Comparativo dos Tipos de Hunting

Nota do grupo "17 - Tipos de Threat Hunting", derivada das seções comparativas do Capítulo 21 do PDF de referência do Framework CTH.
Esta nota consolida os quatro tipos (inteligência, comportamento, hipótese e exploratória) em uma visão única de decisão.
Papel no programa: orientar a escolha do tipo de cada caça, o mix por maturidade e por equipe, e o encaixe dos tipos no ciclo integrado do Framework.

1. Contexto e Posicionamento no Framework CTH

O Threat Hunting não é uma atividade monolítica, e a escolha do tipo adequado depende de maturidade do programa, qualidade dos dados, profundidade da CTI interna e objetivo de cada caça. O capítulo 21 do PDF de referência detalha cada tipo em sua própria nota desta biblioteca: a orientada por inteligência, a orientada por comportamento, a orientada por hipótese e a exploratória complementar. Este comparativo existe porque a decisão prática de qual tipo usar, e em que proporção, costuma ser o ponto de maior dúvida operacional.

Cada tipo opera em um ponto diferente do espectro entre o conhecimento externo e a observação interna. A caça por inteligência começa fora do ambiente, no relatório de CTI.7; a comportamental começa dentro, no baseline de TH.2; a por hipótese combina os dois em uma afirmação falsificável de TH.6; a exploratória dispensa direcionamento prévio e navega pelos dados. Entender essa geometria é o que permite montar um programa diversificado, em vez de repetir a mesma abordagem até esgotá-la.

2. Os Quatro Tipos em Resumo

A orientada por inteligência traduz relatórios, alertas e requisitos de inteligência em buscas concretas, com relevância alta e dependência direta da qualidade da CTI. A orientada por comportamento parte de desvios de normalidade medidos contra baselines, sem indicador prévio, e é a melhor aliada contra o desconhecido. A orientada por hipótese testa afirmações falsificáveis no formato SE-ENTÃO, com reprodutibilidade e produção sistemática de detecções. A exploratória reserva uma fatia de até 10 por cento do tempo para navegação livre, alimentando o backlog com perguntas que ninguém formulou.

Nenhum dos quatro é superior em absoluto: cada um domina um nicho. Programas maduros usam os quatro de forma complementar, e o próprio capítulo 21 fecha recomendando exatamente essa diversificação, com planejamento trimestral de mix ajustado pelos resultados anteriores.

3. Frequência e Cadência por Tipo

O capítulo 21 sugere cadências distintas, que o planejamento trimestral de GOV deve transformar em slots fixos no kanban de TH.4:

Cadência não é burocracia: é o mecanismo que impede que um único tipo devore a agenda. Slots fixos por tipo, com colunas separadas no kanban, tornam visível quando um tipo está sendo ignorado, e essa visibilidade é o insumo básico para ajustar o mix nas revisões trimestrais.

4. Tabela Comparativa Central

A leitura por linha expõe trade-offs que guiam a decisão. Em insumo, os quatro tipos cobrem fontes distintas, e por isso um backlog saudável recebe itens de todos eles. Em técnicas, há sobreposição deliberada: TH.10 a TH.15 executam qualquer caça, e TH.7 a TH.9 dão o suporte analítico que a hipótese e a exploração compartilham. Em riscos, cada tipo pede uma salvaguarda diferente, detalhada na nota própria e consolidada na seção 10.

5. Como os Tipos se Complementam no Ciclo do Framework

A complementaridade segue um fluxo claro na esteira do Framework. A inteligência alimenta a hipótese: o relatório de CTI.7 é traduzido em SE-ENTÃO na fila de TH.5 e TH.6. O comportamento valida: baselines de TH.2 confirmam ou refutam padrões esperados e priorizam desvios que a hipótese não previu. A exploração descobre: sessões livres revelam telemetria esquecida e perguntas novas que viram hipóteses formais. E todos retroalimentam CTI.9, com retorno sobre a inteligência consumida, e AUT.3, com consultas que merecem virar detecção permanente.

O ciclo virtuoso descrito no capítulo 21 aparece na prática trimestral. Se a caça por inteligência gera muitos achados, o ambiente provavelmente está sob ataque ativo, e a proporção desse tipo deve ser mantida ou aumentada. Se a comportamental revela anomalias significativas, os baselines precisam de reforço e as detecções automáticas de expansão. Se a caça por hipótese encontra lacunas de detecção, o esforço muda para fechá-las em AUT.3 antes de formular novas hipóteses. Esse ajuste contínuo de mix é a essência do programa maduro.

Um mês típico de programa em M3 mostra o entrelaçamento. Na primeira semana, um alerta de CTI sobre campanha de phishing direcionado dispara caça por inteligência, que refuta comprometimento mas revela ausência de detecção para a técnica inicial usada. Na segunda semana, a lacuna vira hipótese formal, entra no backlog e é executada na quinzena seguinte, com a consulta aprovada indo para AUT.3. No meio do mês, a rodada comportamental mensal encontra conta de serviço com desvio de logons, investigada e qualificada como uso de ferramenta não governada, gerando hipótese nova e pedido de telemetria. Na última semana, a fatia exploratória mapeia o parque de containers recém-implantado e devolve três perguntas novas para o backlog. Nenhuma dessas caças existiria isolada, e o valor do mês está justamente no encadeamento.

