INT.2 - Ciclo Integrado Hunting-Driven Intelligence

Nota do grupo INT (Integração CTI-TH-EASM) da seção 15 do Framework CTH.
Deriva do Capítulo 17 do PDF de referência, controle INT.2, com os subcontroles INT.2.1 a INT.2.5.
Define o fluxo inverso do ciclo de inteligência, em que os achados do hunting viram conhecimento tático e operacional duradouro.

1. Contexto e Posicionamento no Framework CTH

O ciclo do INT.1 leva o conhecimento externo até a caça, e o ciclo do INT.2 percorre o caminho de volta. Todo finding positivo de um hunt carrega informação que nenhum feed externo possui: uma TTP vista no ambiente, um artefato inédito, uma infraestrutura específica do adversário contra esta organização. Sem um processo estruturado de captura, esse conhecimento fica preso no relatório do hunt, na memória do analista e, muitas vezes, desaparece com a troca de equipe.

No Framework CTH, o INT.2 opera como contraparte do INT.1 e fecha o laço completo entre CTI e Threat Hunting. O requisito central é simples de enunciar e exigente de cumprir: todo verdadeiro positivo de hunting deve gerar, em até 24 horas, uma contribuição formal ao programa de CTI, com mapeamento ATT&CK, observáveis extraídos e descrição da técnica observada. A partir daí, os produtos do ciclo de inteligência assumem o controle: registro na plataforma do grupo PLT, produção no CTI.7 quando o achado justifica, disseminação pelo CTI.8 com classificação TLP e feedback permanente nas detecções do AUT.3.

2. O Que o Hunting Produz e que Interessa à CTI

A caça produz pelo menos cinco classes de conhecimento com valor de inteligência. Elas diferem em nível de relatório e em destinatário, mas todas enriquecem a base que orienta futuras priorizações e decisões. A tabela organiza cada classe com o uso típico pela CTI.

A última classe merece atenção especial porque é frequentemente ignorada. Quando o hunt demonstra que uma técnica não pode ser detectada por falta de log, o resultado é tão valioso quanto um verdadeiro positivo, pois fundamenta o investimento em coleta. Registrar a lacuna como produto formal evita que a mesma busca infrutífera se repita trimestralmente sem decisão de melhoria.

3. Ficha de Descoberta: Documentando o Achado

A conversão de finding em inteligência depende da qualidade da documentação na origem. A ficha de descoberta é o artefato que garante essa qualidade, e o subcontrole INT.2.1 exige sua produção em até 24 horas da confirmação. O template abaixo pode ser adotado diretamente em uma nota do repositório ou em campo estruturado da plataforma de casos.

ficha_descoberta:
  id: HD-2025-0042
  hunt_origem: TH-2025-011
  data_confirmacao: 2025-08-14
  classificacao: TLP:AMBER
  resumo: >
    Descrição em até cinco linhas do que foi observado, onde, quando
    e com qual impacto potencial para o negócio.
  mapeamento_attack:
    tecnicas: [T1071.001, T1568.002]
    taticas: [Command and Control]
  observaveis:
    - tipo: domain
      valor: c2-eu-cdn[.]example-xyz[.]com
      primeira_vez: 2025-08-02
      ultima_vez: 2025-08-14
    - tipo: ip
      valor: 203.0.113.77
      contexto: IP de resolução do domínio acima
  evidencias:
    - tipo: consulta
      referencia: caminho da consulta no repositório do TH.3
    - tipo: captura
      referencia: extrato de log com timestamp ofuscado
  confianca: alta
  justificativa_confianca: >
    Padrão de beaconing com jitter consistente e resposta TLS
    idêntica em três endpoints, verificado manualmente.
  relevancia_pirs:
    - PIR-01: proteção de credenciais de acesso remoto
  acoes_imediatas:
    - bloqueio do domínio no proxy e no DNS
    - abertura de caso na plataforma de resposta

Três regras de preenchimento preservam o valor da ficha. A confiança deve refletir o método, alta somente para evidência primária reproduzível, média para triangulação parcial e baixa para inferência; a justificativa sempre acompanha a nota. As evidências devem apontar para artefatos auditáveis, como a consulta original e extratos de log, e nunca apenas para a conclusão. A relevância deve ser declarada contra PIRs específicos, porque é esse vínculo que transforma um achado interessante em inteligência acionável para a organização.

