Transformação de Análise Técnica em Inteligência

Nota 09 do capítulo 25, que fecha o capítulo convertendo as análises das notas anteriores em produtos de inteligência.
O foco é o que extrair de uma análise técnica, como agregar em campanha e como escrever o relatório tático com BLUF.
Dialoga com o capítulo 05 (relatórios, agrupamento, incerteza), com o capítulo 18 (deteções derivadas) e com o ciclo de inteligência do capítulo 01.

1. Contexto e Posicionamento na Biblioteca

Uma análise técnica bem executada ainda não é inteligência: a regra YARA que casa com 11 amostras, o relatório da sandbox que confirma exfiltração e a tabela de cabeçalhos que documenta um spoof são insumos brutais de qualidade, mas não respondem à pergunta que a organização fez quando financiou o time de CTI. A inteligência nasce quando os insumos são agregados, avaliados com confiança declarada e entregues a um consumidor em formato que sustenta uma decisão: bloquear, caçar, corrigir ou aceitar o risco. Esta nota formaliza essa transformação e fecha o capítulo 25 amarrando as oito notas anteriores ao ciclo de inteligência do capítulo 01.

A nota cobre três movimentos em sequência: o que extrair de cada tipo de análise, como agregar o extraído em uma campanha identificável e como escrever o produto final, o relatório tático com BLUF. O exemplo da seção 7 executa o movimento completo sobre o caso fictício SombraStealer que atravessa as notas 01 a 05, transformando o acervo técnico do caso LDR-2026-0142 no documento de campanha CAMP-2026-0119. O capítulo 05 fornece as bases conceituais, agrupamento, relatórios e expressão de incerteza, e aqui o objetivo é a execução ponta a ponta sobre material real de análise.

2. O que Extrair de uma Análise Técnica

Cada nota do capítulo produz extratos específicos, e o analista de inteligência precisa saber dizer, para cada insumo, qual é o seu lugar na pirâmide de dor e qual consumidor o usa. A lista abaixo organiza as cinco categorias de extração que devem estar presentes em praticamente todo documento de campanha.

• IOCs endereçáveis: hashes, IPs, domínios, URLs, endereços de e-mail e assinaturas de campanha, com idade, fonte e contexto de observação registrados.
• TTPs mapeadas em ATT&CK: técnicas e subtécnicas observadas com evidência, separando o confirmado do plausível, conforme a avaliação de confiança do capítulo 05.
• Infraestrutura agrupável: ASN, provedores de hosting recorrentes, padrões de geração de domínios, emissores de certificado e times de registro, que sustentam correlação entre campanhas.
• Identidade da campanha: identificador próprio, tema da isca, setor alvo, janela temporal e escopo de destinatários estimado.
• Avaliações com confiança: as inferências do analista, afiliação de grupo, potencial de escalada, relação com outras campanhas, expressas com nível de confiança e fatos de sustentação.

A disciplina da extração é separar fatos de inferências, conceito tratado na nota 08 do capítulo 05: o hash é fato, a afiliação à gangue é inferência, e o documento que mistura os dois sem marcador perde credibilidade na primeira contestação. A segunda disciplina é o registro de proveniência: cada item extraído carrega a nota de origem, a ferramenta usada e a data, permitindo revisão e atualização sem reconstrução do raciocínio.

A tabela abaixo vincula cada categoria de extração a um exemplo concreto do caso do capítulo e ao consumidor típico, servindo de roteiro de montagem do documento.

3. Agregação em Campanha

A agregação transforma itens isolados em uma entidade coerente com identificador próprio, e o gatilho típico é a convergência: a mesma família de malware, o mesmo padrão de isca ou a mesma infraestrutura aparece em observações independentes. A prática profissional usa o agrupamento por clustering da nota 01 do capítulo 05, com apoio na análise de links e na linha do tempo da nota 03 daquele capítulo, e o resultado é o registro de campanha que passa a existir no TIP com objetos STIX próprios, indicator, relationship, intrusion-set e malware conectados.

A convenção de identificadores precisa ser decidida uma vez e aplicada sempre: um prefixo de organização, o ano e um número sequencial, como CAMP-2026-0119, com apelido legível para comunicação interna. Cada registro de campanha mantém a linha do tempo das observações, a infraestrutura com sua série temporal, as TTPs confirmadas e as pendentes de confirmação, e o vínculo com os casos de origem, o LDR-2026-0142 no exemplo deste capítulo. O teste de qualidade da agregação é simples: um analista que nunca viu o caso precisa reconstruir a campanha inteira a partir do registro, sem conversar com quem a produziu.

