TH.4 - Metodologia e Processo de Hunting

Nota do grupo HNT, Preparação para Threat Hunting, derivada do Capítulo 11 do
Framework CTH. O controle TH.4 estrutura a caça em processo definido, com
etapas, entregáveis e critérios de encerramento, garantindo consistência,
reprodutibilidade e aproveitamento institucional de cada hunt.

1. Contexto e Posicionamento no Framework CTH

Uma metodologia estruturada de hunting garante consistência, reprodutibilidade e documentação
adequada de todas as investigações. Sem processo definido, cada hunter conduz investigações de
forma ad hoc, com qualidade inconsistente, dificuldade de auditoria e perda total de
conhecimento institucional quando o profissional sai. A padronização também permite que novos
membros sejam integrados rapidamente e que resultados sejam comparáveis ao longo do tempo, o
que sustenta as métricas do programa.

Hunting sem processo degrada para exploração aleatória: consultas improvisadas, sem hipótese
registrada, sem escopo e sem encerramento formal. O hunt que não é documentado não pode ser
revisado por pares, não pode ser convertido em detecção e, pior, pode ser repetido por engano
meses depois, gastando o mesmo esforço duas vezes. O processo é o que transforma curiosidade
individual em capacidade organizacional, e é por isso que o Framework CTH o trata como controle
de preparação e não como sugestão.

2. Metodologias de Referência: TaHiTI, OTHF e PEAK

O mercado consolidou algumas metodologias que servem de referência, e conhecê-las evita
reinvenção malfeita. A tabela compara as três mais citadas, com o recorte que interessa à
implementação.

O valor comparativo está em combinar, e não em escolher. Da TaHiTI aproveita-se a triagem e o
Feedback estruturado; do OTHF, a definição de papéis que permite confiar parte da execução a
terceiros; do PEAK, a distinção entre hunts de pico e submarinos, que orienta o equilíbrio do
portfólio e se conecta diretamente à priorização do TH.5. O Framework CTH adota um processo de
cinco etapas que é compatível com as três, permitindo rotular cada hunt com a metodologia de
referência quando útil.

3. O Processo do Framework CTH em Cinco Etapas

O ciclo de caça do Framework CTH, definido no Capítulo 2 e operacionalizado por este controle,
tem cinco etapas com entrada e saída explícitas. Definir o que entra e o que sai de cada etapa
é o que impede hunts intermináveis.

Três regras de operação mantêm o ciclo saudável. A hipótese só entra na execução quando é
falsificável, ou seja, quando existe consulta capaz de refutá-la. O pivoting durante a execução
é permitido e desejável, mas deve ser registrado, pois desvios não documentados são a principal
fonte de hunts que nunca terminam. A etapa 5 é obrigatória mesmo para hunts sem achado, porque
a ausência de evidência bem documentada tem valor: calibra a matriz de visibilidade e justifica
melhorias de coleta.

4. Template de Registro de Hunt

O template padronizado é a salvaguarda básica do controle e deve capturar, no mínimo, hipótese,
fontes, consultas, resultado e decisão. O exemplo a seguir usa um formato legível por máquina e
por humano, adequado a repositório da equipe.

id: HNT-2025-013
titulo: Execucao de PowerShell com ofuscacao em servidores de aplicacao
data_inicio: 2025-06-02
analista: nome do responsavel
revisor: nome do peer review
tipo: pico            # pico (hipotese de inteligencia) ou submarino (dados)
metodologia: TaHiTI   # TaHiTI, OTHF, PEAK ou processo CTH puro
hipotese: >
  Se um adversario estiver presente nos servidores de aplicacao, ele
  executara PowerShell com ofuscacao (caracteres de escape e codificacao)
  que difere do padrao administrativo registrado na baseline de processos.
tecnicas_attack: [T1059.001, T1027]
fontes_dados:
  - SecurityEvent 4688 (retencao 90 dias)
  - Sysmon 1 (retencao 180 dias)
  - Evento 4104 ScriptBlock (retencao 90 dias)
consultas:
  - kql://hunts/013-powershell-ofuscado.kql
  - nota: taxa de execucao por servidor comparada ao P95 da baseline
resultado: refutado    # confirmado, refutado, lacuna_de_dados, requer_mais_tempo
achados: nenhum padrao de ofuscacao fora do administrativo identificado
decisao: documentar e encerrar; hipotese reavaliada apos nova CTI setorial

O campo de decisão é o que liga o hunt ao resto do programa: criar regra de detecção, abrir
caso de resposta a incidentes, atualizar baseline, pedir telemetria nova ao grupo DAT ou apenas
registrar e encerrar. Templates mais longos que isso raramente são preenchidos, e a lacuna
entre template ideal e template real é onde morre a disciplina do processo.

