MAP.3 - Mapeamento de Atores de Ameaças

Este controle pertence ao grupo MAP (MITRE ATT&CK Mapping) do Framework CTH e deriva do
Capítulo 18 do documento de referência. Ele documenta quais atores de ameaça miram o setor da
organização e quais técnicas ATT&CK cada um utiliza, gerando a matriz ator, técnica e
cobertura. Seu papel é direcionar detecção, hunting e simulação para o que ameaça de fato a
organização, em vez de distribuir esforço igualmente sobre a matriz inteira.

1. Contexto e Posicionamento no Framework CTH

A matriz ATT&CK Enterprise cataloga centenas de técnicas e sub-técnicas, e nenhuma
organização consegue cobrir todas com detecção de alta confiança. A priorização que separa
programas eficazes de programas genéricos vem da ameaça: quais adversários têm motivação,
histórico e capacidade para atacar o setor, e o que eles fazem quando atacam. O MAP.3
materializa essa priorização em perfis de atores com técnicas mapeadas, que se tornam a
referência para os recortes por ator do MAP.2, para a fila de lacunas do MAP.4 e para as
hipóteses priorizadas do TH.5.

O controle trabalha em duas pontas. De um lado, a inteligência externa: relatórios táticos,
alertas de ISAC e de CERTs nacionais, publicações de fornecedores e dados de campanhas
observadas no setor. Do outro, a inteligência interna: incidentes próprios, achados de hunting
e telemetria de varredura, que revelam quem de fato já bateu na porta. O cruzamento das duas
pontas produz um perfil de ameaça calibrado, e não uma coleção de nomes famosos sem relação
com a realidade da organização.

2. Por que Mapear Atores e Não Apenas Técnicas

Mapear atores adiciona contexto que a lista de técnicas sozinha não carrega. Uma técnica como
T1566 (Phishing) é relevante para praticamente todos os atores, mas saber que um ator
específico combina acesso inicial por phishing de credenciais com exploração de falha de MFA
e exfiltração rápida muda completamente o desenho das detecções, pois define ordem de
movimentação, ritmo e artefatos esperados. O perfil de ator é o que permite responder à
pergunta de governança: se o grupo X atacasse amanhã, seríamos capazes de detectar as técnicas
que ele tipicamente utiliza?

O mapeamento por ator também dá unidade aos testes. Uma simulação purple team que reproduz
uma cadeia coerente de um ator real valida detecções na sequência em que elas precisariam
funcionar durante uma intrusão, expondo problemas que testes isolados por técnica não
revelam, como lacunas de correlação entre etapas. Além disso, a sobreposição entre atores
revela técnicas compartilhadas, que geram retorno de cobertura para vários adversários ao
mesmo tempo, e técnicas exclusivas, que merecem regras dedicadas.

3. Construção do Perfil de Atores Prioritários

A construção começa pelo cruzamento com o perfil de ameaça produzido no CTI.2, que já define
categorias de atores, probabilidade e impacto por cenário. Sobre essa base, o MAP.3 aprofunda
a dimensão técnica: para cada ator prioritário, documenta-se o conjunto de técnicas ATT&CK
atribuídas em fontes confiáveis, o padrão de ataque típico, o nível de ameaça atribuído e as
evidências que sustentam a atribuição. Boas fontes operacionais incluem:

• Relatórios táticos de fornecedores e de CERTs, priorizando os que descrevem procedimentos
  observáveis e não apenas narrativa de campanha.
• Alertas e boletins de ISACs do setor, que refletem o que atores semelhantes à organização
  estão enfrentando no mesmo período.
• Incidentes próprios e de pares sob acordo de compartilhamento, que trazem técnicas
  efetivamente observadas, com telemetria local disponível.
• Bases públicas de conhecimento de grupos e software malicioso mantidas em plataformas de
  CTI como OpenCTI e MISP, que já correlacionam atores, campanhas e técnicas.

