INT.3 - Integração EASM com CTI

Nota do grupo INT (Integração CTI-TH-EASM) da seção 15 do Framework CTH.
Deriva do Capítulo 17 do PDF de referência, controle INT.3, com os subcontroles INT.3.1 a INT.3.5.
Define como os achados da superfície de ataque externa são correlacionados com a ameaça ativa para produzir prioridades fundamentadas.

1. Contexto e Posicionamento no Framework CTH

O EASM (External Attack Surface Management) descobre e monitora tudo que a organização expõe à Internet: domínios, subdomínios, portas, serviços, certificados e aplicações esquecidas. O controle INS.3 estabelece esse mapeamento, e o INS.4 monitora as mudanças e os IOEs (Indicators of Exposure). Sozinho, porém, o EASM entrega uma lista de exposições sem hierarquia confiável, porque não sabe qual delas está no caminho de um adversário que opera agora. Sem esse contexto, toda exposição parece urgente, e quando tudo é urgente, nada é.

O INT.3 é o controle que injeta inteligência de ameaças nessa equação. Cada mudança detectada na superfície externa é tratada como observável, entra no processamento do CTI.5, recebe enriquecimento na plataforma do grupo PLT e sai com uma pontuação que combina a gravidade da exposição com a probabilidade de ser explorada pela ameaça ativa relevante. O resultado é uma fila de remediação fundamentada, na qual o subdomínio esquecido que coincide com uma campanha de phishing da marca fica à frente do serviço interno mal configurado que ninguém está caçando.

2. Exposição Sem Contexto é Ruído Priorizado

Uma varredura semanal típica de um ambiente de médio porte produz dezenas de achados: novos subdomínios, certificados a vencer, portas abertas por equipes de desenvolvimento, serviços de teste esquecidos em nuvem. Tratar cada achado como incidente esgota a equipe em poucos ciclos, e o efeito colateral é o pior cenário possível: o time passa a banalizar a própria superfície, e a exposição realmente perigosa entra na fila com o mesmo peso de um certificado a vencer em 30 dias. A fadiga de triagem não é um problema de moral, é um risco de segurança mensurável.

A correlação com inteligência resolve o problema de forma estrutural, porque adiciona a dimensão que o EASM não possui: quem está explorando esse tipo de exposição agora. Uma porta 445 exposta é média em um mês sem campanha de exploração de SMB e alta quando existe exploração ativa documentada da versão instalada. Um novo subdomínio é rotina quando criado pelo pipeline de marketing e crítico quando não consta em nenhum registro interno e resolve para infraestrutura com histórico malicioso. A mesma descoberta técnica recebe prioridades diferentes conforme o contexto de ameaça, e é exatamente essa variação que o processo manual não escala sem automação.

Há também um efeito de ordem inversa que poucos programas percebem. Sem prioridade por ameaça, a equipe corrige primeiro o que é fácil de corrigir, e o adversário que monitora a superfície observa exatamente o que a organização decide não corrigir. A fila priorizada por contexto de ameaça fecha essa brecha, porque o esforço de remediação passa a ser distribuído pela relevância do alvo e não pela dificuldade da tarefa.

3. Correlação Entre Achados de EASM e Ameaça Ativa

Os padrões de correlação a seguir cobrem os cenários de maior valor operacional. Cada um combina um sinal da superfície externa com um sinal de ameaça, e a combinação, não o sinal isolado, define a prioridade. Os dados de ameaça vêm do perfil do CTI.2, dos feeds da PLT.4, do catálogo de exploração ativa mantido por agências públicas e do monitor de marca.

As fontes de sinal de ameaça merecem seleção criteriosa e revisão de vigência. O catálogo de vulnerabilidades exploradas ativamente mantido por agências públicas é a referência inicial, complementado pelos feeds técnicos da PLT.4, pelo monitor de marca contratado junto ao fornecedor de inteligência e pelo monitor de credenciais que rastreia vazamentos do domínio corporativo. Cada fonte deve ter dono, cadência de atualização e critério de confiança, porque um falso sinal de campanha ativa distorce a fila inteira de remediação.

