02 - Glossário de CTI e Threat Hunting

video explicativo

Video explicativoEspaco reservado para o video desta anotação — adicione video: https://youtu.be/... no frontmatter da nota.

Glossário de CTI e Threat Hunting

Nota 02 do capítulo 27 - Governança da Biblioteca de CTI. Compila o vocabulário técnico compartilhado pelas demais notas da biblioteca, com mais de 110 termos de CTI, Threat Hunting, detecção e compartilhamento, cada um com definição funcional de uma a duas frases.
Serve de referência rápida durante a leitura de qualquer capítulo e como contrato terminológico para quem escreve notas novas, evitando que o mesmo conceito receba nomes diferentes em capítulos distantes.
Complementa o mapa da biblioteca (01), o índice de frameworks e padrões (03), que detalha cada framework com mais profundidade, e o catálogo de fontes (04), de onde muitos termos técnicos se originam.

1. Contexto e Posicionamento na Biblioteca

Terminologia inconsistente é um dos defeitos silenciosos mais custosos em bibliotecas técnicas: quando IOC e indicador técnico significam coisas diferentes em capítulos distintos, o leitor acumula dúvidas em vez de conhecimento, e discussões entre analistas perdem tempo em disputa de palavras em vez de substância. Este glossário consolida o vocabulário usado nas mais de 350 notas da biblioteca em um único ponto de consulta, com definições curtas, funcionais e alinhadas ao uso que os capítulos fazem de cada termo. O objetivo não é dicionarístico, mas operacional: cada definição deve permitir decidir se o termo se aplica à situação que o leitor está analisando.

O critério de seleção priorizou termos que aparecem em mais de um capítulo, siglas consagradas mantidas em inglês, técnicas de caça com nome próprio e conceitos de doutrina de inteligência herdados da contrainteligência clássica. Termos que pertencem a um único capítulo e são definidos na própria nota, como as salvaguardas do Framework CTH, ficaram de fora para não transformar o glossário em índice duplicado, e frameworks completos são descritos na nota 03 deste mesmo capítulo com o que fazem e onde aparecem.

2. Convenções de Redação e Uso do Glossário

Cada verbete segue o mesmo molde para que a consulta seja previsível: a primeira frase entrega a essência técnica do termo e a segunda, quando existe, indica uso prático ou referência de capítulo da biblioteca. Siglas consagradas em inglês permanecem em inglês, com o significado expandido no verbete, e conceitos que têm tradução consolidada em português são registrados no nome em português com o termo original entre parênteses. A manutenção segue a cadência trimestral do capítulo: termo novo entra quando aparece em três ou mais notas sem definição própria, e verbete existente só é alterado com justificativa registrada na sessão de governança.

As tabelas abaixo agrupam os termos por faixa alfabética, em ordem alfabética interna, para que a busca visual seja rápida e a manutenção não exija renumerar seções inteiras.

