Exercício de CTI - Ciclo Completo de Produção

Segunda nota do capítulo 16 - Exercícios Práticos. Exercício guiado que percorre o ciclo de inteligência completo, da direção ao feedback, sobre um tema realista de campanha de phishing bancário brasileiro.
Cada fase declara o que entra, o que fazer e o que entregar: direção com PIRs e EEIs, coleta com fontes nomeadas, processamento com código de normalização, análise com clustering e ACH, disseminação com template de relatório tático e feedback com métrica de uso.
Dialoga com os capítulos 01 (ciclo), 02 (fontes), 05 (análise) e 09 (TIP), e é a contraparte analítica do exercício 01, que transformou um incidente interno em insumo para este ciclo.

1. Contexto e Posicionamento na Biblioteca

O exercício 01 deste capítulo treinou a reação ponta a ponta a um incidente; este treina a produção deliberada de inteligência sobre uma ameaça externa, que é o trabalho de referência do analista de CTI. A diferença de formato importa: aqui não existe linha do tempo a reconstruir, existe pergunta a responder, e todas as fases existem para servir à pergunta, não ao contrário. O erro estrutural que o exercício combate é o programa que coleta primeiro e descobre depois o que fazer com o montante, padrão que o capítulo 01 chamou de coleta dirigida por dados e que este exercício desmonta na primeira fase.

O tema é uma campanha de phishing bancário brasileira, escolhida por três razões técnicas: é um domínio de ameaça com volume alto de material público, o que permite praticar coleta e processamento de verdade; tem forte componente de infraestrutura descartável, o que exercita clustering e atribuição calibrada sem exigir amostras de malware; e é altamente relevante para o contexto do leitor brasileiro, com vetores de SMS, boleto falso e imitação de aplicativo bancário que qualquer organização do país recebe semanalmente.

O exercício dura uma semana em ritmo de trabalho real, com entregas parciais por fase e revisão por pares ao final. O formato das fases segue o padrão do exercício 01, entrada, ação, produto, com o acréscimo de template: cada fase entrega um artefato nomeado, e a tabela da seção 9 é o contrato de fechamento que o avaliador usa.

2. Cenário: Campanha de Phishing Bancário Brasileiro

O diretor de prevenção a fraude relatou aumento de clientes reportando mensagens de SMS com link de "atualização de segurança de aplicativo" seguida de perda financeira por Pix. O gateway de e-mail capturou na mesma semana uma leva de boletos falsos apontando para páginas que imitam a tela de login de três grandes bancos. O SOC quer saber quem é, o que fazer contra, e a área de fraude quer antecipar a próxima leva. O analista de CTI recebe a direção de produzir inteligência tática sobre a campanha em uma semana. Os artefatos observados até agora resumem o material de partida:

O cenário não define a resposta: quem opera, se é grupo organizado ou serviço de phishing como serviço (PhaaS), qual o alcance real, tudo isso é produto do exercício, e o gabarito aceita conclusões divergentes quando sustentadas por evidência. Os colchetes nos domínios são o defang de praxe para texto; em consultas e planilhas o domínio entra cru, e em qualquer exportação o dado de vítima não entra.

3. Fase 1: Direção, Formular PIRs e EEIs

O exercício da direção é transformar pedido de diretor em requisito de analista, e a gramática é a da nota 07 e 09 do capítulo 01: PIR pergunta de decisão, EEI é o dado que, uma vez conhecido, permite decidir. O template com o exemplo do cenário:

O teste de qualidade da direção é simples e elimina metade das campanhas de coleta inúteis: para cada EEI, é possível dizer quem consumirá o dado e qual decisão ele suporta. EEI sem consumidor não entra na coleta, e o gerente de inteligência é quem aprova, no papel que a nota 04 do capítulo 12 definiu. O erro clássico da fase é um PIR genérico do tipo "entender a ameaça de phishing", que não filtra nada e devolve o exercício ao acúmulo.

4. Fase 2: Coleta, Fontes a Consultar e o que Extrair

A coleta obedece aos EEIs, e a tabela abaixo é o roteiro mínimo, com a atenção operacional de cada fonte:

O produto da fase é o dossiê bruto, e a disciplina que pontua é a proveniência completa: cada linha com fonte, data, TLP da fonte e observação. O volume esperado do cenário é de 40 a 60 domínios, número pequeno de propósito, porque o objetivo do exercício é método e não escala; a nota 08 do capítulo 02 cobre o pipeline quando a escala chegar.

