THRIVE (Threat Hunting Metodologia CTI-Priorizada)

Nota do Capítulo 23, Frameworks e Metodologias Emergentes.
Apresenta o THRIVE, metodologia que usa CTI para priorizar a fila de caça, com o modelo de pontuação LLMR, Likelihood, Leverage, impactR e Relevance, a organização da fila e a comparação com modelos de hipótese simples.
Dialoga com a nota de Priorização de Hipóteses e o controle TH.5 do capítulo 15, com o capítulo 10 de integração CTI e TH, e com TaHiTI e PEAK desta mesma pasta.

1. Contexto e Posicionamento na Biblioteca

Os frameworks de processo, como o Hunt Loop do capítulo 6 e a TaHiTI desta pasta, ensinam como caçar, mas não respondem à pergunta que consome mais tempo de qualquer time: qual caça fazer primeiro. O THRIVE nasceu exatamente para essa lacuna, colocando a inteligência de ameaças no comando da fila de caça, e propõe que cada hipótese seja pontuada por critérios explícitos derivados do CTI antes de qualquer execução. O resultado é uma fila priorizada, defensável perante a liderança e capaz de mostrar por que um tema foi escolhido e outro aguardou.

O posicionamento na biblioteca é o de elo de priorização entre produção de inteligência e execução de caça. A nota de priorização de hipóteses do capítulo 15 define o hábito de ordenar; o THRIVE fornece o modelo de pontuação formal que sustenta essa ordem, e as notas de TaHiTI e PEAK desta pasta mostram processos que podem consumir uma fila THRIVE como entrada. A comparação final desta nota deixa claro o ganho frente a filas por ordem de chegada ou por intuição.

2. O Problema que o THRIVE Ataca

Times de hunting acumulam hipóteses mais rápido do que executam, e sem critério de prioridade a fila vira pilha. O comportamento padrão em times sem modelo formal é escolher a caça por três razões ruins: novidade, porque o relatório desta semana impressiona; conforto, porque a consulta é fácil de escrever; e pressão, porque um executivo leu uma manchete. Nenhuma dessas razões conecta o esforço de caça ao risco real da organização, e o custo aparece em duas formas: horas de sênior gastas em temas irrelevantes e vetores críticos do adversário esperando meses na fila.

O THRIVE propõe inverter a lógica: a fila de caça é preenchida pelo ciclo de inteligência, e cada hipótese carrega uma pontuação que reflete ameaça atual, reaproveitamento de capacidades, impacto potencial e alinhamento com o negócio. A pontuação não substitui o julgamento do hunter, ela o alimenta com material comparável, e transforma a conversa de priorização em discussão sobre os fatores, e não sobre preferências pessoais.

3. Os Quatro Fatores do LLMR

O coração do THRIVE é o modelo LLMR, quatro fatores pontuados por hipótese, cada um respondendo a uma pergunta diferente sobre a caça candidata. A tabela a seguir define os fatores, a pergunta central de cada um e as evidências típicas usadas na pontuação, em escala prática de 1 a 5.

O Likelihood é o fator de CTI por excelência, e pontua-se alto quando atores com histórico de mira no setor usam a técnica com métodos conhecidos e observáveis. O Leverage é o fator de engenharia, e premia caças que deixam ativo permanente: um analytics genérico de execução suspeita de binários renomeados rende mais que uma caça de IOC único, porque se estende a futuras hipóteses. O impactR concentra o refinamento de risco, o R do nome, ao ponderar o impacto bruto pela criticidade dos ativos no alcance da caça, evitando que fenômenos de impacto teórico alto dominem a fila quando ocorrem em ativos marginais. O Relevance fecha o ciclo com a estratégia, garantindo que a fila sirva aos requisitos de inteligência e não apenas à curiosidade técnica.

Na prática, os fatores são pontuados em sessão curta de calibração, com dois ou três analistas por hipótese, e a divergência maior que dois pontos em qualquer fator é o gatilho de discussão, porque expõe leituras diferentes da mesma intelligence. A soma simples dos quatro fatores produz escore de 4 a 20, e times com histórico podem ponderar, tipicamente reforçando Likelihood e impactR, desde que a ponderação seja fixa e documentada, para que filas de períodos distintos sejam comparáveis.

3.1 Escala de pontuação em operação

A escala de 1 a 5 precisa de significado ancorado, porque número sem âncora degrada para opinião rotulada. A tabela a seguir oferece a âncora genérica por nota, que cada time adapta ao seu setor, e serve para os quatro fatores, com a evidência específica mudando a justificativa e não a escala.