A classificação TLP da agregação merece decisão explícita: o registro de campanha em construção costuma ser TLP:AMBER+STRICT dentro da equipe, sobe para TLP:RED nas avaliações sensíveis de afiliação e é degradado para TLP:CLEAR na versão compartilhada com a comunidade, com os indicadores revisados. A decisão de compartilhar é analítica e não automática, e segue a política de governança do capítulo 22. Cada mudança de classificação é registrada no histórico do documento, porque o contexto de compartilhamento é parte da evidência.

4. Relatório Forense versus Relatório de Inteligência

Os dois produtos coexistem e se confundem com frequência, porque usam o mesmo material, mas respondem a perguntas diferentes e para públicos diferentes. O relatório forense documenta o caso individual com o rigor da cadeia de custódia; o relatório de inteligência agrega casos, avalia e recomenda, com o rigor da expressão de incerteza. A tabela abaixo fixa as diferenças operacionais.

O erro prático mais comum é entregar o relatório forense ao consumidor de inteligência, e o inverso é igualmente grave, porque a liderança não consegue agir sobre um dump de observações e o time de IR não consegue operar um documento cheio de avaliações sem evidência. A solução é o vínculo explícito: o documento de campanha referencia os relatórios forenses dos casos de origem, e cada avaliação do documento aponta para a evidência técnica que a sustenta.

5. BLUF e a Estrutura da Nota Tática

BLUF, Bottom Line Up Front, é a convenção que abre o documento com a conclusão principal e a recomendação, antes de qualquer narrativa, e existe porque o consumidor tático decide em minutos. A nota tática que segue o BLUF se estrutura em conclusões principais, cada uma com confiança declarada, evidência de sustentação e implicação prática, seguidas dos indicadores, das TTPs e das deteções associadas. A expressão de confiança segue o vocabulário da nota 09 do capítulo 05, com alta, média e baixa ancoradas em critérios explícitos de quantidade e qualidade de evidência.

A linguagem estimativa completa a estrutura: "provavelmente", "com confiança média" e "não descartamos" têm significado operacional e não são ornamento. Uma avaliação de afiliação escrita como "o padrão de infraestrutura sugere afiliação ao ecossistema X, com confiança média porque o provedor de envio é compartilhado entre atores" é útil e contestável; a mesma frase sem o nível de confiança é retórica. O template da seção 6 embute essa disciplina na estrutura do documento.

As conclusões principais da nota tática seguem o padrão de julgamento encadeado abaixo, e cada linha admite contestação com evidência.

• Conclusão redigida como frase completa avaliativa, e não como título de tópico.
• Nível de confiança declarado com o critério objetivo que o sustenta.
• Evidência de origem vinculada, com nota técnica e caso de referência.
• Implicação prática explícita, dizendo ao consumidor o que a conclusão muda na operação.

6. Template de Documento de Campanha

O template abaixo é o esqueleto mínimo de um documento de campanha tático, com as seções na ordem de leitura que o consumidor espera, do veredito à evidência. Ele deve viver no repositório da equipe como artefato versionado, e cada seção admite o link direto para os objetos STIX e para os casos de origem.

# Documento de Campanha CAMP-2026-0119

Identificação
- Nome: CAMP-2026-0119 (SombraStealer, tema fiscal, setor logístico)
- Classificação: TLP:AMBER+STRICT
- Data de emissão e revisão: 2026-01-23, revisão 1
- Analista responsável e revisor

BLUF
- Parágrafo único com a conclusão principal, a recomendação e a confiança.

Conclusões principais
1. Conclusão + confiança + evidência de sustentação + implicação.
2. Conclusão + confiança + evidência de sustentação + implicação.
3. Conclusão + confiança + evidência de sustentação + implicação.