3. Termos A a E

Termo	Definição
ACH	Analysis of Competing Hypotheses, método de análise estruturada que tabula evidências contra múltiplas hipóteses e força a refutação explícita; base das análises de atribuição e das caças disciplinadas do capítulo 05.
ADS	Alerting and Detection Strategy, formato de documentação de detecção que registra objetivo, telemetria, fase ATT&CK e critério de aposentadoria; referência adotada no capítulo 18.
APT	Advanced Persistent Threat, adversário com recursos, organização e objetivos sustentados no tempo, tipicamente vinculado a Estados; o termo qualifica o grupo operador, e não o malware que ele usa.
ASN	Autonomous System Number, identificador do bloco de redes anunciado por uma organização no roteamento global; usado para agrupar e atribuir infraestrutura adversária no capítulo 03.
ATT&CK	Matriz do MITRE que cataloga táticas, técnicas e subtécnicas observadas em adversários reais, nas edições Enterprise, Mobile e ICS; espinha dorsal de mapeamento de toda a biblioteca.
ATLAS	Matriz do MITRE que cataloga ataques adversários contra sistemas de IA e machine learning, o análogo do ATT&CK para o domínio de modelos; detalhada no capítulo 17.
BAS	Breach and Attack Simulation, execução automatizada e contínua de cenários de ataque para validar se os controles respondem como deveriam; coberto no capítulo 19.
Barium Meal	Técnica de caça que cruza múltiplos conjuntos de dados de baixa fidelidade, como processos raros, conexões incomuns e agendamentos, para revelar o adversário que passaria por qualquer filtro isolado.
Beaconing	Comunicação periódica de um host comprometido com servidor de comando e controle, visível como regularidade de intervalos em DNS, HTTP ou TLS; alvo clássico de caça no capítulo 08.
C2	Command and Control, canal pelo qual o adversário conduz a sessão de ataque, envia comandos e recebe dados; sua interrupção é um dos objetivos centrais da detecção.
CERT.br	Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil, responsável por avisos, estatísticas e coordenação de incidentes no país; fonte primária catalogada na nota 04.
CISA	Agência federal de cibersegurança dos Estados Unidos, autora dos advisories da série AA com IOCs, YARA e regras Snort; fonte primária de alertas em português técnico indireto.
CSIRT	Computer Security Incident Response Team, equipe formal de resposta a incidentes de uma organização, setor ou país; a diferença para o SOC é o escopo de mandato.
CTI	Cyber Threat Intelligence, inteligência de ameaças cibernéticas: produção de conhecimento acionável sobre adversários, obtida pela coleta, processamento e análise de dados com requisitos explícitos.
CTEM	Continuous Threat Exposure Management, programa contínuo de gerenciamento de exposição com fases de escopo, descoberta, priorização, validação e mobilização; coberto no capítulo 21.
CVSS	Common Vulnerability Scoring System, sistema de pontuação base de severidade técnica de vulnerabilidades; a biblioteca o combina com EPSS e contexto de ameaça, como detalha a nota 05 do capítulo 05.
DaC	Detection as Code, prática de versionar, testar e publicar detecções por pipeline automatizado, com revisão de código e integração contínua; núcleo do capítulo 18.
DFIR	Digital Forensics and Incident Response, disciplina que combina forense digital e resposta a incidentes; ferramentas e frameworks associados aparecem nos capítulos 09 e 24.
Diamond Model	Modelo de análise de intrusão que descreve cada evento adversário pelos quatro vértices de adversário, capacidade, infraestrutura e vítima; nota 02 do capítulo 04.
DNS Passivo	Registro histórico de resoluções de domínio observadas por redes de sensores, usado para mapear infraestrutura e correlacionar domínios por co-resolução.
D3FEND	Matriz do MITRE de contramedidas defensivas mapeadas contra as técnicas do ATT&CK; auxilia a justificar controles a partir da técnica adversária que eles impedem.
Dwell Time	Tempo decorrido entre o comprometimento inicial e a detecção do adversário; métrica central dos capítulos de resposta a incidentes e do argumento econômico do hunting.
EASM	External Attack Surface Management, gestão contínua da superfície de ataque externa visível ao adversário, descoberta, classificação e monitoramento de ativos expostos.
EDR	Endpoint Detection and Response, plataforma de telemetria e resposta em endpoints, com coleta de processos, arquivos, rede e resposta à distância; base de telemetria dos capítulos 08 e 09.
EEI	Essential Element of Information, informação essencial que a operação precisa para decidir, herdada da doutrina militar de inteligência; definida na nota 09 do capítulo 01.
EPSS	Exploit Prediction Scoring System, probabilidade diária de uma vulnerabilidade ser explorada no mundo real; usada com CVSS e KEV na priorização de remediação.
Exfiltração	Transferência não autorizada de dados para fora do perímetro controlado, geralmente a fase final da intrusão; caças por volume e horário atípico no capítulo 08.

