Caça Orientada por Inteligência (Intelligence-Driven)

Nota do grupo "17 - Tipos de Threat Hunting", derivada do Capítulo 21 do PDF de referência do Framework CTH.
Este tipo de caça materializa o vínculo operacional entre o ciclo de CTI (CTI.1 a CTI.9) e o ciclo de Threat Hunting (TH.1 a TH.15).
Papel no programa: transformar inteligência disseminada em buscas concretas nos dados internos, entregando valor acionável aos PIRs definidos em CTI.1.

1. Contexto e Posicionamento no Framework CTH

A caça orientada por inteligência é a forma mais direta de aplicar conhecimento sobre adversários na defesa proativa. Dentro da esteira do Framework CTH, ela ocupa o ponto em que o produto de CTI.7 (produção de relatórios) e a disseminação de CTI.8 encontram a fila de priorização TH.5 e a formulação de hipóteses TH.6. Sem esse tipo de caça, a inteligência produzida ou adquirida permanece teórica: os relatórios são lidos, os IOCs (Indicators of Compromise) são armazenados no TIP e nada é efetivamente procurado no ambiente. O capítulo 21 do PDF de referência descreve esse tipo como o elo natural entre os ciclos de CTI e de Threat Hunting, e o comparativo indica maturidade mínima M2 (Inicial) para executá-lo com consistência.

Este tipo também é o que responde mais rápido a mudanças no panorama de ameaças. Quando um ISAC do setor divulga campanha ativa contra bancos, ou quando o EASM de INS.3 revela um ativo exposto associado a exploração recente, a organização precisa de um caminho formal para converter esse aviso em consulta executável no SIEM, no EDR e nos sensores de rede. A nota a seguir detalha insumos, fluxo, requisitos, exemplo ponta a ponta, vantagens, limitações e salvaguardas por nível de maturidade.

2. Definição e Natureza do Tipo

A caça orientada por inteligência nasce de um relatório, alerta ou requisito de inteligência, e não de uma anomalia interna ou de uma lacuna de detecção. O gatilho é externo: a equipe de CTI dissemina um produto que descreve TTPs, infraestrutura de ataque ou campanha ativa de um adversário relevante, e o threat hunter recebe esse produto como matéria-prima da caça. O objetivo é verificar se os comportamentos e indicadores descritos estão, ou estiveram, presentes no ambiente, dentro do escopo temporal permitido pela retenção de dados de DAT.5.

Duas características separam esse tipo dos demais. Primeiro, a direção do fluxo: a informação sai do domínio de CTI e entra no domínio de hunting, e não o contrário, o que condiciona a qualidade da caça à qualidade e à tempestividade da inteligência. Segundo, o espectro da pirâmide de dor: produtos bons descrevem TTPs e comportamentos, nos níveis altos da pirâmide, enquanto produtos pobres entregam apenas hashes e IPs, nos níveis baixos; o hunter deve sempre tentar escalar do indicador atômico para o comportamento que o produz.

3. Insumos Típicos

Os insumos variam em formato, maturidade e nível da pirâmide de dor. A tabela abaixo relaciona os mais comuns às origens no Framework CTH e a forma recomendada de consumo.

Nenhum desses insumos dispensa a triagem crítica do hunter. A confiança declarada da fonte, a data de publicação e a sobreposição com telemetria interna definem se a caça vale uma execução imediata ou apenas um registro na fila de TH.5.

4. Fluxo Típico de Execução

O fluxo descrito no capítulo 21 pode ser operacionalizado em sete etapas, cada uma com produto verificável:

1. Receber e triar o produto de inteligência. Todo produto tático é registrado na plataforma de gestão com prazo de resposta definido, conforme a salvaguarda TH.HT.1; o registro evita que alertas importantes se percam em listas de e-mail.
2. Extrair TTPs e indicadores. O hunter mapeia as técnicas ATT&CK citadas, separa indicadores de alta e média confiança, verifica a marca TLP 2.0 e delimita a janela temporal útil contra a retenção real de DAT.5.
3. Priorizar em TH.5. Usando a matriz de critérios (relevância setorial, confiança da fonte, exposição, janela de dados e custo de execução), decide-se caçar agora, enfileirar ou descartar com justificativa registrada.
4. Formular a hipótese em TH.6. A descrição da campanha é traduzida para uma afirmação testável no formato SE-ENTÃO, com condição observável, fonte de dado e critério de refutação.
5. Executar com TH.10 e as técnicas de execução cabíveis. Consultas de IOC e IOA no SIEM são o ponto de partida; hunting de endpoint (TH.11), de rede (TH.12) e de memória (TH.13) entram quando a campanha exige profundidade maior.
6. Documentar os resultados. Hipótese, consultas versionadas, contagens de resultados, decisão e evidências são registradas no template de registro de TH.4, garantindo reprodutibilidade.
7. Retroalimentar CTI.9. O hunter devolve ao CTI a avaliação de utilidade do produto, IOCs confirmados ou refutados, lacunas de telemetria encontradas e sugestões de detecção.