As regras de correlação devem ser explicitadas como configuração, e não mantidas apenas na cabeça dos analistas. Um exemplo minimalista em formato declarativo facilita auditoria e versionamento.

regra_correlacao: credencial-vazada-login-exposto
descricao: Credencial corporativa em vazamento com portal de autenticação exposto
sinal_externo:
  fonte: monitor de credenciais vazadas
  condicao: e-mail do domínio corporativo em dump com menos de 30 dias
sinal_ameaca:
  fonte: perfil de ameaça CTI.2
  condicao: setor alvo de campanha de roubo de credencial ativa
prioridade: critica
prazo_remediacao_horas: 24
acoes:
  - redefinição forçada da senha
  - verificação de MFA habilitado
  - hunting de logons da conta nas últimas 72 horas
  - revisão de regras de exceção no acesso externo

4. Pipeline de Dados: do Achado à Prioridade

O pipeline começa no INS.3 e no INS.4, cujos achados estruturados, como tipo de exposição, ativo, evidência e data, entram automaticamente na plataforma de gerenciamento de CTI, conforme o subcontrole INT.3.3. No processamento do CTI.5, os campos são normalizados, os duplicados são eliminados e cada observável recebe a tag de superfície externa que o distingue dos observáveis de inteligência tradicional. Essa tag é importante para as métricas, porque separa a redução de exposição da coleta de indicadores.

O enriquecimento adiciona quatro camadas de contexto. A camada de ameaça consulta o TIP e os feeds por associação do ativo, do domínio ou do IP a campanhas e infraestrutura conhecidas. A camada de vulnerabilidade cruza o serviço exposto com CVEs, priorizando as que constam no catálogo de exploração ativa. A camada de marca consulta o monitor de phishing e a emissão recente de certificados com o nome da organização. A camada de credenciais verifica se ativos e contas ligados ao achado aparecem em vazamentos recentes.

A pontuação final combina exposição e ameaça em um modelo explícito, e o modelo abaixo serve de ponto de partida. Cada fator corresponde a uma das camadas de enriquecimento descritas acima, o que mantém o score rastreável até a sua fonte. Os pesos são valores iniciais de referência, e a calibração acompanha a revisão periódica mencionada nas métricas.

modelo_priorizacao_exposicao:
  escala: 0-100
  fatos_exposicao:
    criticidade_do_ativo: 0-25
    sensibilidade_do_servico: 0-20
    alcance_do_exposto: 0-10
  fatos_ameaca:
    cve_em_exploracao_ativa: 0-25
    associacao_a_campanha_no_tip: 0-10
    credencial_vazada_vinculada: 0-10
  fatos_negocio:
    impacto_em_pir_prioritario: 0-10
  faixas:
    critica: ">= 85"
    alta: ">= 60 e < 85"
    media: ">= 35 e < 60"
    baixa: "< 35"
  revisao_trimestral: true

Os pesos são calibrados com a história da organização, e a revisão trimestral confronta a pontuação com o que realmente aconteceu. Exposições críticas que nunca geraram achado indicam peso exagerado, e exposições médias que terminaram em incidente indicam peso subestimado. O modelo deve permanecer simples o bastante para ser auditado por um analista, porque a opacidade é o principal inimigo da confiança na fila priorizada.

5. Exemplo Ponta a Ponta: Subdomínio Órfão em Campanha de Phishing

A varredura semanal do EASM, apoiada em registros públicos de Certificate Transparency, detecta um certificado emitido há dois dias para o subdomínio portal-remoto.organizacao.com.br. O subdomínio não consta no inventário do INS.1 e resolve para um host de provedor de nuvem com serviço encerrado há meses, configurado como registro CNAME órfão. É o cenário clássico de risco de takeover, em que qualquer terceiro pode assumir o host no provedor e passar a receber tráfego em nome da organização.

Em paralelo, o monitor de marca identifica uma campanha de phishing recente contra clientes da organização, com domínios similares registrados na mesma semana e certificados gratuitos com o nome da marca. O pipeline do INT.3 cruza os dois sinais: o subdomínio órfão recebe associação com a campanha ativa e pontua na faixa crítica, acima de 85. O caso é aberto com prioridade máxima, e o hunting do INT.4 verifica nos logs de proxy e de DNS se algum usuário acessou o subdomínio na janela entre a emissão do certificado e a detecção.

A remediação é executada pelo dono do DNS em menos de 24 horas, removendo o registro órfão e o provisionamento residual no provedor, e a verificação acontece na revarredura do dia seguinte, que confirma a ausência do subdomínio. O encerramento registra três produtos: os observáveis da campanha no TIP para hunting correlato, a atualização do runbook do INS.3 para alertar subdomínios órfãos com prioridade por padrão e a lição registrada no CTI.9 de que a campanha de phishing da marca estava usando a mesma infraestrutura de provisionamento. O ciclo fechou em 36 horas, da emissão do certificado à correção verificada.

