INT.1 - Ciclo Integrado Inteligência-Driven Hunting

Nota do grupo INT (Integração CTI-TH-EASM) da seção 15 do Framework CTH.
Deriva do Capítulo 17 do PDF de referência, controle INT.1, com os subcontroles INT.1.1 a INT.1.5.
Define o ciclo em que a inteligência de ameaças direciona a caça, do PIR até o feedback que devolve evidências internas à base de CTI.

1. Contexto e Posicionamento no Framework CTH

O hunting direcionado por inteligência concentra o esforço investigativo nas técnicas que adversários reais empregam contra o setor da organização, em vez de varrer o ambiente atrás de anomalias genéricas. Quando a CTI entrega perfis de atores, TTPs priorizadas e indicadores de interesse, cada hora de caça tem probabilidade muito maior de encontrar uma ameaça verdadeira. Sem esse direcionamento, o hunting depende da intuição do analista e tende a investigar o que é fácil de consultar, e não o que ameaça o negócio.

No Framework CTH, o INT.1 é o controle que costura três programas em um só motor. Os PIRs (Priority Intelligence Requirements) do CTI.1 dão a direção, a avaliação de ameaça do CTI.2 seleciona os adversários que importam, o relatório tático do CTI.7 materializa o insumo e a priorização do TH.5 decide o que será caçado. A formulação estruturada é do TH.6, a execução é dos controles TH.7 a TH.10, a detecção validada é industrializada pelo AUT.3 e o resultado volta à CTI pelo feedback do CTI.9, fechando o laço.

O ciclo deve operar de forma contínua, com briefing mensal e disparos ad hoc quando eventos de inteligência significativos ocorrerem, como divulgação de vulnerabilidade crítica explorada ativamente ou campanha direcionada ao setor. A cadência mensal é o mínimo que sustenta relevância, porque o panorama de ameaças muda mais rápido que o típico ciclo anual de planejamento. Organizações com maturidade intermediária reduzem o intervalo para quinze dias nos temas ligados aos PIRs de maior prioridade.

2. Desenho do Ciclo: Etapas, Entradas e Saídas

O ciclo opera em oito etapas conectadas, cada uma com entrada definida, atividade responsável e saída verificável. A tabela consolida o desenho de referência, que deve ser adaptado ao porte da organização sem quebrar o encadeamento. A regra de ouro é que nenhuma etapa começa sem que a anterior tenha produzido seu artefato, o que evita caças sem origem e feedbacks vazios.

Além do fluxo mensal, três gatilhos ad hoc reiniciam o ciclo fora da cadência. Divulgação de CVE explorada ativamente com relevância para a superfície da organização, alerta de campanha direcionada ao setor divulgado por ISAC e mudança de comportamento de um ator monitorado no CTI.2. Em qualquer um deles, o workflow do INT.1.4 encurta o caminho entre o relatório e a hipótese preliminar de semanas para horas, mantendo a validação humana antes da execução.

Cada passagem de bastão entre etapas é um ponto de controle de qualidade e deve ter um critério de aceitação explícito. O relatório tático só entra na fila se tiver EEI verificáveis, e a hipótese só entra em execução se a fonte de dados declarada estiver realmente disponível na janela coberta. Esses critérios, escritos no template do INT.1.2, transformam o ciclo em processo auditável e não em rotina informal.

3. Exemplo Completo de Ciclo

Considere uma organização de serviços financeiros cujo PIR prioritário cobre perda financeira por intrusão com movimentação lateral. A CTI recebe relatório de fornecedor descrevendo um grupo financeiramente motivado que abusa de ferramentas administrativas nativas para lateralidade, com preferência por WMIC remoto, binário de execução remota renomeado e execução por rundll32. O analista mapeia T1047 e T1021.002, confirma no inventário do TH.1 que o evento 4688 está centralizado com linha de comando e produz o relatório tático do CTI.7 com três EEI verificáveis, disseminado pelo CTI.8 direto para a fila de hunting.

A priorização do TH.5 classifica a hipótese como alta, pelo impacto direto no PIR e pela cobertura de telemetria existente. A formulação no TH.6 segue o formato SE-ENTÃO, com fonte de dados declarada e critério objetivo de verificação. O registro abaixo representa o artefato completo da hipótese.

