TH.5 - Priorização de Hipóteses

Nota do grupo HNT, Preparação para Threat Hunting, derivada do Capítulo 11 do
Framework CTH. O controle TH.5 organiza a fila de hipóteses de caça em um
processo de priorização baseado em risco, garantindo que o tempo escasso de
hunting seja gasto nas hipóteses com maior potencial de revelar ameaça real.

1. Contexto e Posicionamento no Framework CTH

Os recursos de threat hunting são sempre limitados, enquanto o número de hipóteses possíveis é
virtualmente infinito: cada técnica ATT&CK gera várias hipóteses, cada baseline gera hipóteses
de desvio e cada relatório de CTI gera novas. Sem priorização, a equipe escolhe hipóteses por
interesse pessoal ou por facilidade, gastando tempo em alvos de baixo impacto enquanto técnicas
críticas permanecem não investigadas. O resultado é um programa de hunting ativo, porém
irrelevante para o risco real da organização.

A priorização baseada em risco é o que alinha o hunting ao resto da defesa. Ela garante que
hipóteses sobre técnicas usadas por adversários que visam o setor, sobre ativos críticos e
sobre lacunas de detecção reais subam na fila, e que hipóteses genéricas desçam. O Framework
CTH exige uma matriz de priorização com critérios explícitos, triagem semanal da fila e
integração com inteligência de ameaças, de modo que a ordem de execução seja decisão
justificável, e não preferência.

2. O Problema da Fila Infinita de Hipóteses

A fila de hipóteses cresce mais rápido do que qualquer equipe consegue consumir. Um ambiente
médio tem dezenas de técnicas ATT&CK plausíveis, dezenas de desvios de baseline candidatos e um
fluxo constante de relatórios táticos sugerindo novos alvos. Sem mecanismo de ordem e de
descarte, a fila vira um pântano: hipóteses envelhecem, perdem contexto, duplicam e se tornam
fonte de culpa coletiva, já que todos sabem que existem e ninguém sabe quando serão executadas.

O problema tem dois desdobramentos operacionais. O primeiro é a perda de oportunidade:
hipóteses ligadas a campanhas ativas perdem valor com o tempo, e uma fila sem priorização deixa
passar a janela em que a caça sobre aquela técnica teria maior chance de achado. O segundo é o
desgaste do time, que passa a alternar entre hipóteses empilhadas sem critério, gerando hunts
inacabados e sensação de esforço sem retorno. Priorizar não é burocracia de gestão, é a
condição para que o programa produza resultado dentro do tempo disponível.

3. Critérios de Priorização

O Framework CTH recomenda avaliar cada hipótese por critérios explícitos e pontuáveis. A
combinação a seguir cobre risco, viabilidade e retorno, e evita que um único fator, como a
novidade da técnica, decida sozinho.

Dois critérios merecem nota explicativa. O custo pontua invertido, porque baixo custo aumenta a
prioridade, e a pontuação deve considerar também o custo de oportunidade, ou seja, as horas que
o hunt consome da fila. A viabilidade pontua alto quando a matriz de visibilidade do TH.1
confirma fontes com qualidade, e baixo quando a hipótese dependeria de telemetria inexistente,
caso em que ela pode seguir como pedido de coleta em vez de hunt imediato.

4. Matriz de Priorização com Exemplo Preenchido

A pontuação total varia de 5 a 15 e define a faixa de prioridade: 12 a 15 é crítica, com
execução imediata; 9 a 11 é alta, com execução na semana; 6 a 8 é média, com agendamento
quinzenal; 5 é baixa, permanecendo em backlog com revisão periódica. A tabela a seguir traz um
exemplo realista de fila com cinco hipóteses pontuadas.

O exemplo ilustra a dinâmica desejada. A H1 sobe porque reúne técnica prevalente em setores
atacados, dados disponíveis via evento 4769 e ausência total de detecção. A H5, apesar de
técnica relevante, desce porque a matriz de visibilidade do TH.1 mostra que falta telemetria de
assinatura de WMI, e o registro correto da hipótese inclui o pedido de coleta, e não a execução
às cegas. A fila também deve registrar quem pontuou e quando, pois scores não revisados
envelhecem junto com a inteligência que os originou.

5. Fontes que Alimentam a Fila

A fila saudável é abastecida por fontes variadas, e o desequilíbrio entre elas é sintoma de
programa enviesado. As quatro fontes principais são:

• Relatórios táticos do CTI.7, que trazem TTPs de grupos relevantes ao setor e campanhas
  ativas, gerando hipóteses do tipo pico, com base em inteligência.
• Exercícios de simulação do grupo SIM.x, cujos testes de detecção revelam técnicas que
  passaram sem alerta e merecem caça para confirmar se houve execução real.
• Lacunas mapeadas no MAP.4, que apontam técnicas sem cobertura de coleta ou de detecção,
  gerando tanto hipóteses quanto pedidos de telemetria para o TH.1.
• Achados e resíduos de hunts anteriores, incluindo pivoting não concluído, anomalias de
  baseline confirmadas como legítimas e consultas que merecem nova janela temporal.