4. Termos F a J

Termo	Definição
Falsos Negativos	Intrusões reais que a detecção não sinaliza; o risco mais caro do programa, porque permite que o adversário prossiga sem pressão.
Falsos Positivos	Alertas que sinalizam atividade inofensiva como maliciosa; consomem tempo de triagem e corroem a confiança no sistema de detecção.
Feed	Serviço de distribuição recorrente de indicadores técnicos, geralmente por STIX, TAXII ou listas simples; a biblioteca insiste que feed sem contexto não é inteligência.
Fidelidade	Grau com que uma detecção, hipótese ou indicador distingue atividade adversária de atividade legítima; conceito central da Pirâmide de Dor e do capítulo 18.
FIRST	Fórum internacional de equipes de resposta a incidentes, mantenedor do TLP 2.0 e do IEP, política de compartilhamento de inteligência; referência dos capítulos 12 e 22.
GAP de Cobertura	Técnica do ATT&CK relevante para a organização sem detecção, telemetria ou caça associada; insumo primário da priorização no capítulo 18.
Golden Ticket	Falsificação do ticket de serviço Kerberos (TGT) usando o hash da conta KRBTGT, que concede acesso amplo ao domínio; caça de identidade clássica no capítulo 08.
Grouping	Técnica de caça que busca eventos com valores compartilhados, como mesmo hash, certificado ou mutex, para agrupar atividade relacionada; descrita no capítulo 15.
Heatmap de Cobertura	Visualização por camadas do ATT&CK Navigator que marca táticas e técnicas com detecção, telemetria ou caça associada; metodologia do capítulo 15 e 20.
HMM	Hunting Maturity Model, escala de cinco níveis, de HM0 a HM4, que mede quanto uma organização caça a partir de dados próprios e hipóteses; aplicada na nota 05 do capítulo 06.
Honeypot	Recurso falso deliberadamente exposto para detectar, atrasar ou estudar o adversário; forma de armadilha de contra-inteligência discutida no capítulo 13.
Hunt Loop	Ciclo iterativo de caça que conecta hipótese, coleta, análise, resposta e documentação, alimentando a próxima iteração; formalizado na nota 04 do capítulo 06.
Hunter	Profissional que busca ativamente adversários já presentes no ambiente, sem alerta prévio, combinando dado, hipótese e repertório técnico; perfil descrito na nota 03 do capítulo 06.
IOC	Indicator of Compromise, evidência técnica observável de comprometimento, como hash, IP, domínio ou URL; objeto central do capítulo 03.
IOA	Indicator of Attack, sinal de intenção e progressão adversária, como sequência de comportamentos, que antecede o comprometimento consumado.
IOB	Indicator of Behavior, comportamento observável do adversário em nível mais abstrato que o IOA, útil quando a infraestrutura muda, mas o procedimento persiste.
IOE	Indicator of Exposure, indicador de exposição da própria organização, como serviços expostos e configurações inseguras, que antecipa caminhos de ataque; ponte com EASM.
IR	Incident Response, processo estruturado de preparação, detecção, contenção, erradicação, recuperação e lições aprendidas; integrado à CTI no capítulo 15.
ISAC	Information Sharing and Analysis Center, comunidade setorial de compartilhamento de inteligência, como FS-ISAC e Health-ISAC; cobertura no capítulo 22.
JA3	Fingerprint TLS de cliente composto por versão, cipher suites e extensões, que identifica ferramenta ou malware mesmo com mudança de IP.
JA4	Sucessor do JA3 com ordenação determinística e leitura estruturada, com variantes como JA4S e JA4H para servidores e HTTP; mais estável para caça em TLS.

