INT.5 - Orquestração End-to-End com SOAR

Nota do grupo INT (Integração CTI-TH-EASM) da seção 15 do Framework CTH.
Deriva do Capítulo 17 do PDF de referência, controle INT.5, com os subcontroles INT.5.1 a INT.5.5.
Transforma a integração teórica entre EASM, CTI, hunting e resposta em um pipeline operado, medido e auditável.

1. Contexto e Posicionamento no Framework CTH

Os controles INT.1 a INT.4 descrevem ciclos de valor real, mas todos dependem de alguém que mova o artefato de uma etapa para a seguinte. Sem orquestração, o briefing espera na caixa de entrada, o achado do EASM espera na fila de e-mail, o finding espera a reunião da semana, e cada espera é dwell time doado ao adversário. Processos manuais são lentos, inconsistentes e suscetíveis a falha humana, e a integração entre três programas se degrada para três pontes informais mantidas por pessoas específicas.

O INT.5 é o controle que industrializa essas pontes. Utilizando uma plataforma SOAR (Security Orchestration, Automation and Response) ou uma plataforma de automação de workflows como tecido conjuntivo, o framework conecta a plataforma de EASM, as ferramentas do grupo PLT, o SIEM e o EDR, a plataforma de casos do grupo IR e os controles de contenção em workflows modulares, com tratamento de erro, log de execução e intervenção humana nos pontos críticos. O resultado é uma esteira em que a descoberta de exposição, o enriquecimento, a caça, a detecção e a resposta correm em minutos, com rastreabilidade completa para auditoria e métrica.

2. O Pipeline Completo: Da Exposição à Métrica

O pipeline integrado tem seis estágios, e cada um consome a saída do anterior sem tradução manual. A tabela descreve o encadeamento de referência, que os workflows do INT.5 implementam na prática.

O estágio 6 não é ornamento, é o que distingue pipeline de esteira automática sem memória. Cada execução atualiza os tempos de exposição, de decisão e de validação, alimenta a análise trimestral do INT.2.5 e fundamenta a próxima revisão de prioridades. Sem esse estágio, a organização opera a mesma integração indefinidamente sem saber se ela melhora ou degrada.

3. O SOAR como Tecido Conjuntivo

O papel do SOAR neste desenho é triple: integrar, orquestrar e consolidar. A camada de integrações conecta as APIs das plataformas de EASM, do TIP, do SIEM, do EDR, do IDS/IPS, do proxy e da plataforma de casos, com contas de serviço dedicadas e privilégio mínimo. A camada de orquestração executa os playbooks entre domínios, os mesmos que os controles INT.1 a INT.4 descrevem como passagens de bastão, garantindo que nenhuma etapa dependa de lembrete humano para começar. A camada de consolidação mantém a fila única de trabalho, na qual exposição, hipótese, finding e incidente vivem no mesmo contêiner de caso, com timeline, evidências e decisão registradas.

A fila única merece ênfase porque resolve o problema organizacional mais comum da integração. Quando cada domínio tem sua própria ferramenta de fila, o achado externo é um ticket no EASM, a hipótese é uma carta no backlog do hunting e o incidente é um caso na plataforma de resposta, e ninguém tem a visão completa do ciclo. Consolidar em um gerenciador de casos único, mesmo que as execuções aconteçam nas ferramentas especializadas, dá ao gestor a visão de ponta a ponta e ao analista o contexto inteiro sem consulta a três sistemas.

4. Desenho do Workflow Integrado

O workflow principal implementa o pipeline da seção 2 com oito nós e condições explícitas. O pseudo-fluxo abaixo é a especificação independente de plataforma, que serve como base para a implementação no SOAR e para a documentação exigida pelo subcontrole INT.5.2.

