MAP.5 - Evolução Contínua da Cobertura

Este controle pertence ao grupo MAP (MITRE ATT&CK Mapping) do Framework CTH e deriva do
Capítulo 18 do documento de referência. Ele estabelece a cobertura ATT&CK como processo vivo,
com cadência de revisão, gatilhos extraordinários, rotina de atualização, metas por maturidade
e comunicação da evolução. Seu papel é impedir que o mapa construído no MAP.1 e visualizado no
MAP.2 vire fotografia estática de um ambiente que muda continuamente.

1. Contexto e Posicionamento no Framework CTH

A cobertura de detecção que é adequada hoje degrada de forma silenciosa: atores de ameaça
trocam de ferramentas, o MITRE publica novas técnicas e sub-técnicas a cada versão da matriz, a
arquitetura da organização muda com projetos de nuvem e novas aplicações, e ferramentas são
substituídas sem que o mapa de cobertura seja recalculado. O MAP.5 governa essa dinâmica,
transformando a cobertura em um processo com cadência, donos, metas e evidências, alinhado ao
ciclo de melhoria contínua do GOV e à medição do MET.5.

O controle fecha o ciclo lógico do grupo MAP: o MAP.1 constrói o mapa, o MAP.2 o visualiza, o
MAP.3 o direciona pela ameaça, o MAP.4 extrai dele a fila de lacunas, e o MAP.5 garante que
todo esse conjunto permaneça verdadeiro ao longo do tempo. Sem o MAP.5, os demais controles
entram em decadência silenciosa, porque todos dependem de dados que envelhecem.

2. Cobertura como Processo Vivo e não como Foto

Tratar cobertura como projeto pontual produz um mapa confiável no dia da entrega e
desconhecido seis meses depois. A experiência de mercado mostra que a degradação é rápida:
agentes de EDR cobrem apenas parte do parque depois de migrações, parsers de log quebram com
atualizações de produto, e detecções herdadas de fornecedores deixam de fazer sentido quando a
arquitetura muda. A cobertura precisa ser operada como processo contínuo, com entrada de
mudanças, cálculo periódico e comparação contra metas, exatamente como qualquer outro
indicador de segurança gerido pela organização.

O ponto central é a mudança de unidade de gestão: a cobertura deixa de ser um documento e
passa a ser um estado calculado, derivado do catálogo de detecções do AUT.3, das fontes do
DAT.1 e DAT.2 e dos resultados de validação do SIM.4. Quando o estado é calculado, ele pode ser
recalculado a qualquer momento, e a pergunta "qual nossa cobertura hoje?" deixa de depender de
alguém atualizar uma planilha.

3. Cadência de Revisão e Gatilhos Extraordinários

A cadência recomendada é trimestral para a revisão completa, alinhada ao ciclo de reporte
executivo e ao ritmo de atualização da matriz ATT&CK, que o MITRE publica aproximadamente
trimestralmente. A revisão trimestral não precisa reabrir todo o mapeamento do zero; ela
consolida as mudanças incrementais acumuladas no período e recalcula os indicadores. Além da
cadência regular, gatilhos extraordinários exigem revisão fora de época:

• Nova versão da matriz ATT&CK com mudanças relevantes, como técnicas adicionadas, sub-técnicas
  reorganizadas ou táticas renomeadas, avaliada em até 30 dias conforme o MAP.5.3.
• Nova campanha relevante contra o setor, por alerta de ISAC ou relatório tático, alterando o
  perfil de atores do MAP.3 e, por consequência, as prioridades de cobertura.
• Mudança de arquitetura significativa, como migração de carga para nuvem, adoção de nova
  plataforma de identidade ou redesign de segmentação, que altera superfícies e telemetria.
• Entrada ou troca de ferramenta de segurança, EDR, SIEM ou WAF, que muda a base de detecções
  e exige revalidação das coberturas declaradas.
• Incidente ou hunt que revele técnica não contemplada no mapa, acionando a atualização dos
  perfis e do backlog do MAP.4.

Cada gatilho deve estar registrado no procedimento do programa com responsável por avaliar e
prazo para concluir, porque gatilho sem dono é ignorado na primeira semana cheia de trabalho.
Recomenda-se também registrar o resultado da avaliação de cada gatilho, mesmo quando ele não
altera prioridades, para que o histórico demonstre que o mecanismo está sendo operado.

4. Rotina de Atualização

A rotina de atualização transforma a cobertura em tarefas previsíveis. O fluxo recomendado em
cada ciclo é o seguinte.

1. Recolher o que mudou no período: detecções novas, modificadas e desativadas no catálogo do
   AUT.3, hunts concluídos que viraram detecção, fontes de dados habilitadas ou desligadas no
   DAT.1 e DAT.2, e resultados de simulação do SIM.4 e SIM.5.
2. Atualizar as camadas do Navigator a partir do catálogo, preferencialmente por job
   automatizado como definido no MAP.2, garantindo que o mapa publicado reflita o estado real.
3. Recalcular as métricas de cobertura, em total, por tática e por ator prioritário, comparando
   com o ciclo anterior e explicando variações maiores que o ruído normal.
4. Comparar com a meta vigente, identificando desvios, e ajustar o backlog do MAP.4 quando a
   comparação indicar que a fila atual não alcança a meta no prazo.
5. Registrar a revisão como versão do mapa, com data, responsável e principais mudanças, criando
   a série histórica que sustenta o gráfico de tendência da gestão.