Cada ator deve receber um nível de ameaça documentado, derivado de frequência de atividade
contra o setor, sofisticação das técnicas e impacto potencial. O registro deve separar fato
observado de inferência do analista, mantendo o padrão do CTI.9 de rastreabilidade. A lista de
atores mapeados deve ser revisada semestralmente, com gatilhos extraordinários quando campanhas
novas atingirem o setor.

4. Extração de Técnicas e Representação em Camada Navigator

A extração das técnicas de cada ator segue o mesmo rigor metodológico do mapeamento de TTPs do
CTI.6: ler o relatório, identificar os comportamentos observáveis, converter cada comportamento
em técnica ou sub-técnica ATT&CK e registrar a evidência textual que sustenta o vínculo. Uma boa
prática é registrar também a frequência aparente: técnicas descritas como padrão recorrente do
ator recebem peso maior no perfil do que técnicas observadas uma única vez.

No Navigator, o perfil de cada ator vira uma camada contendo apenas as técnicas que ele
utiliza, anotadas com score conforme a frequência e com comentários citando a fonte. Sobre
essa camada, o MAP.2 sobrepõe a cobertura de detecção, gerando o recorte por ator: é a
visualização que responde imediatamente quais técnicas do ator estão cegas. Em formato
estruturado, cada ator vive no catálogo como um documento versionado:

ator: "GRUPO-EXEMPLO-01"
tipo: "ransomware dirigido, motivado financeiramente"
nivel_ameaca: "alto"
setores_alvo: ["saúde", "indústria"]
fontes: ["relatório tático A, 2025-01", "alerta ISAC B, 2025-03"]
tecnicas_principais:
  acesso_inicial: ["T1190", "T1566.001", "T1078"]
  escalada_persistencia: ["T1059.001", "T1053.005", "T1547.001"]
  credenciais: ["T1003.001"]
  exfiltracao_impacto: ["T1567", "T1486", "T1490"]
atualizado_em: 2025-04-02
responsavel: "equipe CTI"

5. Exemplo Ilustrativo de Perfil de Ator de Ransomware

O perfil a seguir é hipotético e ilustrativo, construído com técnicas plausíveis para um ator
de ransomware dirigido, e não descreve um grupo real. Ele mostra o nível de detalhe esperado
quando o MAP.3 está maduro, conectando técnicas, fase da intrusão e consequência esperada para
a detecção.

Perfis dessa natureza alimentam diretamente os cenários do SIM.2 e do SIM.3, que reproduzem a
cadeia do ator em ambiente controlado para medir a cobertura real, e dão ao TH.5 hipóteses já
contextualizadas por fase de intrusão, em vez de técnicas soltas. A coluna de consequência
para detecção é a mais operacional do perfil, porque cada linha nela aponta o controle que
precisa funcionar naquele momento da intrusão.

6. Uso do Mapa de Atores para Hunts e Simulações

A fila de hipóteses do TH.5 deve consumir o mapa de atores de forma estruturada: para cada
ator de ameaça alta, as técnicas com cobertura amarela ou vermelha no MAP.2 tornam-se
candidatas naturais a hunt, e as técnicas verdes tornam-se candidatas a teste periódico de
regressão de detecção. Esse fluxo garante que o hunting comece onde a probabilidade de
encontrar atividade real é maior, em vez de circular por técnicas sem relação com a ameaça do
setor.

Nas simulações, o mapa define os cenários do SIM.1 a SIM.3: cada exercício reproduz técnicas
específicas de um ator prioritário, na sequência típica de ataque, e o resultado alimenta o
score de cobertura por ator exigido no MAP.3.2. O ideal é que cada trimestre valide ao menos
uma cadeia completa de ator prioritário, alternando entre os dois primeiros da lista. Assim a
simulação deixa de ser amostra aleatória de técnicas e passa a medir a capacidade defensiva
contra o adversário mais provável.

