coleta são as seguintes.

• Segregação de identidade: pesquisas em infraestrutura de adversários usam contas dedicadas, sem vínculo corporativo, e navegadores isolados, de modo que o padrão de consultas não seja atribuível à organização.
• Uso de infraestrutura de acesso controlado: consultas sensíveis a painéis de escaneamento, repositórios públicos e serviços de análise passam por VPN ou infraestrutura dedicada, evitando a exposição do endereço e da identidade corporativa.
• Discrição sobre fontes: o catálogo de fontes do PLT.4 é interno, e relatórios, apresentações e conversas externas não citam de quais feeds vieram os dados, preferindo a expressão fontes abertas ou fontes próprias.
• Precaução com conteúdo recebido: amostras e links provenientes de fontes suspeitas são manipulados em ambiente isolado, porque o envio de amostra pode sinalizar ao adversário que ela foi capturada pela organização.
• Vocabulário controlado em comunicações: nomes de código para campanhas de hunting e detecções críticas, como definido na seção de OPSEC, impedem que conversas rotineiras revelem o foco da coleta.

A proteção da coleta tem limite prático reconhecível: o adversário sofisticado assume que alvos maduros consomem inteligência pública, e parte do risco residual é aceitável. O objetivo das medidas é elevar o custo da observação e preservar as fontes proprietárias e as hipóteses em curso, que são as vantagens realmente decisivas, e não criar ilusão de invisibilidade que leve a equipe a descuidar dos controles de plataforma e de produto.

5. OPSEC Corporativo da Equipe de CTI

A operação cotidiana da equipe cria rastros que o adversário pode explorar, e a salvaguarda CTI.10.4 estabelece as diretrizes mínimas de OPSEC corporativo. Discussões sobre capacidades de detecção específicas não pertencem a canais públicos, redes sociais ou conversas fora da equipe; detecções críticas e campanhas de hunting recebem nomes de código internos, de modo que um comentário vago não revele a técnica; configurações completas de regras de detecção não são publicadas em repositórios públicos, porque o adversário usa as mesmas bases públicas para testar evasão.

Os metadados dos documentos são superfície frequentemente esquecida. Propriedades de arquivos, histórico de edições, comentários em rascunhos, caminhos de diretório internos e informações de autoria revelam estrutura organizacional e nomeiam pessoas e sistemas. A rotina de publicação de qualquer material externo, incluindo respostas a questionários de parceiros e publicações de blog, deve incluir limpeza de metadados e revisão de capturas de tela, que frequentemente carregam abas, títulos e notificações internas.

# Checklist de sanitização antes de publicar ou enviar material
1. Remover metadados de autor, empresa e caminho de arquivo.
2. Verificar propriedades do documento e histórico de revisões.
3. Conferir capturas de tela quanto a abas, títulos e notificações.
4. Remover identificadores internos, nomes de host e endereços IP próprios.
5. Confirmar que a classificação TLP visível corresponde ao canal de destino.
6. Perguntar de forma estruturada: o que este material revela sobre o que
   sabemos, como sabemos e o que detectamos?

A pesquisa externa da equipe também carrega risco de revelação. Consultas a repositórios públicos, painéis de escaneamento e serviços de análise de infraestrutura podem registrar o interesse da organização em domínios e atores específicos, sinalizando ao adversário que seu rastro está sendo seguido. Pesquisas sensíveis devem usar navegadores isolados, contas dedicadas sem vínculo com a organização e, quando aplicável, infraestrutura de acesso controlado, conforme a diretriz de navegação anônima da salvaguarda CTI.10.4.

A presença pública da equipe em eventos e comunidades exige o mesmo cuidado, em versão mais sutil. Apresentações técnicas, participação em painéis e conversas de corredor construem reputação, mas também mapeiam para o adversário quem são os analistas, o que o time estuda e quais técnicas a organização domina. A diretriz de OPSEC deve definir o que pode ser falado em público, preferindo conteúdo sanitizado em nível de TTP, sem vinculação com detecções internas, e deve treinar a equipe para reconhecer perguntas que extraem informação em conversa aparentemente técnica e amigável.

6. Detecção de Reconhecimento Contra a Organização

A melhor defesa contra a observação do adversário é saber que ela está acontecendo. Técnicas de detecção de reconhecimento dão à organização a consciência de que está sendo estudada, e o monitoramento dessa categoria é uma salvaguarda avançada do programa. Canário tokens, arquivos isca, credenciais sintéticas e honeypots internos criam alvos que não têm função legítima, de modo que qualquer interação é por definição suspeita e informativa.