5. Fase 3: Processamento, Normalizar e Deduplicar

O processamento é trabalho de engenharia e é onde a análise a jusante ganha ou perde tempo. O fragmento abaixo executa as três operações do exercício sobre o CSV bruto:

import pandas as pd

bruto = pd.read_csv("coleta_campanha.csv")

# 1. Normalização: remove defang, extrai dominio, minusculas, tira www
bruto["valor"] = bruto["valor"].str.replace(r"[\[\]()]|\s*hxxp", "http", regex=True)
bruto["dominio"] = (bruto["valor"].str.extract(r"(?:https?://)?([^/?#]+)")[0]
                    .str.lower().str.replace(r"^www\.", "", regex=True))

# 2. Deduplicação por dominio, preservando a fonte mais confiável vista
ordem = ["gateway_interno", "openphish", "urlhaus", "phish_tank", "ct_log"]
peso_fonte = {f: i for i, f in enumerate(ordem)}
base = (bruto.assign(_p=bruto["fonte"].map(peso_fonte).fillna(9))
             .sort_values("_p")
             .drop_duplicates(subset=["dominio"])
             .reset_index(drop=True))

# 3. Pontuação de qualidade para priorizar a análise
base["score"] = 1
base.loc[base["fonte"] == "gateway_interno", "score"] += 3  # visto dentro de casa
base.loc[base["idade_dias"] <= 14, "score"] += 2            # infraestrutura jovem
base.loc[base["casa_padrao_nome"] == True, "score"] += 2    # nome casa com a campanha
validados = base[base["score"] >= 4].sort_values("score", ascending=False)

Duas regras do exercício valem produção real. A primeira é que a deduplicação nunca apaga proveniência: quando duas fontes trazem o mesmo domínio, a linha vencedora carrega as duas, e o peso da fonte segue a avaliação de confiabilidade do capítulo 02. A segunda é que pontuação aqui serve apenas a priorizar leitura humana, e não a decidir bloqueio sozinha; o IOC que pontua 8 merece análise, e a decisão de bloqueio é tomada com contexto, como o capítulo 03 exige. O produto final da fase é a base validados, com colunas dominio, fonte, idade_dias, score e observação.

6. Fase 4: Análise, Clustering, ACH e Atribuição Calibrada

O clustering por infraestrutura usa os atributos que não mudam rápido: ASN e provedor de hosting, emissor e janela de certificado, registrar e nameserver, padrão de nome e similaridade da página. O cenário tende a produzir dois clusters, o principal em hosting nacional com certificado Let's Encrypt e nomes com o padrão de palavras, e um secundário de domínios redirecionando para o primeiro, e a descrição do vínculo entre clusters é parte da entrega. Com os clusters em mãos, a atribuição é testada contra hipóteses concorrentes com ACH, no formato da nota 10 do capítulo 05:

A leitura segue a disciplina do ACH: evidência inconsistente é a que mais elimina, e o diagnóstico do cenário tende a favorecer H2, um PhaaS com afiliados nacionais, com o detalhe da página artesanal como sinal de customização pelo afiliado. A saída calibrada usa a gramática da nota 09 do capítulo 05: "com confiança moderada, a campanha é operada sobre um kit de phishing como serviço com afiliados brasileiros; a hipótese de clã dedicado não é descartada e permanece monitorada pela janela de troca de nameservers". Separar fato de inferência em cada frase, conforme a nota 08 do capítulo 05, é critério de pontuação.

7. Fase 5: Disseminação, Relatório Tático com Template

O template dado pelo exercício, que segue o padrão da nota 04 do capítulo 05:

REL-TAC-2025-118 - Campanha de phishing bancário via SMS e boleto falso
TLP:AMBER - destinatários internos e parceiro de prevenção a fraude

1. RESUMO EXECUTIVO
   Cinco linhas: o que está acontecendo, para quem, e a avaliação com
   confiança declarada no fim do parágrafo.

2. AVALIAÇÃO E CONFIANÇA
   Atribuição calibrada com as ressalvas que sustentam a incerteza, e o
   monitoramento definido para a hipótese alternativa.