O template abaixo materializa a salvaguarda TH.HT.2, que exige campos obrigatórios na tradução de inteligência em busca:

hunt_intel:
  id: HI-2025-018
  produto_origem: "Alerta tatico CTI-2025-112 (TLP:AMBER)"
  tecnicas_attack: [T1059.001, T1003.001]
  descricao_busca: >
    Execucao de PowerShell com comandos ofuscados em endpoints do
    departamento financeiro, seguida de acesso ao processo LSASS
    em janela de ate 10 minutos.
  consultas_siem: "kql/financeiro/ps_encoded_lsass.kql"
  escopo: "Endpoints com tag setor=financeiro, ultimos 45 dias"
  data_execucao: 2025-03-14
  responsavel: hunter.matricula-412
  resultado: "3 ocorrencias; 1 ticket legitimo de pentest; detalhes em registro HI-2025-018"

5. Exemplo Completo de Caça Iniciada por Relatório

A equipe de CTI publica, em uma segunda-feira, um alerta tático informando que um grupo de espionagem vem usando T1059.001 (PowerShell com comandos codificados) combinado com T1003.001 (acesso à memória do LSASS) para coletar credenciais em campanhas contra o setor financeiro. O alerta é marcado TLP:AMBER, cita dois hashes de loader e um domínio de C2, e recomenda revisão dos últimos 45 dias. A triagem de TH.HT.1 registra a demanda com prazo de cinco dias úteis e a fila de TH.5 a prioriza pela combinação de relevância setorial, confiança da fonte e presença confirmada do setor financeiro no escopo de telemetria.

O hunter extrai as duas técnicas, descarta os hashes por baixo valor na pirâmide de dor e formula a hipótese: SE houve execução de PowerShell ofuscado seguida de acesso ao LSASS em janela de dez minutos nos endpoints do financeiro, ENTÃO os eventos Sysmon 1 e Sysmon 10 revelarão a sequência na plataforma SIEM. A consulta abaixo implementa a busca:

let janela = 45d;
let ps_suspeito = Event
| where TimeGenerated > ago(janela)
| where Source == "Microsoft-Windows-Sysmon" and EventID == 1
| where Image endswith "\\powershell.exe"
| where CommandLine has_any ("-enc", "-w hidden", "-nop -w", "bypass")
| project ts = TimeGenerated, Computer, Account, ProcessId, CommandLine;
let acesso_lsass = Event
| where TimeGenerated > ago(janela)
| where Source == "Microsoft-Windows-Sysmon" and EventID == 10
| where TargetImage endswith "\\lsass.exe"
| where GrantedAccess in ("0x1010", "0x143A", "0x1FFFFF")
| project tl = TimeGenerated, Computer, SourceProcessId, CallTrace;
ps_suspeito
| join kind=inner acesso_lsass on Computer, $left.ProcessId == $right.SourceProcessId
| where tl between (ts - 10m .. ts + 10m)
| project ts, tl, Computer, Account, CommandLine, CallTrace
| order by ts asc

A execução retorna três sequências, todas originadas de uma estação do time de segurança durante um teste de intrusão contratado, com ticket correspondente no gerenciador de projetos. A hipótese é encerrada como refutada para fins de comprometimento, mas o exercício revela que o parâmetro de confiança dos eventos Sysmon 10 estava ativado em apenas 82 por cento dos endpoints do escopo, lacuna registrada para DAT.1. No retorno de CTI.9, o hunter avalia o produto como altamente acionável e o domínio de C2 é incluído na watchlist de TH.10 para consulta retroativa mensal no proxy.

6. Requisitos de Maturidade

Este tipo de caça não exige o programa de CTI mais avançado do mercado, mas exige um ciclo operante. O comparativo do capítulo 21 posiciona a maturidade mínima em M2 (Inicial), com CTI básica; na prática, os pré-requisitos abaixo separam programas que produzem caças consistentes de programas que apenas arquivam relatórios:

• CTI operante: requisitos de CTI.1 vivos, produção regular em CTI.7 e disseminação segmentada em CTI.8, com hunter incluído explicitamente na matriz de público de CTI.8.
• Fontes confiáveis: catálogo de fontes gerido em PLT.4, com avaliação de confiabilidade, expiração e triangulação, evitando caças baseadas em ruído de feeds de baixa qualidade.
• Consumo estruturado: processo de triagem TH.HT.1 e template TH.HT.2 em uso, com plataforma de CTI (PLT.1, PLT.2) integrada à plataforma de gestão de tarefas de hunting.
• Telemetria mínima: inventário TH.1 atualizado e retenção DAT.5 compatível com a janela típica dos relatórios consumidos, normalmente 30 a 90 dias.