As técnicas principais, com a função de cada uma, são as seguintes.

• Canary tokens em documentos e URLs: arquivos sensíveis simulados e links únicos disparam alerta quando abertos, revelando interesse indevido em conteúdo específico e o canal por onde o material vazou.
• Honeypots internos: compartilhamentos, servidores e credenciais isca dentro da rede sinalizam movimentação lateral e reconhecimento interno, com alerta de alta fidelidade por ausência de uso legítimo.
• Monitoramento de credenciais vazadas: credenciais corporativas que aparecem em coleções de vazamento indicam alvo de comprometimento ou reconhecimento, e o alerta dispara troca imediata e investigação da origem.
• Alertas de varredura externa: varreduras sistemáticas contra a superfície exposta, sondas de serviços específicos e testes de exploração repetidos contra a mesma lacuna indicam fase de reconhecimento preparatório.
• Análise de tentativas de evasão: variações sistemáticas de técnicas que se ajustam às detecções existentes sugerem que o adversário está testando as defesas e conhecendo-as, sinal tratado pela salvaguarda CTI.10.5.

Esses sinais têm valor duplo para o programa. Do lado defensivo, cada alerta de reconhecimento é oportunidade de conter a fase preparatória de um ataque; do lado analítico, o padrão do reconhecimento é inteligência sobre o adversário, que retroalimenta o catálogo de TTPs do CTI.6 e pode indicar qual ator está mirando a organização. A detecção de reconhecimento, portanto, não é apenas proteção, é também fonte de inteligência primária.

A tabela abaixo relaciona cada sinal de reconhecimento à interpretação provável e à ação imediata correspondente, servindo de referência rápida para triagem.

O monitoramento de credenciais vazadas de funcionários merece atenção jurídica e de privacidade, porque envolve dados pessoais. O programa deve operar com base legal definida, com jurídico envolvido na diretriz, escopo limitado a credenciais corporativas e fluxo de resposta focado em risco de acesso, e não em investigação de conduta pessoal. Essa delimitação protege o programa de desgaste legal e preserva a confiança dos funcionários, que são os primeiros a se beneficiar da troca rápida de credencial.

7. Vazamento de Relatórios e Resposta

Quando um relatório de CTI da organização aparece no ecossistema criminoso, em fóruns, canais de mensagens ou marketplaces de dados, o incidente é grave e exige resposta estruturada. O vazamento revela ao adversário exatamente o que a organização sabe: quais técnicas foram atribuídas a ele, qual infraestrutura está sendo monitorada, quais sistemas estão sendo caçados e qual o nível de confiança da avaliação. A resposta imediata inclui confirmar a autenticidade do material, avaliar o que ele expõe e concluir quais vantagens analíticas se perderam.

O protocolo de resposta segue cinco passos. Primeiro, confirmar a autenticidade e a versão do material vazado, porque rascunhos e versões antigas expõem menos, mas também confundem a avaliação. Segundo, mapear o conteúdo exposto, listando técnicas, infraestrutura, fontes e hipóteses comprometidas. Terceiro, ajustar imediatamente a coleta e as detecções citadas, antecipando que o adversário vai mudar o comportamento revelado. Quarto, conduzir investigação da origem do vazamento, com auditoria de acessos, análise de watermarking e revisão de canais de distribuição. Quinto, atualizar a matriz de disseminação e os controles do CTI.8 para fechar o caminho de escape identificado.

A prevenção reduz a probabilidade e o impacto. Marcas d'água únicas por destinatário em produtos sensíveis permitem identificar a fonte do vazamento; versões diferenciadas do mesmo relatório, uma prática do CTI.8, limitam o que cada cópia expõe; e o registro de disseminação com destinatário, versão e data constrói a trilha auditável que acelera a investigação. Organizações que adotam watermarking por destinatário em produtos TLP:AMBER e TLP:RED reduzem drasticamente o tempo de identificação da origem quando o incidente acontece.

O retorno à operação normal exige regeneração da vantagem analítica perdida. As fontes citadas no material vazado são reavaliadas quanto à continuidade, as hipóteses comprometidas são formalmente descartadas ou reformuladas, e as detecções citadas passam por revisão de evasão, com o pressuposto de que o adversário as conhece em detalhe. A lição aprendida do incidente entra no log de feedback do CTI.9 e no catálogo de TTPs do CTI.6, registrando o comportamento do adversário depois da exposição, que frequentemente revela novas técnicas de evasão e ajuste de infraestrutura.

