Índice de Frameworks e Padrões

Nota 03 do capítulo 27 - Governança da Biblioteca de CTI. Cataloga, em formato de índice descritivo, os frameworks e padrões citados ao longo da biblioteca, indicando o que cada um é, para que serve e em quais capítulos aparece.
É a ponte entre os capítulos temáticos e o vocabulário compartilhado, evitando que o leitor tenha de reler notas distantes para reencontrar a definição de um padrão como STIX 2.1 ou de uma metodologia como PEAK.
Complementa o glossário (02), que resolve termos isolados, e o catálogo de fontes primárias (04), que aponta onde acompanhar a evolução de cada padrão listado aqui.

1. Contexto e Posicionamento na Biblioteca

A biblioteca não ensina cada framework uma única vez: o ATT&CK aparece no capítulo 04 como modelo, no capítulo 08 como linguagem de caça, no capítulo 15 como espinha de mapeamento e no capítulo 20 como produto em evolução constante. Essa distribuição é desejável porque cada capítulo usa o padrão para um propósito diferente, mas cria um problema de navegação que esta nota resolve: um índice único que diga, por linha, o que é o padrão, para que serve e onde está tratado em profundidade. O índice não reexplica o conteúdo dos capítulos, apenas orienta a chegada até ele com precisão.

O recorte da lista segue o uso real da biblioteca e não uma lista de mercado: entraram os frameworks com nota ou salvaguarda própria, os padrões de intercâmbio operados em capítulo inteiro e os sistemas de pontuação usados em decisão concreta de priorização. Padrões com escopo restrito e citação concentrada em um único capítulo, como o ADS Framework e o DDLC do capítulo 18, ficaram no grupo complementar da seção 8, para que o índice principal permaneça na faixa de leitura de uma sessão sem perder completude.

2. Como Ler e Manter o Índice

Cada linha do índice tem quatro colunas com contratos distintos, e entender o contrato evita que o leitor espere da coluna errada o conteúdo que está na outra. A tabela abaixo define o que cada coluna promete e o que ela não promete, e vale para todas as seções do índice.

A manutenção segue a cadência trimestral do capítulo e tem um gatilho adicional: qualquer atualização de versão de padrão, como a troca de versão do ATT&CK ou a publicação do NIST CSF, obriga revisão da linha correspondente e, quando houver mudança estrutural, revisão do capítulo dono. A regra de ouro é que nenhuma linha deste índice pode apontar para capítulo que não exista, e a verificação cruzada com o mapa da nota 01 é passo obrigatório da revisão. Toda linha nova entra por proposta escrita, e o modelo abaixo padroniza a proposta para que a decisão em sessão de governança seja sobre conteúdo e não sobre formato.

Proposta de linha - índice de frameworks
Nome do padrão: ATT&CK v19
Grupo proposto: modelagem de adversário
O que é: versão de abril de 2026 da matriz, com divisão de Defense Evasion
Para que serve: revalidar mapeamentos e detectar técnicas afetadas pela divisão
Onde aparece: capítulo 20 (nota 01 do bloco 2) e capítulo 15 (grupo MAP)
Decisão: aprovar, revisar linha existente e atualizar capítulo dono

3. Frameworks de Modelagem de Adversário

Este grupo reúne os modelos que estruturam o conhecimento sobre o comportamento adversário e que servem de lente para análise, caça e priorização. São os padrões mais citados da biblioteca e os que exigem domínio mais cedo na trilha, porque quase todos os capítulos aplicados pressupõem o vocabulário deles. A ordem das linhas segue o peso de uso, e não a ordem alfabética.

Duas relações entre esses modelos merecem atenção na leitura dos capítulos. O Kill Chain e o ATT&CK respondem perguntas diferentes, fases da intrusão contra comportamento técnico, e a nota 02 do bloco 00 do capítulo 15 mapeia quando usar cada um. O Diamond Model e o VERIS convivem porque um descreve o evento individual e o outro padroniza o registro do incidente completo, e a combinação dos dois é o que permite comparação estatística sem perder o detalhe analítico.

Para o analista que está começando, a recomendação de sequência dentro deste grupo é direta: ATT&CK primeiro, porque é a linguagem comum de tudo o que vem depois; Pyramid of Pain em seguida, porque ensina por que TTP valem mais que hashes; Diamond e Kill Chain por último, como lentes de análise e de comunicação. O ATLAS e o VERIS podem esperar o primeiro caso real que os convide.

4. Frameworks de Governança, Controle e Resposta

Este grupo reúne padrões que organizam o programa: controles de referência, ciclo de resposta e modelos de harmonização. São menos técnicos e mais normativos, aparecem com força no capítulo 15 e nos capítulos de metodologia emergente, e são a linguagem que o gestor fala com auditoria e com o comitê.

5. Padrões de Intercâmbio e Compartilhamento

Este grupo reúne os padrões que fazem inteligência circular entre organizações e ferramentas sem perder estrutura. São padrões de implementação obrigatória para quem opera TIP, participa de ISAC ou responde por política de compartilhamento, e a biblioteca os trata com capítulos de profundidade porque a implementação malfeita degrada a troca inteira.

6. Linguagens de Detecção e Sistemas de Pontuação

Este grupo reúne as linguagens com que a biblioteca escreve detecção e as métricas com que prioriza vulnerabilidade. São os padrões de execução diária, presentes em exemplos práticos de dezenas de notas, e a combinação entre eles é o que sustenta o pipeline de detecção do capítulo 18.