4. Exemplo Completo: Beaconing com Domínio Desconhecido

Um hunt de stack counting no TH.8 busca intervalos regulares de conexão externa por endpoint. O hunt identifica um servidor de arquivo com conexões a cada 60 segundos, com jitter de 10%, para um domínio que não consta em nenhum dos quatro feeds consultados, na plataforma do PLT.1 e nos serviços de reputação. A consulta original segue abaixo e documenta o método para reprodutibilidade.

DeviceNetworkEvents
| where Timestamp > ago(14d)
| summarize Conexoes = count(), Primeira = min(Timestamp),
    Ultima = max(Timestamp) by DeviceName, RemoteUrl
| extend IntervaloMedio = datetime_diff('second', Ultima, Primeira) / Conexoes
| where Conexoes > 200 and IntervaloMedio between (50 .. 70)
| join kind=leftanti ( ThreatIntelIndicators ) on RemoteUrl
| project DeviceName, RemoteUrl, Conexoes, Primeira, Ultima

A ficha de descoberta é preenchida pelo hunter e recebida pela CTI no mesmo dia. O analista de CTI enriquece o domínio com DNS passivo, registros de Certificate Transparency e WHOIS, que revelam registro recente com dados de contato protegidos e certificado emitido dois dias antes do primeiro beacon. O padrão combina infraestrutura descartável recém-criada com beaconing de baixa amplitude, compatível com C2 de campanha direcionada. O domínio e o IP são registrados como observáveis no TIP com TLP:AMBER, vinculados a T1071.001 e ao ator provisório do perfil de ameaça.

O achado justifica um alerta rápido do CTI.7, com uma página, resumindo a infraestrutura, os indicadores e a ação de contenção já executada. A disseminação pelo CTI.8 segue para o ISAC do setor via STIX/TAXII no PLT.3, respeitando a classificação TLP:AMBER da PLT.5, e a variante observada vira regra Sigma no AUT.3 ainda na mesma semana. Três semanas depois, um feed público publica o mesmo domínio associado a uma campanha de ransomware, confirmando a leitura interna e demonstrando que a organização detectou a infraestrutura antes do mercado.

5. O Valor da Inteligência Interna

A inteligência produzida internamente raramente interessa ao concorrente e é preciosa para a própria organização, e essa assimetria é a razão de existir do ciclo. O domínio de C2 do exemplo anterior vale pouco em um feed genérico, onde é mais um registro entre milhares, mas vale muito dentro do contexto local, com vínculo a um endpoint específico, a um PIR e a um ator monitorado. Tratar o ambiente como fonte primária de inteligência muda a postura do programa, de consumidor de feeds para produtor de conhecimento contextualizado.

Esse valor se manifesta em três frentes. Na detecção, os observáveis internos têm taxa de verdadeiro positivo muito superior à dos feeds genéricos, porque já foram filtrados por investigação humana. Na economia analítica, o conhecimento acumulado evita refazer os mesmos hunts, e a base interna cresce de forma composta. Na negociação setorial, o programa passa a contribuir em vez de apenas consumir, o que aumenta a reputação da organização nos ISACs e melhora a qualidade do que recebe de volta.

A telemetria própria deve ser tratada como fonte formal de coleta, com o mesmo rigor do CTI.4, e não como subproduto operacional. Isso significa registrar a fonte interna no catálogo da PLT.4, definir cadência de revisão e avaliar qualidade como qualquer fonte externa. Quando a organização consulta a própria base antes dos feeds na triagem, o ciclo do INT.2 passa a economizar horas semanais de investigação redundante, porque o contexto local já responde à pergunta que o feed genérico deixa em aberto.

6. Integração com o Grupo PLT e com o CTI.7

O registro do achado acontece nas plataformas do grupo PLT, e a automação define a escala do processo. No nível básico, o hunter abre manualmente um evento no MISP com os atributos extraídos da ficha, vinculando tags ATT&CK e a classificação TLP. No nível intermediário, o fluxo do INT.2.3 no SOAR recebe o verdadeiro positivo, extrai os observáveis, consulta repositórios para eliminar duplicidade, cria o registro no OpenCTI e notifica a CTI para análise aprofundada. No nível avançado, o compartilhamento setorial ocorre de forma automatizada via STIX/TAXII, sempre com filtro de TLP e revisão de amostragem.