WORKFLOW: ciclo_easm_cti_th_resposta
GATILHO: webhook de novo achado da plataforma EASM

NO 1 - NORMALIZAR E REGISTRAR
   padronizar ativo, serviço e evidência (CTI.5)
   abrir caso em estado "exposição em avaliação"
   registrar o timestamp de primeira detecção para a métrica de exposição

NO 2 - ENRIQUECER
   consultar o TIP por associação do ativo a campanhas (PLT.2)
   consultar o catálogo de exploração ativa por CVE do serviço exposto
   consultar o monitor de marca por phishing e domínios similares
   consultar o monitor de credenciais por contas vinculadas ao ativo

NO 3 - PONTUAR E ROTEAR
   calcular o score combinado de exposição e ameaça (INT.3.4)
   SE score na faixa crítica ENTAO seguir ao NO 4 em modo urgente
   SE score na faixa alta ENTAO seguir ao NO 4 na fila normal
   SENAO criar tarefa de remediação com o prazo da política

NO 4 - VERIFICAR NO AMBIENTE (hunting)
   disparar consultas predefinidas no WAF, no proxy, no DNS e no EDR (INT.4.3)
   SE evidência de uso ativo ENTAO seguir ao NO 5
   SE evidência de reconhecimento ENTAO seguir ao NO 6
   SENAO seguir ao NO 7

NO 5 - DECISÃO HUMANA OBRIGATÓRIA
   notificar o hunter líder e o gerente de CTI com o dossiê completo
   aguardar classificação: contenção imediata, hunt aprofundado ou observação
   registrar a decisão e o justificativo no caso

NO 6 - RESPOSTA
   bloquear os observáveis no IDS/IPS e no proxy
   abrir caso na plataforma DFIR e acionar as rotinas do IR.x
   registrar as técnicas ATT&CK confirmadas

NO 7 - REMEDIAR A EXPOSIÇÃO
   criar tarefa para o dono do ativo com o prazo da prioridade (INT.3)
   agendar revarredura do EASM para confirmar a correção

NO 8 - FECHAR E ALIMENTAR O CICLO
   converter achados confirmados em detecção permanente (AUT.3)
   registrar observáveis e TTPs no TIP com a ficha do INT.2
   atualizar as métricas de tempo de exposição, de decisão e de cobertura

Três propriedades de projeto sustentam a confiabilidade do workflow. A modularidade permite que cada nó seja testado, versionado e reutilizado em fluxos menores, como os três workflows básicos do INT.5.1. O tratamento de erro em cada nó, com retentativa controlada e fila de exceção, evita que uma API lenta derrube o ciclo inteiro. Os logs de execução com entrada, saída e timestamp de cada ação tornam o fluxo auditável e permitem reconstruir qualquer decisão meses depois.

5. Pontos de Decisão Humana Obrigatória

A automação ponta a ponta não significa ausência de humano, significa humano no ponto certo. O desenho do INT.5 mantém gates de decisão humana obrigatória nas situações em que o custo de um erro automatizado supera o ganho de velocidade, e esses gates devem estar explícitos na documentação de cada workflow.

O gate do nó 5 merece atenção especial porque concentra os dois primeiros pontos. Notificar o hunter líder com o dossiê enriquecido completo, e não apenas com o resumo da severidade, reduz a latência da decisão sem sacrificar a qualidade, porque o analista recebe tudo que precisa no primeiro toque. A meta operacional é que o tempo de decisão humana caia pela preparação automática do contexto, e não pela remoção da decisão humana.

6. Métricas do Pipeline Completo

As métricas devem ser exibidas em painel com o estado de cada estágio do ciclo em tempo real, conforme o subcontrole INT.5.5. A leitura conjunta revela gargalos com precisão: tempo de exposição alto com tempo de decisão baixo indica gargalo de remediação, e tempo de validação alto com execução técnica saudável indica escassez de capacidade analítica. O painel também serve ao GOV, porque traduz a integração em números comparáveis entre trimestres.