A ausência de qualquer um desses itens não impede caças pontuais, mas converte o tipo em esforço episódico, dependente de heroísmo individual, e sem métrica sustentável em MET.2.

A tabela abaixo resume o pré-requisito, os controles envolvidos e a evidência mínima que comprova o cumprimento durante uma auditoria interna do programa:

7. Prós, Contras e Quando Usar

Os contras merecem leitura atenta. A abordagem é reativa em relação ao ciclo de vida do ataque: ela só procura ameaças já conhecidas pela comunidade de inteligência, o que deixa operações inéditas de fora. Organizações em M1 ou M2 têm dificuldade de sustentar o fluxo sem CTI interna, dependendo então de fontes externas pagas ou de ISACs setoriais. Há ainda o risco de viés de cobertura: se as fontes cobrem apenas ransomware, o programa caça apenas ransomware.

Quando usar: após a publicação de relatório ou alerta relevante alinhado aos PIRs; diante de campanha ativa no setor; quando o EASM de INS.3 aponta exposição associada a exploração em curso; e de forma recorrente e semanal, conforme a frequência recomendada no comparativo do capítulo 21. Não é o tipo adequado para descobrir o desconhecido, papel da caça comportamental e da exploratória.

8. Salvaguardas por Nível

A progressão entre níveis deve ser observável em métricas. No Básico, a métrica é o prazo médio de triagem; no Intermediário, a taxa de conversão de TH.HT.4 e o tempo entre publicação e primeira consulta; no Avançado, o percentual de hipóteses sugeridas automaticamente que sobrevivem à revisão humana em TH.5.

Critérios de sucesso complementares ajudam a distinguir programa saudável de movimento por inércia:

9. Erros Comuns e Pontos de Atenção

• Caçar apenas IOCs atômicos. Limitar a busca a hashes e IPs desperdiça o produto e mantém o programa na base da pirâmide de dor; extraia sempre o comportamento que produz o indicador.
• Ignorar a janela de retenção. Executar buscas de 180 dias sobre telemetria com 30 dias de retenção produz falsa sensação de segurança; o escopo deve citar a retenção real de DAT.5.
• Aceitar o relatório sem crítica. Confiança de fonte, data de publicação e triangulação em PLT.4 precedem qualquer execução; relatório antigo sobre técnica já remediada queima credibilidade do programa.
• Não registrar feedback em CTI.9. Sem o retorno estruturado, o ciclo de CTI não melhora e a taxa de conversão de TH.HT.4 não pode ser calculada.
• Tratar todo alerta como urgente. Sem priorização TH.5, a fila vira firefighting e caças profundas nunca são executadas.
• Deixar consultas boas morrerem no histórico. Toda consulta de valor que revela padrão estável é candidata a detecção contínua em AUT.3, com revisão de falsos positivos antes da promoção.
• Violentar a marca TLP. Reexecutar e compartilhar consultas derivadas é permitido; republicar conteúdo do relatório fora do escopo TLP não é, conforme PLT.5.

10. Integração com Outros Controles do Framework CTH

O tipo orientado por inteligência conecta grupos inteiros da esteira. A montante, COL e ANA garantem insumo: CTI.1 define PIRs, CTI.4 e CTI.5 alimentam fontes e processamento, CTI.6 e CTI.7 produzem a análise que vira matéria-prima. A jusante, TH.5 e TH.6 recebem o produto, TH.10 e TH.11 a TH.13 executam, e CTI.9 fecha o laço com o feedback do hunter. O mapeamento MAP.1 e o heatmap MAP.2 registram as técnicas verificadas, enquanto MAP.4 converte lacunas observadas em novas hipóteses.

Em termos de automação e métrica, AUT.3 transforma consultas recorrentes em detecções permanentes, AUT.1 orquestra a abertura de tickets de TH.HT.3, e MET.2 acompanha a taxa de conversão de inteligência em caças, o tempo de ciclo e os achados por fonte. A combinação desses controles transforma um relatório de CTI em três entregas: resposta imediata à dúvida de comprometimento, detecção permanente nova e inteligência de retorno para o produtor do relatório.