A produção acontece no CTI.7 quando o achado representa conhecimento novo além do observável atômico. O critério de decisão é objetivo: mutação de técnica, variante de artefato ou padrão de campanha justificam produto tático ou operacional, enquanto a simples soma de IPs pode permanecer como observável enriquecido. Essa regra evita que a CTI produza relatórios para cada endpoint comprometido e concentra o esforço de redação no que altera a compreensão da ameaça.

A tabela abaixo consolida o destino de cada produto do ciclo nas plataformas e nos processos de referência. O mapeamento evita o extravio de artefatos que ocorre quando cada destino depende da memorização individual dos analistas. Ele também serve de roteiro para a automação do INT.2.3, que entrega cada peça no lugar correto sem consulta manual.

7. Métricas do Ciclo

As métricas do INT.2 medem a capacidade do programa de transformar descobertas em patrimônio de conhecimento. O subcontrole INT.2.5 exige análise trimestral comparando a contribuição interna com as fontes externas, e a tabela abaixo consolida os indicadores essenciais.

O par conversão em inteligência e conversão em detecção merece leitura conjunta. Valores altos na primeira e baixos na segunda indicam que a base cresce sem gerar proteção permanente, sinal de gargalo na engenharia de detecção. O inverso, raro, sugere que hunts produtivos estão sendo encerrados sem registro completo, o que corrói a memória institucional.

Um indicador complementar de longo prazo é a participação interna na base: o percentual de observáveis de origem interna no repositório do PLT.1. Bases com participação interna inferior a dez por cento costumam refletir um ciclo do INT.2 fraco, com a organização consumindo contexto e gerando pouco. A meta não é maximizar esse número a qualquer custo, e sim garantir que o conhecimento produzido localmente tenha destino formal e permanência.

8. Salvaguardas por Nível de Maturidade

9. Erros Comuns e Pontos de Atenção

• Ficha opcional na prática: quando a documentação depende de boa vontade, ela não acontece nos picos de trabalho; o corretivo é tornar a ficha etapa obrigatória do encerramento do caso, com checklist na plataforma de resposta.
• Observáveis sem contexto: registrar o IP sem vínculo com técnica, ator e evidência produz uma base crescente e inutilizável; a ficha deve exigir vínculo ATT&CK e justificativa de confiança antes de aceitar o registro.
• Compartilhamento sem revisão TLP: publicar automaticamente achado com dados de clientes ou de infraestrutura interna expõe a organização; todo fluxo de compartilhamento precisa de filtro de sanitização e de aprovação por amostragem.
• Confiança inflada: classificar inferência como fato acelera a base e destrói a confiabilidade dela; a regra de evidência primária versus secundária deve ser treinada com exemplos reais.
• Ciclo restrito a IOC: reduzir a contribuição do hunting a listas de hashes desperdiça o que tem maior valor na Pirâmide de Dor, os comportamentos e as TTPs.
• Falta de retorno ao hunter: quando a CTI nunca confirma nem refuta a leitura do achado, o hunting para de contribuir; o feedback do CTI.9 deve incluir resposta explícita a cada ficha recebida.
• Atribuição precipitada: vincular o achado a um ator sem triangulação contamina a base com inferência disfarçada de fato; a associação a ator deve seguir a regra de confiança da ficha e ser revisada quando evidência nova surgir.

10. Integração com Outros Controles do Framework CTH

O INT.2 consome os critérios de classificação do TH.4 e as fichas de achado produzidas nas técnicas do TH.7 ao TH.10, e entrega seus produtos ao CTI.5 para processamento, ao CTI.7 para produção e ao CTI.8 para disseminação segmentada. As plataformas do grupo PLT são o destino natural dos observáveis e dos vínculos de atribuição, e o PLT.5 governa o que pode ser compartilhado externamente. No ambiente técnico, os observáveis novos alimentam watchlists do TH.10 e as regras do AUT.3, que convertem conhecimento em cobertura permanente.

O controle também dialoga com a resposta a incidentes, porque muitos achados de hunting terminam em casos do grupo IR, e as lições desses casos voltam como inteligência pela mesma via. No nível de governança, as métricas trimestrais do INT.2.5 alimentam o grupo MET e dão ao GOV evidência objetiva do retorno do investimento em hunting, além de fundamentar a discussão de maturidade do programa. O INT.5 completa o quadro ao orquestrar as passagens de bastão deste ciclo junto com os demais fluxos integrados.