HIPOTESE TH.6 - Lateralidade com WMIC nativo
SE um operador do grupo monitorado realiza lateralidade abusando de
ferramentas nativas, ENTÃO serão observadas execuções remotas de
wmic.exe com os argumentos /node: e process call create, seguidas ou
não de binários renomeados executados a partir de compartilhamentos
administrativos em servidores fora do pacote de gerência.
CRITÉRIO DE VALIDAÇÃO: execução de wmic.exe com /node: por conta
interativa em servidor cuja função não justifica administração remota.
FONTES: evento 4688 centralizado, Sysmon 1, cadeia de processos do EDR.
ATT&CK: T1047, T1021.002, T1543.003.

A execução começa pela busca baseada em IOA no repositório centralizado do SIEM, técnica do TH.10. A consulta cruza os dois comportamentos descritos e usa a conta de origem como pivô inicial. A consulta é preservada no ambiente de análise do TH.3 para reprodutibilidade futura.

SecurityEvent
| where EventID == 4688
| where NewProcessName has "wmic.exe"
| where CommandLine has "/node:" and CommandLine has "process call create"
| project TimeGenerated, Computer, AccountName, CommandLine, ParentProcessName
| summarize Execucoes = count(), Servidores = dcount(Computer)
    by AccountName, bin(TimeGenerated, 1d)

O hunt retorna duas execuções legítimas do time de infraestrutura e uma anomalia: wmic.exe com /node: executado por uma conta de helpdesk em servidor de aplicação às 03:12, seguido de rundll32 com caminho em compartilhamento administrativo. A cadeia de processos do EDR mostra cópia de binário não assinado e criação de serviço temporário, compatível com T1021.002 e T1543.003. O achado é classificado como verdadeiro positivo, abre caso na plataforma de resposta e aciona a contenção pelas rotinas do grupo IR.

A detecção validada é convertida em regra Sigma e implantada pelo pipeline do AUT.3, garantindo cobertura permanente. A regra cobre a variante observada e variações triviais do mesmo padrão. A versão abaixo entra em produção após revisão por pares no repositório de detecções.

title: Execução Remota de WMIC com Process Call Create
id: 7a4b1c9e-2f3d-4e5a-9b6c-1d2e3f4a5b6c
status: stable
description: Lateralidade abusando de WMIC nativo, compatível com T1047.
logsource:
    product: windows
    service: security
detection:
    selection:
        EventID: 4688
        NewProcessName|endswith: '\wmic.exe'
        CommandLine|contains|all:
            - '/node:'
            - 'process call create'
    filter_legit:
        AccountName|startswith: 'svc-infra'
    condition: selection and not filter_legit
tags:
    - attack.lateral_movement
    - attack.t1047

O fechamento do ciclo acontece no CTI.9. O hunter registra no TIP os artefatos observados, vincula as técnicas confirmadas ao ator do briefing e marca T1047 como vista no ambiente. O relatório tático seguinte passa a citar a técnica como confirmada internamente, o que eleva a prioridade de hunts correlatos e ajusta o perfil de ameaça do CTI.2 com evidência que nenhum feed externo forneceria.

Nesse exemplo, o intervalo entre a publicação do relatório tático e a hipótese registrada foi de dois dias úteis, e o intervalo entre a hipótese e a detecção em produção foi de onze dias úteis. O ciclo completo, do conhecimento externo à cobertura permanente, consumiu menos de três semanas. Esses dois tempos são exatamente as métricas centrais do controle, detalhadas na seção 5.

4. Papéis e Cadência de Cada Etapa

A divisão de papéis evita o gargalo clássico em que uma única pessoa acumula produção de inteligência, priorização e execução sem controle de qualidade entre as funções. A tabela define quem produz, quem consome e com que periodicidade cada etapa opera. Em equipes pequenas, uma mesma pessoa pode exercer mais de um papel, desde que as saídas continuem sendo registradas em artefatos distintos e revisadas por um par.

Os disparos ad hoc seguem a mesma matriz de papéis, com duas simplificações aceitáveis. O relatório pode ser substituído por alerta rápido do CTI.8, de uma página, e a priorização pode ser feita em reunião extraordinária registrada na ata do backlog. O que não pode ser simplificado é o feedback, porque o valor de um disparo ad hoc se mede justamente pelo retorno rápido para a base de inteligência.