7. Metodologias de Threat Hunting

Este grupo reúne as metodologias comparadas no capítulo 23, cada uma com hipótese de valor diferente: priorização por risco, taxonomia de pontos de partida, processo padrão de plataforma ou governança de hunting terceirizado. A leitura conjunta é o que permite escolher metodologia consciente por tipo de caça, em vez de adotar por moda.

A comparação entre as quatro linhas resume uma escolha de projeto: THRIVE decide o que caçar, TaHiTI decide por onde começar, PEAK decide como conduzir e OTHF decide com quem executar quando o time é terceirizado. Programas maduros combinam as quatro, e o capítulo 23 fecha com esse comparativo. O que este índice garante é que a escolha seja consciente e documentada, e não herança silenciosa da ferramenta que chegou primeiro.

8. Frameworks Complementares de Caça, Validação e Maturidade

Além das linhas anteriores, a biblioteca opera padrões de escopo mais restrito, que merecem linha própria por frequência de uso, mas não por abrangência temática. Eles aparecem concentrados em um ou dois capítulos, e a localização abaixo cobre praticamente todas as ocorrências relevantes.

9. Mapa de Aplicação por Etapa Operacional

Uma forma de consolidar o índice é ler os padrões pela etapa do ciclo operacional em que dominam, o que transforma a lista em roteiro de trabalho. A tabela abaixo cruza etapa, padrão dominante e capítulo de referência, e serve de atalho para quem precisa saber rapidamente qual padrão puxar em cada situação.

10. Exemplo de Uso do Índice em Sessão de Governança

O índice ganha vida nas sessões de governança, quando uma nota nova chega citando um padrão sem linha própria ou uma versão nova de padrão muda a coluna de localização. O fluxo recomendado é curto: o proponente preenche o modelo da seção 2, a sessão decide entre aprovar, aprovar com ajuste ou rejeitar, e a linha aprovada entra no índice no mesmo ciclo, com o capítulo dono avisado da nova citação. O exemplo abaixo mostra duas decisões típicas em um único quadro de pauta, uma inclusão e uma revisão de versão.

Pauta de índice - sessão trimestral

Item 1 - INCLUSÃO
Proposta: primeira linha para o OCSF no grupo de intercâmbio
Base: capítulo 24 passou a referenciar o esquema em duas notas
Decisão: aprovado com ajuste; localização inclui capítulo 09, nota 08
Responsável pela edição: mantenedor do capítulo 27

Item 2 - REVISÃO DE VERSÃO
Proposta: atualizar a linha do ATT&CK para a versão corrente
Base: capítulo 20 já documenta a divisão de Defense Evasion
Decisão: aprovado; capítulo 15 (grupo MAP) avisado da mudança
Impacto: nenhuma linha de outros grupos é afetada

O registro das duas decisões fica na ata da sessão, e o histórico de propostas rejeitadas é tão valioso quanto o das aprovadas, porque evita que o mesmo padrão sem capítulo dono seja reapresentado a cada trimestre. Índice governado por pauta escrita se mantém estável; índice editado por conveniência pontual volta a acumular linhas órfãs em poucos ciclos.

11. Erros Comuns e Pontos de Atenção

• Referência a capítulo que não existe: toda coluna de localização precisa ser validada contra o mapa da nota 01, porque capítulos mudam de nome e notas ganham números novos a cada implantação, e um índice de governança com destino quebrado perde a confiança que precisa ter.
• Linha sem dono claro: quando dois capítulos explicam o mesmo padrão em profundidade, o índice deve marcar o dono e reduzir o outro a citação, ou a duplicação volta a crescer e as versões divergem em silêncio.
• Versão desatualizada: padrões como ATT&CK, TLP, STIX e TAXII têm versão no nome por razão, e citar versão errada em um índice de governança compromete o contrato de interoperabilidade descrito nos capítulos 20 e 22.
• Adotar padrão por moda: uma metodologia de caça nova só entra no índice quando a biblioteca tem capítulo que a descreve, e o índice não antecipa adoção; a seção de complementares é o lugar de testes, não a principal.

12. Integração com o Restante da Biblioteca

Este índice forma com o mapa (01), o glossário (02), o catálogo de fontes (04) e a bibliografia (05) o bloco de referência do capítulo 27, e a divisão de trabalho entre eles é a seguinte: o mapa diz onde está, o glossário diz o que significa um termo, este índice diz o que é um padrão e onde é tratado, o catálogo de fontes diz onde acompanhar a evolução e a bibliografia diz o que ler primeiro. Notas de capítulos temáticos citam padrões à vontade, mas a definição canônica de cada padrão mora no capítulo dono apontado aqui.

A utilidade operacional do índice aumenta quando ele é usado como roteiro de onboarding: um analista novo que lê as colunas de descrição e uso de todas as linhas sai com a arquitetura conceitual inteira da biblioteca em uma sessão, e depois entra nos capítulos donos apenas nos pontos que seu perfil exige. O índice é, nesse sentido, o compactado do acervo, e mantê-lo com rigor é mais barato que repetir apresentações orais do mesmo conteúdo a cada novo integrante da equipe. A regra final de convivência é simples: se uma citação de padrão não encontra resposta neste índice, o defeito está no índice ou na citação, e a sessão de governança precisa dizer qual dos dois.