TTPs observadas (ATT&CK)
- T1566.002 Phishing: Spearphishing Link, com evidência dos saltos e da isca
- T1204.001 User Execution: Malicious Link
- T1555.003 Credentials from Password Stores
- T1567.002 Exfiltration to Cloud Storage

Infraestrutura e indicadores
- Tabela de domínios, IPs, certificados e identificadores de campanha
- Série temporal e padrão de geração de infraestrutura

Deteções e coberturas
- Regras YARA, Sigma e consultas associadas, com status de implantação

Avaliação e lacunas
- O que não se sabe, o que monitorar e os PIRs que a campanha abre

Próximos passos
- Ações por consumidor: SOC, deteção, risco, jurídico

7. Exemplo: da Análise YARA e Sandbox à Nota de Campanha

O caso LDR-2026-0142 chegou como amostra denúncia, passou pela esteira das notas 01 a 05 e terminou com um acervo técnico rico: a regra SombraStealer_Familia da nota 05 casou com 11 amostras no retrohunt, a sandbox da nota 03 confirmou exfiltração para canal de mensageira e captura de cofres de senha, a nota 04 decifrou o bloco de configuração com 9 servidores C2 e o Build ID 2.4.1, e as denúncias de origem somavam 47 organizações do setor logístico com tema de e-mails fiscais. A tabela abaixo mostra a transformação de cada insumo técnico em componente do documento de campanha.

O BLUF resultante, escrito a partir do acervo, exemplifica o tom esperado da seção 5.

BLUF: Em janeiro de 2026, a campanha CAMP-2026-0119 distribuiu o stealer
SombraStealer por e-mails de tema fiscal a 47 organizações do setor logístico
brasileiro, com 11 amostras correlacionadas por retrohunt da regra de família
e 9 servidores C2 mapeados na série temporal de infraestrutura. Confiança alta
nos indicadores e na mecânica de distribuição; confiança média na afiliação a
um único grupo, porque a plataforma de envio é compartilhada entre campanhas
de phishing. Recomendação: confirmar varredura YARA no parque, validar
telemetria de acesso aos 9 C2 e reforçar orientação sobre anexos fiscais.

8. Erros Comuns e Pontos de Atenção

O erro fundacional é publicar a análise técnica com título de inteligência: uma lista de hashes com parágrafo de contexto não é documento de campanha, e o consumidor percebe na ausência de avaliações com confiança. O erro simétrico é avaliar sem evidência, afirmando afiliação e intenção sem marcar inferência, o que expõe a equipe na primeira disputa analítica. Ambos se resolvem com a separação de fatos e inferências e com o vínculo explícito entre avaliação e evidência de sustentação.

Completam a lista os itens abaixo.

• Esquecer a proveniência dos indicadores, impossibilitando a atualização da campanha quando a evidência evolui.
• Agregar por similaridade superficial, como tema de isca, sem conferir infraestrutura e comportamento, criando campanha-fantasma.
• Deixar a campanha sem linha do tempo, perdendo a ordem de eventos que sustenta a narrativa e a priorização.
• Enviar o documento sem BLUF para o consumidor executivo, que não lê dez páginas para encontrar a recomendação.
• Não atualizar o documento quando o retrohunt traz amostras novas, deixando o registro de campanha congelado no primeiro dia.

• Fechar a campanha sem registrar as lacunas de conhecimento, desperdiçando os PIRs que a própria campanha abriu.

• Usar nome improvisado para cada nova variante, fragmentando o registro e perdendo a correlação acumulada.

• Escrever o documento em linguagem forense de observação, sem a camada avaliativa que o consumidor de inteligência precisa.

9. Integração com o Restante da Biblioteca

Os produtos desta nota abastecem consumidores em todas as direções da biblioteca: as deteções vão para o capítulo 18 como detection as code, a infraestrutura alimenta a análise do capítulo 03 e o agrupamento do capítulo 05, as TTPs priorizam hipóteses de caça no capítulo 06 e o framework CTH conecta o conjunto nos controles CTI.6, CTI.7 e CTI.8 do capítulo 15, que cobrem análise, produção e disseminação segmentada. O capítulo 02 detalha os níveis de inteligência, e o documento de campanha aqui templateado é o produto tático por excelência, com a nota estratégica derivada quando a campanha evidencia tendência de mercado. A nota 01 do capítulo 26 abre o próximo capítulo aplicando o mesmo ciclo ao ambiente de cloud, e o princípio que atravessa a mudança é o mesmo que rege esta nota: inteligência é insumo técnico avaliado, agregado e entregue a quem decide.