5. Termos K a O

Termo	Definição
KEV	Known Exploited Vulnerabilities, catálogo do CISA de vulnerabilidades com exploração confirmada em ambiente real; presença no KEV eleva a prioridade de remediação.
Kill Chain	Cyber Kill Chain da Lockheed Martin, modelo de sete elos que decompõe a intrusão em etapas, de reconhecimento a ações sobre objetivos; nota 03 do capítulo 04.
KPI	Key Performance Indicator, métrica-chave de desempenho de um programa; os de CTI e hunting estão no capítulo 11.
KQL	Kusto Query Language, linguagem de consulta de plataformas como Microsoft Sentinel e Defender; usada em dezenas de exemplos práticos da biblioteca.
LGPD	Lei Geral de Proteção de Dados, marco legal brasileiro de proteção de dados pessoais; condiciona coleta, retenção e compartilhamento de indicadores com dado pessoal.
LLM	Large Language Model, modelo de linguagem de grande escala usado para enriquecimento, extração de TTPs e automação de CTI; capítulo 17 inteiro dedicado.
LOTL	Living-off-the-Land, uso de ferramentas nativas do sistema pelo adversário, como PowerShell e WMI, dificultando detecção baseada em binário estranho.
MICE	Modelo de contra-inteligência que classifica as motivações de recrutamento e traição: Money, Ideology, Coercion e Ego; aplicado à análise de insider threat no capítulo 13.
MISP	Malware Information Sharing Platform, plataforma open source de compartilhamento e correlação de indicadores, com eventos, objetos e distribuição por TLP; notas do capítulo 22.
MITRE	Organização de pesquisa que mantém ATT&CK, ATLAS, D3FEND e as avaliações de emulação de adversários; origem de grande parte do vocabulário da biblioteca.
Masquerading	Técnica de disfarce em que o adversário nomeia ou empacota artefatos para parecerem legítimos, como binário malicioso com nome de serviço do sistema.
Movimento Lateral	Expansão do adversário de um ponto inicial para outros hosts, com PSExec, WMI, RDP ou protocolos remotos; alvo de caças dedicadas no capítulo 08.
MTTD	Mean Time to Detect, tempo médio de detecção de incidentes; componente do dwell time e KPI recorrente dos capítulos 11 e 15.
MTTR	Mean Time to Respond ou to Restore, tempo médio de resposta ou recuperação; complementa o MTTD no painel executivo.
NDR	Network Detection and Response, plataforma de detecção e resposta em rede, com análise de tráfego, metadados e comportamento; complemento do EDR no capítulo 15.
NIST	Instituto nacional de padrões e tecnologia dos Estados Unidos, autor do CSF 2.0 e da série SP 800, incluindo a 800-61 de resposta a incidentes.
NXDOMAIN	Resposta DNS para domínio inexistente; surto de NXDOMAIN contra o mesmo sufixo denuncia geração algorítmica de domínios (DGA).
Noise	Ruído, volume de eventos legítimos que ocupam a análise sem representar ameaça; adversário direto da fidelidade e tema do capítulo 12.
OCSF	Open Cybersecurity Schema Framework, esquema aberto de normalização de telemetria de segurança entre produtos; contexto no capítulo 24.
OpenCTI	Plataforma open source de gestão de conhecimento de CTI, com modelo de objetos STIX, grafos e conectores; salvaguarda PLT.2 do capítulo 15.
OPSEC	Operational Security, disciplina de proteger informações e comportamentos que revelam intenções, próprios de adversários e de defensores em contra-inteligência.
OSINT	Open Source Intelligence, inteligência derivada de fontes públicas, de redes sociais a registros de domínio; base da coleta no capítulo 02.
OTHF	Outsourced Threat Hunting Framework, metodologia para contratar e governar hunting prestado por terceiros; nota 04 do capítulo 23.