7. Riscos de Sobre-Automação na Orquestração Ponta a Ponta

Conectar todas as etapas com execução automática cria modos de falha que não existiam nos fluxos manuais, e reconhecê-los é condição para operar a esteira com segurança. A lista abaixo reúne os riscos de maior severidade observados em programas que aceleraram a automação além da maturidade dos processos.

• Bloqueio em cascata: um IOC falso positivo propagado por automação para proxy, DNS, firewall e EDR simultaneamente pode parar um serviço inteiro em segundos; a mitigação exige lista de isenção revisada e reversibilidade testada.
• Automatizar decisão de negócio: nenhum score de risco substitui a decisão formal de aceitar exposição por razão comercial; forçar a esteira a decidir isso é automatizar o que é estratégico.
• Opacidade do fluxo: workflows construídos apenas no canvas da ferramenta, sem documentação versionada, tornam-se caixas-pretas que ninguém audita e todos temem alterar.
• Dependência de API: integração em cadeia multiplica pontos únicos de falha externa; retentativa, timeout e degradação elegante são requisitos, não refinamentos.
• Automatizar lixo: a esteira executa com a mesma fidelidade um enriquecimento ruim e um bom, e escala o erro tanto quanto acerto; a qualidade do processamento do CTI.5 precede qualquer automação.
• Falso senso de controle: dashboards verdes de execução não significam risco reduzido; métrica de execução mede a esteira, e métrica de resultado mede a proteção.

8. Salvaguardas por Nível de Maturidade

A progressão entre níveis deve respeitar a maturidade dos controles que o workflow consome. Automatizar o ciclo do INT.1 sem o template do INT.1.2, ou a resposta do INT.5.4 sem os guardrails do AUT.5, apenas acelera processos mal definidos. A regra prática é automatizar somente o que já executa de forma manual estável por um ciclo completo, com qualidade aceitável e dono claro.

9. Erros Comuns e Pontos de Atenção

• Orquestrar antes de padronizar: automatizar o fluxo com campos heterogêneos entre ferramentas multiplica regras de conversão frágeis; a normalização do CTI.5 vem antes da esteira.
• Workflow monolítico: um único fluxo gigante é impossível de testar; a modularidade do desenho em nós permite testar cada peça isoladamente antes de compor.
• Falta de tratamento de erro: fluxo que para silenciosamente na primeira exceção cria exposição invisível; cada nó precisa de retentativa, fila de exceção e alerta.
• Sem trilha de execução: sem logs com entrada, saída e timestamp, a organização não consegue auditar decisões automatidas nem responder a um incidente causado pela própria esteira.
• Métrica de execução em vez de resultado: medir quantos workflows rodaram, e não quanto tempo de exposição caiu, premia a automação de aparência.
• Gate humano opcional: permitir que o fluxo prossiga sem a decisão do nó 5 quando o analista demora transforma o gate em formalidade; a política define o prazo e o encaminhamento em ausência, com registro.

10. Integração com Outros Controles do Framework CTH

O INT.5 é o ponto de encontro natural dos grupos AUT e INT. O AUT.1 estabelece a plataforma e os playbooks de enriquecimento, o AUT.2 complementa com workflows leves de integração, o AUT.3 industrializa as detecções geradas no nó 8 e o AUT.5 fornece os guardrails que tornam segura a contenção do nó 6. Os ciclos descritos no INT.1, no INT.2, no INT.3 e no INT.4 são os insumos conceituais deste controle, que os materializa em execução contínua.

Os demais grupos aparecem em todos os nós. O DAT fornece a telemetria que o nó 4 consulta, o PLT fornece as plataformas de inteligência que o nó 2 enriquece, o IR recebe os casos do nó 6, o INS mantém o inventário que resolve a titularidade no nó 7 e o MET consolida as métricas da seção 6. No nível de governança, o GOV revisa os riscos de sobre-automação e aprova os gates humanos, e o grupo MAP registra a cobertura que o ciclo produz. Operado assim, o pipeline converte a tríade EASM, CTI e hunting em uma esteira contínua, em que cada achado de ontem protege o ambiente de hoje.