6. Rotinas de Decisão: Remediação, Prazo e Verificação

A prioridade só vira proteção quando existe uma rotina de decisão com dono, prazo e verificação definidos. Sem essa rotina, a fila priorizada degrada em lista informativa, e o pipeline perde o propósito. A tabela estabelece o modelo de referência, que deve ser ajustado ao apetite de risco e à capacidade de execução da organização.

O escalonamento segue regras simples e escritas. Exposição crítica não remediada no prazo escala automaticamente para a liderança de segurança com o contexto de ameaça anexado, e a decisão de aceitar o risco, quando técnica ou comercialmente justificada, é formalizada com prazo de reavaliação e assinatura do dono do ativo. Toda decisão, inclusive a de aceitar, fica registrada no caso, porque a história de decisão é o que permite auditar o processo quando um incidente reabre o tema.

7. Métricas de Redução de Exposição

As métricas do INT.3 medem se a integração está reduzindo a exposição que importa, e não apenas a exposição que é fácil de corrigir. O corte por correlação com ameaça é o que distingue esta nota de um relatório genérico de gestão de vulnerabilidades.

A métrica de reincidência merece atenção especial porque expõe remediações cosméticas. Um serviço desligado sem remoção do provisionamento, ou um registro DNS removido sem encerramento do host, volta a aparecer em poucas semanas. Cada reincidência deve gerar análise da causa na fonte, e não apenas nova abertura de tarefa.

Três critérios de sucesso indicam que a integração funciona na prática. Primeiro, nenhum achado crítico fica sem decisão em um dia útil, o que se verifica pela diferença entre as datas de descoberta e de decisão. Segundo, todo achado crítico tem hipótese de uso indevido correspondente no TH.6, verificável pelo vínculo no caso. Terceiro, o percentual de exposições correlacionadas automaticamente cresce trimestre a trimestre, evidenciando o adiantamento do INT.3.3 em relação à correlação manual do INT.3.2.

8. Salvaguardas por Nível de Maturidade

A trilha de evidência de cada nível deve incluir as varreduras e os alertas gerados, as atas da correlação semanal no nível básico, os logs de integração e o modelo de pontuação versionado no intermediário e os painéis de IOE contínuo no avançado. Essa trilha sustenta auditoria, facilita benchmarking entre unidades e dá ao GOV base objetiva para validar o estágio declarado.

9. Erros Comuns e Pontos de Atenção

• Correlação restrita a CVE: limitar a ameaça a vulnerabilidades ignora phishing, credencial vazada e tomada de conta, que raramente envolvem CVE; o modelo deve cobrir os quatro sinais de ameaça.
• Enquadramento estático: pesos e faixas definidos uma única vez envelhecem em trimestres; a revisão periódica com confronto entre pontuação e resultado é obrigatória.
• Achado sem dono: exposição identificada sem dono de ativo claro fica sem decisão; o inventário do INS.1 deve resolver a titularidade antes da pontuação.
• Deduplicação falha: o mesmo subdomínio relatado por três fontes distintas gera três tarefas e triplica o ruído; o processamento do CTI.5 deve consolidar por ativo e por tipo de exposição.
• Falsa sensação de cobertura: varredura pontual enxerga apenas o que existe no momento; sem cadência recorrente, a organização descobre a exposição depois do adversário.
• Ignorar o ciclo completo: corrigir a exposição sem verificar uso indevido perde a chance de detectar exploração em curso; toda prioridade crítica deve disparar o hunt do INT.4.
• Pontuação opaca: score que ninguém consegue recalcular à mão não sobrevive à primeira contestação; o modelo deve ser simples o suficiente para auditoria por um analista e documentado com exemplos reais.

10. Integração com Outros Controles do Framework CTH

O INT.3 é consumidor direto do INS.3, que mapeia a superfície, e do INS.4, que monitora mudanças e IOEs, e opera sobre as plataformas do grupo PLT, com registro de observáveis no PLT.1 e no PLT.2. O processamento do CTI.5 normaliza e enriquece os achados, o CTI.2 fornece o perfil de ameaça que dá peso à correlação e o CTI.9 registra as lições de cada caso fechado. A pontuação resultante alimenta as rotinas de decisão descritas aqui e o backlog de infraestrutura.

No lado operacional, todo achado de prioridade alta ou crítica deve gerar hipótese de hunting pelo INT.4, fechando a verificação interna, e o INT.5 orquestra o pipeline completo quando existe SOAR. As métricas de redução alimentam o grupo MET e a revisão do GOV, e os achados ligados a serviços web reforçam as proteções do PRT.3, que cobre WAF e proteção de aplicações expostas. O resultado prático é uma superfície externa gerida por contexto de ameaça, com prioridades que refletem o adversário real e não apenas a conveniência da varredura.