6. Termos P a T

Termo	Definição
Passive DNS	Sinônimo consolidado de DNS passivo: histórico de resoluções observadas por sensores, útil para descobrir vizinhança de domínio e pivô de infraestrutura.
PEAK	Provider Agnostic Cyber Hunt Framework, metodologia do Splunk com timeline preta, hipótese e caças exploratórias; nota 02 do capítulo 23.
PIR	Priority Intelligence Requirement, requisito priorizado de inteligência que orienta coleta e análise; salvaguarda CTI.1 e nota 07 do capítulo 01.
Pyramid of Pain	Pirâmide de David Bianco que ordena indicadores pelo custo que impõem ao adversário, de hashes a TTPs; nota 05 do capítulo 04.
Purple Team	Exercício colaborativo em que ofensiva e defensiva validam detecções em conjunto, ao contrário do confrontation clássico entre equipes; capítulo 19.
Query-Driven Hunting	Caça disparada por consulta descoberta em repositório, conferência ou colega, em vez de por hipótese ou por IOC; um dos pontos de partida da TaHiTI.
RaaS	Ransomware as a Service, modelo criminoso em que desenvolvedores licenciam o ransomware para afiliados que executam a intrusão; repercute em atribuição e compartilhamento.
Reconhecimento	Coleta de informação sobre o alvo antes da exploração, ativa ou passiva; primeiro elo da Kill Chain e tática de abertura no ATT&CK.
Red Team	Equipe que simula adversários realistas para medir a defesa de ponta a ponta; contraste com o purple teaming colaborativo do capítulo 19.
ROI	Return on Investment, retorno sobre o investimento; calculado para hunting e compartilhamento nos capítulos 11 e 22.
Rule as Code	Regra de detecção mantida como artefato versionado em repositório, com revisão, teste e deploy automatizado; forma concreta do DaC.
Sandbox	Ambiente isolado que executa artefatos suspeitos e registra comportamento, usado na análise dinâmica do capítulo 25.
Sighting	Registro de observação real de um indicador no ambiente, com horário e contexto; alimenta confiança, validade e métricas de compartilhamento.
SIEM	Security Information and Event Management, plataforma de agregação, correlação e alerta sobre eventos de segurança; capa de integração da telemetria nos capítulos 09 e 15.
Sigma	Linguagem aberta e genérica de descrição de detecções de log, convertível para SPL, KQL e outras linguagens; notas do capítulo 18.
SigmaHQ	Repositório comunitário de referência de regras Sigma, mantido por milhares de contribuições; fonte primária catalogada na nota 04.
SNR	Signal-to-Noise Ratio, razão entre sinais verdadeiros e ruído em um conjunto de detecções; métrica de qualidade no capítulo 18.
SOAR	Security Orchestration, Automation and Response, plataforma que orquestra playbooks e automatiza respostas entre ferramentas; salvaguarda AUT.1 do capítulo 15.
Stack Counting	Técnica de caça que conta e classifica a frequência de valores de um campo, como processos ou domínios, para expor o raro dentro do comum.
STIX	Structured Threat Information eXpression, padrão aberto de serialização de inteligência de ameaças em objetos e relações; versão 2.1 detalhada no capítulo 22.
TAXII	Trusted Automated eXchange of Intelligence Information, protocolo de transporte de coleções STIX entre produtores e consumidores; versão 2.1 no capítulo 22.
TaHiTI	Threat Hunting integrative Taxonomy, metodologia holandesa que classifica caças por ponto de partida: dados, hipótese, IOC ou query; nota 03 do capítulo 23.
THRIVE	Metodologia de threat hunting que prioriza caças a partir de risco e inteligência de CTI, combinando pontos de partida por hipótese, IOC e dados; nota 01 do capítulo 23.
Threat Actor	Ator de ameaça, grupo ou operador com motivação, objetivo e conjunto de TTPs identificáveis; objeto dos perfis do capítulo 01.
Threat Hunting	Disciplina proativa de buscar adversários já presentes no ambiente sem alerta prévio, por hipótese, por dado e por comportamento; fundamentos no capítulo 06.
TIP	Threat Intelligence Platform, plataforma que centraliza coleta, enriquecimento, deduplicação e distribuição de inteligência; comparadas no capítulo 24.
TLP	Traffic Light Protocol, esquema de rótulos de circulação de informação de confiança, na versão 2.0 do FIRST; regras operacionais no capítulo 12.
TTP	Tactics, Techniques and Procedures, táticas, técnicas e procedimentos do adversário; topo da Pirâmide de Dor e base das caças do capítulo 08.
Triagem	Primeira classificação de um evento ou artefato para decidir profundidade de análise, prioridade e encaminhamento; primeira etapa da análise técnica do capítulo 25.