6. Mix Recomendado por Nível de Maturidade

Os percentuais abaixo são pontos de partida operacionais, não dogmas, e devem ser ajustados pelo resultado trimestral conforme a seção 5. A coluna de justificativa liga a recomendação aos controles de GOV e de preparação:

Dois avisos valem para todos os níveis. Primeiro, a fatia exploratória nunca deve passar de 10 por cento, nem em nível 1, sob pena de o programa inteiro depender de sorte. Segundo, comportamento sem baselines é impossível, e por isso o nível 2 aloca zero para esse tipo, priorizando a construção de TH.2 em vez de caças que não têm contra o que comparar.

7. Mix por Tamanho de Equipe

O porte da equipe limita quantos tipos podem ser sustentados com qualidade. A tabela abaixo sugere distribuições para a capacidade total de hunting do time:

Independentemente do porte, a regra de ouro é não abandonar a hipótese como espinha dorsal. Ela é o tipo mais reprodutível, o mais auditável e o que melhor demonstra valor para a liderança em MET.2, o que importa ainda mais em equipes pequenas que brigam por orçamento.

8. Erros na Escolha do Tipo

• Usar só um tipo. Programas que só caçam por IOC ficam presos à base da pirâmide de dor; os que só exploram ficam sem métrica; os que só seguem relatórios ficam cegos ao desconhecido.
• Copiar o mix de outra organização sem contexto. O mix de uma empresa com UEBA maduro e CTI interna não serve para quem está construindo o primeiro baseline; maturidade, telemetria e equipe ditam a proporção.
• Trocar de tipo toda semana sem medição. O mix precisa de tempo mínimo para gerar dados comparáveis em MET.2; alternância caótica impede qualquer avaliação.
• Fazer comportamento sem baselines. A tentativa produz listas intermináveis de desvios sem critério e descredita o tipo antes de ele amadurecer.
• Reservar a exploratória para quando sobrar tempo. Tempo que sobra não existe; sem quota formal no planejamento, a exploração simplesmente não acontece.
• Tratar a escolha do tipo como decisão do hunter solitário. A seleção é rotina de TH.5, com critérios registrados, para que o histórico de escolhas possa ser auditado e melhorado.

9. Decisão Prática: Checklist do Próximo Hunt

O checklist abaixo converte as seções anteriores em rotina de decisão, aplicável a cada slot de caça aberto no kanban:

Checklist para escolher o tipo da próxima caça

1. Existe produto de CTI recente e aplicavel aos PIRs (CTI.7, CTI.8)?
   Resposta sim: iniciar por caça orientada por inteligência.
2. Existe baseline solido (TH.2) e desvio visivel (TH.8, TH.15)?
   Resposta sim: iniciar por caça orientada por comportamento.
3. Existe lacuna de detecção em MAP.4, falha de SIM ou lição de IR?
   Resposta sim: iniciar por caça orientada por hipótese.
4. Nenhuma das anteriores, com caixa de tempo e telemetria madura?
   Resposta sim: agendar sessão exploratória com registro do caminho.
5. Mais de uma resposta positiva?
   Priorizar pela matriz de critérios de TH.5 e, se possível,
   combinar os dois tipos na mesma semana de execução.
6. Nenhuma resposta positiva?
   Investir em preparação: TH.1, TH.2, DAT.x e MAP.4 antes de caçar.

O resultado do checklist deve ser registrado no item do kanban, com a resposta marcada, para que a distribuição real de tipos possa ser comparada ao mix planejado. Divergências persistentes entre planejado e executado indicam gargalo na frente escolhida: falta de produto de CTI, baselines atrasados ou backlog parado.

Registro de decisão no kanban

Item: HUNT-2025-042
Checklist: 1 nao, 2 nao, 3 sim (lacuna MAP.4 em T1021.002)
Tipo escolhido: por hipótese (item HIP-2025-027)
Slot da semana: 1 de 6 slots de hipótese previstos no mix
Observação: execução em TH.3 por consulta pesada de 90 dias

Esse registro mínimo, de uma linha por resposta, permite auditoria do processo de decisão. Com três meses de histórico, a equipe consegue dizer qual resposta do checklist mais frequentemente decide o tipo, e essa é informação valiosa: se quase tudo é decidido pela resposta 1, o programa está virando consumidor de CTI e negligenciando as fontes internas.

10. Salvaguardas por Nível

A lógica da tabela é simples: no Básico, as salvaguardas estruturam os dois tipos mais acessíveis; no Intermediário, elas automatizam o fluxo de insumos e habilitam o comportamento; no Avançado, elas fecham o laço com métricas e aprendizado de máquina. O comparativo do capítulo 21 e o modelo de maturidade de GOV caminham juntos, e o mix da seção 6 deve evoluir na mesma cadência das salvaguardas implantadas.

11. Integração com Outros Controles do Framework CTH

O comparativo alimenta diretamente o planejamento do grupo GOV, que define a meta de mix trimestral, e o kanban de TH.4, que executa o mix item a item. A montante, CTI.1 e CTI.7 garantem o insumo do tipo por inteligência, INS.5 e TH.2 garantem o insumo do comportamental, MAP.4 e SIM.x garantem o da hipótese, e TH.8 com TH.9 garantem a matéria-prima da exploratória. A jusante, todos convergem em CTI.9 e AUT.3, o primeiro com retorno de inteligência, o segundo com detecções permanentes.

Em métricas, MET.2 deve cruzar a distribuição real de tipos por período com os achados e as detecções geradas por tipo. Cada tipo exige indicador próprio, porque o valor que ele entrega tem natureza diferente:

Essa visão permite responder, com dados, a pergunta que a liderança sempre faz: qual abordagem gera mais valor para a nossa organização. A resposta muda com o tempo, e o comparativo desta nota é o instrumento para recalibrar o mix sempre que ela mudar.