Complementarmente, alertas de ISACs, vulnerabilidades em exploração ativa e incidentes internos
do IR.x elevam hipóteses relacionadas de forma temporária, pelo tempo de validade da
informação. A cadência de triagem deve decidir se essas elevações expiram, evitando que a fila
carregue prioridades de emergência que viraram permanentes.

6. Cadência de Revisão e Equilíbrio entre Hunts

A triagem semanal da fila é a salvaguarda intermediária do controle: a equipe revisa hipóteses
novas e pendentes, incorpora atualizações de CTI, revalida pontuações e define o cardápio da
semana. A cadência deve ser calendário fixo, com tempo limitado, porque triagem sem limite
transforma-se em reunião de discussão técnica e rouba o tempo de execução. Mudanças bruscas de
inteligência, como campanha ativa visando o setor, podem antecipar a triagem fora do ciclo.

O portfólio de hunts precisa equilibrar dois perfis. Hunts rápidos, de duas a quatro horas,
validam hipóteses pontuais, mantêm ritmo e dão sensação de progresso, mas raramente produzem
profundidade. Hunts longos, desdobrados em várias sessões, exploram técnicas complexas como
movimentação lateral ou exfiltração, e sustentam os achados de maior valor. Uma proporção
operacional saudável fica em torno de 70% do tempo em hunts rápidos e 30% em hunts longos,
ajustada pela maturidade e pelas prioridades do ciclo, com o PEAK lembrando que hunts
submarinos, orientados a dados, também têm lugar reservado no portfólio.

7. Registro da Fila: Kanban e Campos Mínimos

A fila deve ser registrada em ferramenta simples e visível, e um kanban com poucas colunas,
fila, preparação, executando, revisão e concluído, é suficiente na maioria dos casos.
Ferramenta sofisticada não compensa campos mal definidos; o que importa é que qualquer membro
da equipe consiga responder, em segundos, o que está na fila, qual a prioridade e quem é o
dono. Campos mínimos recomendados por hipótese:

id: HIP-2025-041
titulo: Kerberoasting em contas de servico
origem: [CTI.7 relatorio tatico, MAP.4]
tecnicas_attack: [T1558.003]
score_total: 15
prioridade: critica
dono: nome do responsavel
status: fila        # fila, preparacao, executando, revisao, concluido
estimativa_horas: 8
dados_necessarios: [SecurityEvent 4769, telemetria de autenticacao]
bloqueios: []
data_triagem: 2025-06-02

Dois atributos de gestão valem mais que a ferramenta escolhida. O primeiro é a fila ter dono
formal, responsável por manter scores, despachar hipóteses e arquivar o que perdeu relevância.
O segundo é o descarte explícito: hipóteses baixas que envelheceram saem da fila com registro,
porque fila sem descarte é apenas armazém de culpa.

8. Salvaguardas por Nível

9. Erros Comuns e Pontos de Atenção

• Priorizar o interessante em vez do relevante, escolhendo técnicas exóticas que rendem
  conversa técnica em vez de reduzir risco. O critério de negócio e os PIRs existem para
  arbitrar exatamente esse conflito.
• Manter fila sem dono, na qual todos adicionam e ninguém despacha. Sem responsável pela
  triagem, a fila acumula duplicatas, scores vencidos e hipóteses sem viabilidade registrada.
• Nunca descartar hipóteses, tratando a fila como arquivo permanente. Descarte com registro é
  decisão de gestão saudável, e hipótese descartada pode retornar quando inteligência ou coleta
  mudarem.
• Pontuar viabilidade alta sem consultar a matriz de visibilidade do TH.1, gerando hunts que
  fracassam por falta de dados e contaminam a métrica do programa.
• Deixar prioridades de emergência virarem permanentes, sem expiração, até que a fila inteira
  seja crítica. Elevação temporária precisa de data de validade.
• Pontuar custo em zero, ignorando que todo hunt consome horas de analista sênior. Custo e
  tempo estimado são critério de primeira classe, não rodapé.

10. Integração com Outros Controles do Framework CTH

TH.5 é o consumidor direto da matriz de visibilidade do TH.1, que define a pontuação de
viabilidade, e da inteligência produzida pelo grupo PLT.x e consolidada no CTI.7, que informa
prevalência e urgência. A fila alimenta o TH.4, cujo processo executa cada hipótese, e devolve
para a fila os resíduos de execução, como pivoting não concluído e novas hipóteses surgidas
durante a caça. Lacunas confirmadas em execução retroalimentam o MAP.4 e geram pedidos ao grupo
DAT, fechando o ciclo entre priorização, caça e melhoria de coleta.

Na governança, as métricas do grupo MET.x devem acompanhar tempo de permanência na fila,
distribuição de prioridades executadas por ciclo e taxa de hipóteses descartadas, pois esses
números revelam se a priorização está funcionando ou se a fila é ornamento. O exercício de
simulação do grupo SIM.x alimenta a fila com hipóteses derivadas de testes de detecção, e a
automação do grupo AUT.x, no estágio avançado, materializa o score dinâmico que o Framework CTH
recomenda para programas maduros.