7. Termos U a Z

Termo	Definição
UEBA	User and Entity Behavior Analytics, análise comportamental de usuários e entidades que baselineia o normal para detectar desvios; salvaguarda TH.15 do capítulo 15.
VERIS	Vocabulary for Event Recording and Incident Sharing, vocabulário aberto de descrição estruturada de incidentes, base do DBIR; nota 04 do capítulo 04.
Velociraptor	Ferramenta open source de caça e coleta forense em escala, com linguagem VQL e monitoramento contínuo de endpoints; nota 07 do capítulo 09.
Volatility	Framework open source de análise de memória volátil, na versão 3; atualizado no capítulo 24 com eBPF e uso de LLM.
Vazamento de Credenciais	Exposição de credenciais em dumps, stealer logs e pastes, monitorada por CTI para anteceder uso legítimo das senhas pelo adversário.
WAF	Web Application Firewall, controle que inspeciona e filtra tráfego HTTP de aplicações web; salvaguarda PRT.3 do capítulo 15.
Wazuh	Plataforma open source de SIEM e XDR com regras como código; analisada no capítulo 24.
WHOIS	Protocolo de consulta a registros de domínio com contato, datas e registrante; substituído em parte pelo RDAP, coberto no capítulo 03.
XDR	Extended Detection and Response, extensão do EDR que correlaciona telemetria de endpoint, rede, identidade e cloud em uma superfície única.
YARA	Linguagem de descrição de padrões para identificar famílias de malware em arquivos, memória e processos; nota 05 do capítulo 25.
YARA-L	Variante da linguagem YARA usada no Google SecOps (Chronicle) para regras de correlação em tempo real sobre telemetria.
YETI	Plataforma open source de organização de inteligência, com feed agregador e grafos de observáveis; citada nas plataformas do capítulo 03.
Zeek	Sensor de rede open source que produz logs estruturados de protocolos, base das caças de rede do capítulo 08.
Zero Trust	Modelo de segurança que elimina confiança implícita por localização, exigindo verificação contínua de identidade, dispositivo e contexto em cada acesso.

8. Manutenção do Glossário e Integração com a Biblioteca

A manutenção segue a mesma cadência trimestral do mapa da biblioteca e tem três gatilhos de entrada para novos termos: um conceito citado em três ou mais notas sem definição própria, um termo novo introduzido por relatório ou versão de framework relevante e um termo solicitado em sessão de governança. A saída também é regulada: verbete que perde uso ou duplica outro é fundido, e a fusão é registrada para que notas antigas que citavam o termo removido continuem interpretáveis. As definições são escritas para serem funcionais e não históricas, o que significa que uma definição pode ser encurtada quando o uso consolidado simplifica o conceito.

Para quem escreve notas novas, a regra de uso é direta: o primeiro uso de qualquer termo deste glossário em uma nota deve ser auto-suficiente com o auxílio do verbete, e a nota não deve reexplicar conceito que o glossário já cobre, apenas aplicar. Os capítulos que mais demandam vocabulário novo são 17, com IA e automação, 21, com EASM e CTEM, e 23, com metodologias emergentes, e são eles a fonte previsível da próxima leva de verbetes. O glossário não substitui a nota 03, que descreve frameworks com profundidade, nem a nota 04, que cataloga fontes: os três documentos formam o bloco de referência do capítulo 27 e devem ser lidos como camadas complementares do mesmo sistema de navegação.