3. INDICADORES VALIDADOS
   Tabela: Tipo | Valor | Confiança | Validade | Ação sugerida

4. TTPs EM ATT&CK
   T1583.001 (aquisição de domínios), T1566.002 (phishing por link),
   T1036 (mascaramento de artefato), com observação de cada técnica.

5. AÇÕES RECOMENDADAS POR TIME
   Gateway: bloqueio de domínios e padrão de assunto com expiração.
   Antifraude: regra de alerta por canal de saque e orientação a cliente.
   SOC: consulta de caça nos logs de proxy e DNS pelo padrão de nome.
   Comunicação: aviso interno de 3 linhas com exemplo de mensagem.

6. EVIDÊNCIAS E ANEXOS
   Capturas anonimizadas, tabela de domínios, registros de sighting.

O critério de qualidade da disseminação é o consumo, e não a estética: cada time listado na seção 5 precisa conseguir executar sua ação sem ler o relatório inteiro, e o resumo executivo precisa sobreviver sozinho na conversa com a diretoria. A revisão por pares antes do envio verifica os três riscos da nota: inferência sem evidência, indicador sem validade e dado pessoal que não deveria ter saído.

8. Fase 6: Feedback

O feedback mede quatro coisas com fontes simples: o gateway registrou quantos bloqueios por indicador do relatório; o SOC executou a consulta de caça e encontrou, ou não, novo domínio pelo padrão de nome; a antifraude recebeu sighting de cliente bloqueado a tempo; e o monitoramento da hipótese alternativa rendeu, ou não, evidência nova. Cada retorno é registrado como sighting no TIP e realimenta o score da fonte que gerou o indicador, fechando a economia da nota 06 do capítulo 12: contribuição e consumo medidos nas duas direções.

A revisão dos PIRs fecha o exercício com a pergunta que o gerente faz: o relatório respondeu a PIR-2025-041, o alcance mudou com os dados novos, e vale abrir PIR novo para o próximo ciclo? A ata curta da conversa, com decisão documentada, é a entrega da fase, e é o artefato que distingue programa de inteligência de fábrica de relatórios.

9. Tabela de Entregas por Fase

10. Critérios de Avaliação

• Direção antes de coleta: PIRs e EEIs existem e filtram o trabalho; coleta que não cita EEI perde pontos, porque reproduz o vício que o exercício combate.
• Proveniência completa: toda linha do dossiê e todo indicador do relatório têm fonte, data e confiabilidade declaradas, no padrão da nota 06 e 07 do capítulo 02.
• Separação fato de inferência: cada frase de análise distingue o observado do deduzido, e nenhuma atribuição sai sem confiança calibrada e hipótese alternativa nomeada.
• Uso correto do ACH: a matriz elimina por inconsistência, e não por preferência, e a hipótese vencedora é a que sobreviveu, não a mais bonita.
• Disciplina de dado pessoal e TLP: nenhum dado de vítima sai do perímetro, e o rótulo do relatório está no cabeçalho e é executável, na política da nota 06 do capítulo 12.
• Entregas fechadas: a tabela da seção 9 é cumprida em formato e prazo, e o feedback existe como registro escrito, não como impressão verbal.

11. Integração com o Restante da Biblioteca

O exercício é a transposição do ciclo da nota 03 do capítulo 01 em trabalho real, com cada fase puxando a nota técnica que a sustenta: direção nas notas 07 a 10 do capítulo 01, coleta no capítulo 02, processamento nas notas 08 e 09 do capítulo 02, análise no capítulo 05 inteiro, disseminação nas notas 04 e 03 dos capítulos 05 e 09, e feedback na salvaguarda CTI.10 do capítulo 15. O mapeamento de TTPs usa o capítulo 04, e o registro da coleta usa o TIP da nota 04 do capítulo 09.

A ponte com o exercício 01 é deliberada e forma o par de fechamento do capítulo 16: o incidente interno do exercício 01 gera, na sua fase final, exatamente o material de coleta que este exercício consome, e o relatório deste exercício realimenta a detecção do primeiro. O fechamento recomendado é rodar o par em sequência com o mesmo time, registrar em qual fase cada integrante errou por pressa, e transformar o padrão de erro em item do plano de desenvolvimento da nota 05 do capítulo 12, porque exercício que não muda comportamento de trabalho é teatro caro.