A rotina é leve quando as automações do MAP.2 funcionam, tipicamente algumas horas de trabalho
coordenado por ciclo. O risco real é a rotina virar recontagem manual, sinal de que as
integrações entre catálogo, simulação e camadas precisam de investimento. O produto esperado
de cada ciclo é triplo: mapa atualizado, indicadores recalculados e backlog do MAP.4 ajustado.

5. Metas de Cobertura Realistas por Maturidade

Metas de cobertura precisam ser desafiadoras e atingíveis ao mesmo tempo, porque meta
simbólica não mobiliza ninguém e meta inatingível desmobiliza. O Framework CTH sugere metas
progressivas, com referência do documento de 60% de detecção das técnicas de alta prioridade
em 6 meses, 80% em 12 meses e 90% em 18 meses, sempre sobre o conjunto de técnicas
prioritárias do MAP.3, nunca sobre a matriz inteira. A tabela abaixo exemplifica metas por
nível de maturidade da organização.

O progresso deve ser medido mensalmente contra a meta vigente, reportando desvios negativos
imediatamente, porque cobertura que recua é sinal de problema operacional, fonte desligada,
pipeline quebrado ou parque que cresceu sem agentes, e cada mês sem correção amplifica o risco.
Desvios positivos também merecem análise, pois ganho rápido de cobertura sem validação
correspondente indica que o critério de coberto está sendo aplicado de forma frouxa.

6. Comunicação da Evolução para a Gestão

A evolução da cobertura é um dos indicadores mais comunicáveis do programa, porque combina
narrativa de risco com tendência objetiva. O formato recomendado é um gráfico de tendência
mensal do percentual de técnicas prioritárias cobertas, com marcação das metas acordadas e dos
eventos que explicam saltos ou quedas, como nova fonte de log habilitada ou troca de EDR. Esse
gráfico integra o painel do MET.5, acompanhado da composição por tática para as táticas mais
relevantes e da lista de lacunas críticas em fechamento oriundas do MAP.4.

Na comunicação com a gestão, evite apresentar apenas o percentual absoluto: o número ganha
significado quando acompanhado do denominador, ou seja, sobre quais técnicas a cobertura é
calculada, e da validação que sustenta cada ponto verde. Um percentual alto calculado sobre
detecções nunca testadas comunica otimismo, não capacidade. A narrativa deve ligar cada
movimento da curva a decisão tomada ou a risco assumido, mantendo a cobertura como instrumento
de decisão e não como número de vitrine.

7. Documentação das Decisões de Cobertura

Nem toda lacuna será fechada e nem toda técnica prioritária terá detecção no próximo ciclo:
restrições de orçamento, dependências de projeto e limitações de ferramenta forçam escolhas. O
MAP.5 maduro documenta essas escolhas como decisões de cobertura, com formato semelhante a
registros de decisão de arquitetura: contexto, opções consideradas, decisão, consequências
aceitas e data de revisão. O registro transforma a decisão implícita em compromisso explícito.

id: DEC-2025-006
data: 2025-04-10
contexto: "lacuna critica em T1567; projeto de proxy de saida so no segundo semestre"
opcoes:
  - "regra DLP de volume no DAT.2 como mitigacao parcial"
  - "aguardar projeto de proxy e aceitar lacuna"
decisao: "mitigacao parcial com regra de volume anômalo por usuario"
consequencias: "cobertura parcial ate 2025-10; revisao no ciclo 4"
dono: "lider de deteccao"

Esse registro cumpre três funções: impede que a mesma discussão seja reaberta a cada ciclo sem
memória, dá à gestão visibilidade do risco aceito de forma deliberada e fornece ao auditor a
explicação formal para lacunas persistindo em ciclos anteriores. A série de decisões também
alimenta o MAP.4, porque toda decisão que aceita uma lacuna deve manter o item vivo no backlog
com revisão agendada.

8. Salvaguardas por Nível de Maturidade

9. Erros Comuns e Pontos de Atenção

• Fotografar a cobertura uma vez e tratar o mapa como entregável fechado: em dois trimestres o
  documento contradiz o ambiente e perde autoridade interna.
• Estabelecer metas sobre a matriz inteira: perseguir 100% das técnicas da matriz é
  inatingível e descredita o programa; meta vale sobre técnicas prioritárias do MAP.3.
• Contar como cobertura detecção nunca validada: a validação por simulação do MAP.5.4 é o que
  separa cobertura real de cobertura nominal.
• Ignorar novas versões da matriz: técnicas novas permanecem fora do radar até aparecerem em
  relatório de incidente, no pior momento possível.
• Conduzir a evolução sem conexão com o backlog: revisão que não atualiza o MAP.4 é cerimônia;
  o produto da revisão deve ser trabalho priorizado ou decisão documentada.
• Comunicar sem contexto: percentuais sem denominador e sem tendência permitem leituras
  opostas e esvaziam a confiança da gestão no indicador.

10. Integração com Outros Controles do Framework CTH

O MAP.5 orquestra a manutenção dos demais controles do grupo, consumindo o catálogo do MAP.1,
as camadas do MAP.2, os perfis do MAP.3 e a fila do MAP.4, e devolvendo a todos eles cadência e
metas. No eixo de automação, depende do pipeline do AUT.3 como fonte de verdade das detecções
e dos resultados do SIM.4 e SIM.5 como prova de validação. Na medição, o gráfico de tendência e
os percentuais de cobertura integram o MET.5, e as metas de cobertura funcionam como KPI de
programa no MET.1 e MET.2. Na governança, o nível de maturidade avaliado no GOV determina qual
meta da seção 5 é apropriada, fechando o ciclo entre estratégia, execução e medição.