O ancoramento evita o vício de escore inflado, comum quando o mesmo analista que propôs a hipótese também pontua sem referência, e por isso a calibração com terceiro é parte do método. Quando a inteligência disponível não sustenta distinguir entre notas vizinhas, o registro da pontuação assume a nota intermediária com a observação de incerteza, prática coerente com o tratamento de incerteza do capítulo 5 da biblioteca.

4. Como o THRIVE Organiza a Fila de Caça

O THRIVE organiza a fila como um fluxo contínuo de entrada, pontuação, execução e retorno, e não como um projeto trimestral. A entrada recebe hipóteses de todas as fontes da biblioteca: relatórios de CTI lidos pela equipe, lacunas de cobertura ATT&CK do capítulo 18, lições de incidentes do capítulo 13, achados de red teaming e sugestões de caça exploratória. Cada hipótese entra como ticket com formato mínimo fixo, técnica ATT&CK candidata, dados necessários, fonte da motivação e responsável pela proposta, e a pontuação LLMR acontece em cadência semanal ou quinzenal, com a fila ordenada pelo escore final.

A execução puxa da fila o topo, respeitando a restrição prática de dados disponíveis, porque hipótese sem telemetria precisa primeiro de trabalho de coleta conforme os controles DAT do capítulo 15. O retorno é o que fecha o modelo: cada caça executada devolve ao CTI o que aprendeu, confirmação ou refutação de presença da técnica, novos indicadores, novas lacunas, e essa realimentação alimenta a próxima rodada de pontuação, conectando a nota ao capítulo 10 de integração entre CTI e TH. Hipóteses pontuadas mas não executadas não se perdem, permanecem na fila com data da pontuação e são reavaliadas quando intelligence nova muda o Likelihood ou o Relevance.

O ciclo completo da fila, em operação semanal, segue a sequência abaixo, com donos e critérios de saída por passo, formato que o time pode transportar direto para o seu quadro de tarefas.

1. Entrada: qualquer analista abre ticket de hipótese com fonte, técnica candidata e dados necessários, e o ticket entra na fila de pontuação.
2. Pontuação: sessão de quinze a trinta minutos pontua LLMR com dois ou três analistas, registra justificativas e ordena a fila pelo escore.
3. Verificação de viabilidade: o topo da fila é checado contra o inventário de dados, e hipóteses sem telemetria voltam com requisito de coleta aberto.
4. Execução: a caça roda com prazo e dono definidos, consumindo o processo das demais notas desta pasta conforme o desenho adotado pelo time.
5. Registro do resultado: veredito, evidências e ativos produzidos entram no ticket, com destino de cada ativo explicitado.
6. Realimentação: o resultado alimenta a próxima sessão de pontuação, ajustando Likelihood e Relevance das hipóteses correlatas da fila.

A cadência semanal costuma ser o ponto de equilíbrio inicial, com sessões de trinta minutos e três a cinco pontuações por rodada, porque filas muito longas incentivam pontuação relaxada e filas curtas demais indicam entrada fraca de hipóteses. O indicador de saúde da fila não é o número de itens, e sim a proporção de itens executados por ciclo, com meta típica entre vinte e quarenta por cento, e qualquer queda persistente dessa proporção sinaliza gargalo de execução e não de priorização.

5. Exemplo de Pontuação LLMR de uma Hipótese

Considere a hipótese: uso de comsvcs.dll com argumento MiniDump para dump de LSASS em servidores de aplicação financeira, técnica T1003.001, motivada por relatório recente de campanhas de roubo de credenciais contra o setor. A pontuação em sessão de calibração produziu a tabela a seguir.

Uma hipótese concorrente, caça de hashes específicos de um loader visto em campanha internacional sem alvo conhecido do setor, pontuou Likelihood 2, Leverage 2, impactR 3 e Relevance 2, total 9, e ficou na fila para reavaliação, porque o escore diz onde começa, não onde termina. O contraste ilustra o ganho do modelo: sem LLMR, a campanha internacional seria caçada primeiro pela novidade, e o dump de credenciais em servidores financeiros esperaria a folga que nunca chega. O registro da hipótese aprovada, no formato de ticket adotado pelo time, segue abaixo.