8. Implementação Prática e Salvaguardas por Nível

As salvaguardas do controle avançam do RBAC básico à contra-inteligência ativa. A tabela resume as salvaguardas CTI.10.1 a CTI.10.5 com os entregáveis verificáveis correspondentes.

Critérios de sucesso incluem nenhuma plataforma de inteligência sem MFA, nenhuma distribuição sem classificação TLP, tempo de detecção de acesso anômalo compatível com o nível de risco da plataforma e exercícios periódicos de sanitização de material. Quando um vazamento ocorre, o sucesso não é a ausência absoluta do evento, mas a velocidade de detecção, a identificação da origem e a correção estrutural que impede a repetição.

A configuração de referência abaixo resume, em formato ilustrativo, o modelo de acesso mínimo esperado nas plataformas do programa. O valor prático do modelo está na revisão periódica de membros, que deve ser agendada como tarefa recorrente, e na regra do padrão conservador, que nega por padrão e concede por função documentada.

modelo_acesso_plataforma_cti:
  autenticacao: sso corporativo + MFA obrigatorio
  grupos:
    cti-interno: [analistas, hunters, coordenacao]     # acesso TLP:RED
    stakeholders-amber: [soc-lider, csirt-lead, det]   # acesso TLP:AMBER
    comunidade-interna: [todos os times de seguranca]  # acesso TLP:GREEN
  auditoria: log completo com alerta de anomalia
  revisao_de_membros: trimestral, com aprovação do responsável do grupo
  padrao: negar por padrão e conceder por função documentada

9. Erros Comuns e Pontos de Atenção

• Tratar a plataforma de CTI como repositório aberto: acesso amplo sem RBAC expõe atribuições, fontes e hipóteses a qualquer usuário autenticado; a correção é RBAC com grupos mínimos e revisão periódica de membros.
• Classificar por padrão tudo como TLP:RED: o excesso de restrição empurra o consumo para cópias informais, que são menos controladas e mais propensas a vazamento; a correção é classificar por conteúdo com critérios objetivos.
• Discutir detecções em canais públicos e redes sociais: o comentário técnico parece inofensivo, mas revela a técnica detectada; a correção é nomes de código internos e diretriz de OPSEC treinada.
• Ignorar metadados de documentos: autor, caminho e histórico revelam estrutura interna; a correção é checklist de sanitização obrigatório antes de qualquer publicação ou envio externo.
• Pesquisar na internet com identidade corporativa: o padrão de consultas delata os interesses da organização; a correção é navegação isolada e contas dedicadas para pesquisa sensível.
• Deixar o vazamento ser descoberto por terceiros: sem monitoramento do ecossistema criminoso, a organização fica sabendo tarde; a correção é monitoramento de menções integrado à salvaguarda CTI.10.5.
• Responder ao vazamento apenas apagando o material: remover o conteúdo não recupera a vantagem perdida; a correção é o protocolo de cinco passos, com ajuste imediato de coleta e detecções citadas.

10. Integração com Outros Controles do Framework CTH

O CTI.10 protege todo o ciclo que os controles anteriores constroem: o acesso às plataformas do PLT.1 e do PLT.2, a marcação TLP do PLT.5, a distribuição do CTI.8 e os produtos do CTI.7. O monitoramento de acessos das plataformas alimenta o SOC e o grupo DET, os sinais de reconhecimento retroalimentam o catálogo de TTPs do CTI.6, e o protocolo de resposta a vazamento utiliza os fluxos do IR.x e a gestão de incidentes. A relação com o diretório 13 da biblioteca, dedicado à contra-inteligência, é de base mínima: este controle garante que o programa de CTI tenha OPSEC formal, enquanto aquela disciplina expande a matéria para operações de engano, contrainspeção e análise de ameaças internas.

No plano de maturidade, o marco Básico exige RBAC com MFA e TLP disciplinado; o Intermediário exige monitoramento de acessos e diretrizes de OPSEC treinadas; o Avançado exige contra-inteligência ativa, com monitoramento do ecossistema criminoso e análise de evasão direcionada. O sinal de maturidade consolidada é a combinação de plataformas auditadas sem alertas de acesso não resolvidos, sanitização verificada em 100% dos materiais externos e tempo curto entre o aparecimento de sinal de reconhecimento e a ação defensiva correspondente.