5. Métricas do Ciclo

Duas métricas de tempo medem a saúde do ciclo. O tempo do relatório tático à hipótese registrada mostra se a inteligência chega à caça ou morre na caixa de entrada. O tempo da hipótese à detecção implantada mostra se o ciclo produz proteção permanente ou apenas investigações esporádicas sem legado.

O subcontrole INT.1.5 exige comparar a taxa de verdadeiros positivos dos hunts direcionados por inteligência com a dos hunts genéricos. Essa comparação é o argumento quantitativo que sustenta o investimento na integração, porque demonstra ganho de relevância operacional e não apenas mudança de processo. O acompanhamento deve ser trimestral, com corte por família de técnicas, para revelar onde o direcionamento entrega mais valor.

6. Anti-Padrões do Ciclo

Alguns padrões de falha recorrentes anulam o valor do ciclo mesmo quando todas as ferramentas estão presentes. Reconhecê-los cedo permite corrigir o processo antes que a equipe perca confiança na integração. A lista a seguir reúne os mais observados em operações reais, com o respectivo corretivo.

• CTI que nunca gera hunt: relatórios volumosos sem EEI verificáveis e sem recomendação de hipótese terminam arquivados; o corretivo é exigir em todo relatório tático uma seção de recomendações de caça com técnica ATT&CK e fonte de dados.
• Hunt sem retorno para CTI: os findings ficam presos no relatório do hunt, sem registro no TIP e sem o CTI.9; o conhecimento se perde quando o analista deixa a equipe e a organização paga de novo pelo mesmo aprendizado.
• Briefing sem critério de verificação: recomendações sem critério objetivo geram hunts inconclusivos; todo EEI deve permitir resposta sim, não ou inconclusivo.
• Hipótese sem fonte de dados mapeada: caçar sem confirmar a telemetria primeiro produz resultado nulo e desgasta a credibilidade do programa.
• Ciclo com cadência anual: o panorama de ameaças muda em semanas, e o briefing anual conecta o programa a adversários que já evoluíram de técnica e de infraestrutura.
• Priorização por novidade: escolher hipóteses pelo apelo técnico, e não pelo impacto nos PIRs, desloca esforço para temas irrelevantes para o negócio.

7. Salvaguardas por Nível de Maturidade

As salvaguardas do controle formam uma escada que começa no processo manual formalizado e termina na otimização guiada por métricas. A tabela apresenta cada subcontrole com seu objetivo e o resultado esperado. A progressão só deve avançar quando o nível anterior opera de forma estável por ao menos um trimestre.

A evidência de maturidade em cada nível deve ser documentada e amostrada na revisão do GOV. Para o nível básico, guardam-se os briefings entregues e os registros do backlog; para o intermediário, os logs de notificação e os workflows versionados; para o avançado, os painéis de métricas com as duas séries comparadas. Essa trilha de evidência acelera auditorias e evita debates subjetivos sobre o estágio real do programa.

8. Integração com Outros Controles do Framework CTH

O INT.1 consome diretamente o CTI.1, o CTI.2, o CTI.7 e o CTI.8, e devolve valor pelo CTI.9, o que o torna o espelho operacional do ciclo de inteligência descrito no PDF de referência. Do lado da caça, depende do TH.1 para conhecer as fontes, do TH.5 para ordenar a fila, do TH.6 para estruturar a hipótese e dos controles TH.7 a TH.10 para executar. A qualidade da saída nunca supera a qualidade da telemetria do grupo DAT, que sustenta todas as consultas do ciclo.

O ciclo também alimenta os grupos vizinhos. As detecções produzidas passam pelo AUT.3 e por regras personalizadas do PRT.5, e os achados que representam conhecimento novo seguem para o INT.2, onde se transformam em inteligência interna. O mapeamento de cobertura é atualizado no grupo MAP, e as métricas de conversão alimentam o grupo MET e a revisão de maturidade do GOV. Em ambientes com orquestração madura, o INT.5 automatiza as passagens de bastão descritas aqui sem alterar a lógica do ciclo.