7. Sobreposição entre Atores e Técnicas Comuns

Ao empilhar os perfis, costuma aparecer um núcleo de técnicas compartilhadas pela maioria dos
atores relevantes, tipicamente T1566, T1059, T1078 e técnicas de descoberta. Esse núcleo
merece o melhor esforço de detecção, porque cada regra aprovada melhora a postura contra
vários adversários simultaneamente. Em contrapartida, técnicas exclusivas de um único ator,
como um protocolo de C2 customizado ou uma ferramenta de tunelamento específica, exigem regras
dedicadas e justificam custo maior apenas quando o ator tem ameaça alta.

A análise de sobreposição também revela diferenças de procedimento, e não apenas de técnica:
dois atores que usam T1053.005 podem criar tarefas agendadas com padrões de nomenclatura,
períodos e processos pais distintos, e essas diferenças refinam regras para reduzir falsos
positivos. Registrar o procedimento, e não apenas o código da técnica, é o que separa um mapa
de atores útil de uma tabela de IDs colada de relatórios.

8. Atualização do Mapa quando o Cenário Muda

O mapa de atores não é estático: atores mudam de ferramenta, grupos se reorganizam e novos
atores emergem com campanhas direcionadas ao setor. Além da revisão semestral, gatilhos de
atualização extraordinária devem estar definidos, como alerta de ISAC descrevendo nova
campanha contra o setor, incidente próprio com atribuição plausível, relatório tático
documentando mudança significativa de TTPs de um ator já mapeado ou aparição de um ator novo
com ameaça potencial alta para a organização.

Cada atualização deve registrar o que mudou, a evidência que sustenta a mudança e a
consequência para detecção e hunting, no mesmo padrão de rastreabilidade do CTI.9. Quando a
mudança é relevante, ela dispara uma passada no MAP.4: técnicas novas do ator entram na
análise de lacuna no ciclo seguinte, e técnicas abandonadas pelo ator podem ter prioridade
reduzida, sempre documentando a decisão para evitar ziguezague de escopo.

9. Salvaguardas por Nível de Maturidade

10. Erros Comuns e Pontos de Atenção

• Colecionar dezenas de atores sem priorizar: a lista deixa de ser instrumento de decisão e
  vira catálogo; limite o time de atores de ameaça alta a um conjunto que as equipes consigam
  de fato atacar com detecções e simulações.
• Usar apenas nomes e não técnicas: perfis que citam apelidos e narrativas sem mapeamento para
  ATT&CK não produzem detecção nem hunt; técnica e procedimento são o entregável central.
• Copiar técnicas de relatório sem evidência legível: vínculos sem citação do comportamento
  observado não podem ser revisados e degradam a confiança no perfil.
• Ignorar dados próprios: o ambiente da organização é a melhor fonte para confirmar quais
  técnicas documentadas aparecem de verdade e descobrir as que não estão em relatório algum.
• Tratar o perfil de ator como verdade absoluta: atribuição é inferência com incerteza;
  mudanças de TTP são a regra, e o perfil deve declarar confiança e data de atualização.
• Confundir popularidade com relevância: ator famoso que nunca atuou no setor da organização
  pode ser menos prioritário que grupo obscuro com histórico local confirmado.

11. Integração com Outros Controles do Framework CTH

O MAP.3 consome o perfil de ameaça do CTI.2 e o mapeamento de TTPs do CTI.6, e entrega
recortes por ator para o MAP.2 e a dimensão de risco do ator para a priorização do MAP.4. No
eixo de hunting, alimenta o TH.5 com hipóteses contextualizadas e dá aos hunts do TH.11 a
TH.15 objetivos definidos por adversário. No eixo de simulação, define cenários do SIM.2 e do
SIM.3 e recebe deles o score de cobertura por ator. Na governança, o nível de ameaça dos
atores sustenta decisões de investimento no GOV e os relatórios executivos do MET.5, fechando o
elo entre inteligência de ameaça e decisão de negócio.