ticket: HUNT-2026-014
hipotese: >
  Uso de comsvcs.dll com argumento MiniDump para dump de LSASS
  em servidores de aplicacao financeira.
tecnica_candidata: T1003.001
fonte: relatorio de campanha de roubo de credenciais no setor, semana 2
dados_necessarios:
  - telemetria de linha de comando de processos (EDR)
  - eventos de acesso a processo lsass.exe
pontos_llmr:
  likelihood: 5
  leverage: 4
  impactr: 5
  relevance: 4
escore: 18
dono: hunter senior do turno B
prazo_execucao: 5 dias uteis
resultado: pendente

O ticket é deliberadamente mínimo, e a única regra rígida é que nenhum campo fique sem resposta, porque campo vazio hoje é discussão perdida na execução. Times que usam quadros de tarefas genéricos transportam exatamente estes campos para as colunas, e times que documentam em repositório versionam o ticket junto com o resultado, permitindo a análise histórica de calibração que compara escores de períodos distintos.

6. Comparação com Modelos de Hipótese Simples

O ganho do THRIVE fica evidente quando colocado lado a lado com as práticas simplificadas que substitui. A tabela compara as três formas comuns de decidir o que caçar.

O modelo simples de hipótese SE-ENTÃO, tratado no capítulo 15, continua sendo a forma correta de escrever a hipótese individual; o THRIVE não substitui a redação, ele ordena a fila de hipóteses já redigidas. Da mesma forma, a TaHiTI desta pasta organizará o processo de execução em fases, e o PEAK organizará o portfólio de experiências, e ambos podem consumir uma fila priorizada por LLMR como entrada, o que torna o THRIVE o companheiro natural de qualquer dos dois. A divisão de trabalho entre os modelos é, portanto, compatível por construção: redigir com SE-ENTÃO, priorizar com LLMR, executar com TaHiTI ou PEAK, e medir com as métricas do capítulo 11.

A limitação honesta do modelo é que ele depende da maturidade do CTI: sem avaliação de atores, sem prevalência de técnicas e sem PIRs documentados, Likelihood e Relevance viram opinião com aparência de número. Nesses ambientes, a sequência correta é amadurecer requisitos e fontes primeiro, com o capítulo 1 e o capítulo 2, e adotar o LLMR com escala simplificada de três níveis enquanto o acervo de inteligência cresce. A transição gradual tem um benefício adicional, que é treinar o hábito de justificar pontuação antes que o modelo formal exija, e times que começam pela escala simples raramente retrocedem para fila sem critério.

7. Erros Comuns e Pontos de Atenção

A aplicação do LLMR degrada de formas previsíveis, e os padrões a seguir resumem os desvios observados em times reais:

• Pontuar pelo escore final sem registrar justificativa, o que destrói a auditabilidade e transforma a fila em ranking arbitrário com aparência científica.
• Fator Leverage ignorado, com fila dominada por caças de IOC único que nada deixam para a próxima semana.
• Ponderação mutante, com pesos diferentes a cada rodada para favorecer temas em moda, inviabilizando comparação histórica.
• Sessão de pontuação sem CTI presente, com hunter pontuando Likelihood por sensação, exatamente o vício que o modelo existe para evitar.
• Fila priorizada sem realimentação, com refutações e confirmações não voltando ao CTI, e o Likelihood das próximas rodadas repetindo os mesmos erros.
• Caça pontuada mas sem dono, hipóteses ficam eternamente no topo da fila porque ninguém executa, e o escore vira decoração do backlog.

O ponto de atenção estrutural é manter o modelo proporcional ao time: quatro fatores com escala de três níveis e sessão de trinta minutos por quinzena já produzem o efeito principal, que é tornar a escolha de caça uma decisão de inteligência comparável, e não um hábito de agenda.

8. Integração com o Restante da Biblioteca

A nota de Geração de Hipóteses do capítulo 7 fornece a matéria-prima que o LLMR ordena, e a nota de Priorização de Hipóteses e o controle TH.5 do capítulo 15 definem o hábito que esta nota formaliza com modelo de pontuação. O capítulo 5, nas notas de scoring e priorização de CVSS e EPSS, mostra a mesma filosofia aplicada a vulnerabilidades, e o capítulo 10 documenta o ciclo de realimentação que fecha o modelo.

Dentro do capítulo 23, a TaHiTI e o PEAK oferecem processos de execução que consomem a fila THRIVE, e o OTHF mostra como terceirizar parte da execução mantendo a priorização interna, porque a fila é a parte que nunca deve sair da organização. O exercício de caça baseada em hipótese do capítulo 16 é o ambiente ideal para calibrar a primeira sessão LLMR do time, com hipóteses conhecidas e resultado medido.