5. Estados de Encerramento de um Hunt

Todo hunt precisa terminar em um dos quatro estados abaixo, e o estado escolhido define o
destino do trabalho. Encerramento sem estado explícito é a falha mais comum e mais cara do
processo.

O estado refutado merece respeito cultural. Equipes imaturas tratam refutado como fracasso, o
que induz hunters a não encerrar hunts ou a inflar achados. O refutado bem documentado reduz o
espaço de busca futuro e frequentemente gera uma consulta de valor para detecção, mesmo sem
confirmar a hipótese original.

6. Integração com CTI e com Engenharia de Detecção

A entrada do processo é majoritariamente inteligência: relatórios táticos do CTI.7 geram
hipóteses sobre TTPs relevantes, alertas de campanhas ativas elevam prioridades e os requisitos
de inteligência, os PIRs, definem o que vale caçar. No sentido inverso, cada hunt devolve
inteligência para o ciclo: confirmação de técnica em ambiente real, infraestrutura observada e
padrões comportamentais que enriquecem perfis de ameaça. Esse vaivém é o ciclo virtuoso
descrito no Capítulo 2 do Framework CTH.

Com a engenharia de detecção, o processo tem contrato explícito. Toda consulta de hunt
confirmada ou refutada é avaliada para conversão em regra Sigma ou correlação de SIEM,
transformando esforço analítico único em detecção permanente. O hunt também exerce controle de
qualidade ao revés: regras que nunca disparam são candidatas a hunt de validação, e lacunas de
cobertura apontadas pela engenharia voltam à fila do TH.5 como hipóteses de caça.

7. Salvaguardas por Nível

8. Erros Comuns e Pontos de Atenção

• Tratar o hunt como sessão de curiosidade, sem hipótese registrada nem escopo, produzindo
  exploração aleatória que não pode ser revisada nem repetida. A hipótese falsificável é o
  ponto de partida obrigatório.
• Deixar hunts abertos indefinidamente, sem estado de conclusão. A régua é simples: todo hunt
  termina em confirmado, refutado, lacuna de dados ou requer mais tempo, com prazo nos dois
  últimos casos.
• Confundir hunt com triagem de alerta, reaproveitando o mesmo fluxo reativo. O hunt parte de
  hipótese e escopo próprios, mesmo quando a anomalia observada motivou a fila.
• Adotar template tão extenso que ninguém preenche, ou tão enxuto que não permite
  reprodutibilidade. O equilíbrio fica nos campos mínimos do template da seção 4.
• Peer review transformada em formalidade sem reexecução das consultas. Revisão sem refazer a
  análise valida texto, não resultado.
• Ignorar a cadência e acumular hunts para o fim do mês, quebrando o ritmo que sustenta a
  métrica do programa. Cadência é compromisso de calendário, não aspiração.

9. Integração com Outros Controles do Framework CTH

TH.4 opera sobre a infraestrutura dos demais controles de preparação: o TH.1 fornece o catálogo
consultado na preparação, o TH.2 fornece as baselines usadas na execução, o TH.3 fornece o
ambiente e o TH.5 fornece a fila priorizada de onde nasce cada hunt. Na saída, o controle
alimenta o CTI.7 com achados técnicos e observações de campanha, e alimenta a engenharia de
detecção do grupo PRT.x com consultas candidatas a regras, sempre com o SIM.x como espaço de
teste antes da produção.

Os casos confirmados transitam para o IR.x com evidências organizadas, e o processo inteiro é
auditado pelas métricas do grupo MET.x, que medem tempo médio de execução, taxa de findings por
hunt, cobertura ATT&CK das hipóteses testadas e retorno do programa. A automação do grupo AUT.x
entra no estágio avançado, convertendo hunts recorrentes em pipelines executáveis, o que libera
o time humano para as hipóteses que exigem julgamento analítico de verdade.