Modelos de Relatórios de Inteligência

Nota do capítulo 27 (Governança da Biblioteca de CTI).
Centraliza os templates de produto de inteligência usados em toda a biblioteca: relatório tático de campanha, alerta rápido de indicadores, assessment estratégico, relatório executivo mensal e flash report de incidente.
Cada template define estrutura, conteúdo mínimo e calibração de público, para que a produção da equipe siga um padrão único e auditável.

1. Contexto e Posicionamento na Biblioteca

A qualidade de um programa de CTI não termina na análise; termina no produto entregue ao consumidor. Uma análise correta, entregue em formato inadequado ou no nível de detalhe errado, perde o valor que o esforço de coleta e análise construiu. Esta nota consolida os modelos de relatório que a biblioteca referencia nos capítulos 01 (ciclo de inteligência), 05 (produção) e 16 (exercícios práticos), transformando cada um em um template pronto para uso.

A existência de modelos padronizados traz três benefícios operacionais imediatos. Primeiro, reduz o tempo de produção, porque o analista não começa de uma página em branco e não gasta energia decidindo estrutura. Segundo, aumenta a previsibilidade para o consumidor, que aprende onde encontrar a resposta de que precisa em cada produto. Terceiro, cria base para medição: quando todos os produtos seguem a mesma forma, fica mais fácil medir taxa de acionamento, cobertura de PIRs e feedback do consumidor, temas tratados na nota 11 do capítulo 01.

A regra transversal de todos os modelos é o BLUF (Bottom Line Up Front): a conclusão e a recomendação vêm primeiro, a evidência vem depois. Consumidores não leem relatórios em busca de suspense; eles leem em busca de resposta. O segundo princípio é a rotulagem explícita de incerteza, tratada em profundidade na nota 09 do capítulo 05, aplicada aqui como campo obrigatório de todos os templates.

2. Relatório Tático de Campanha

O relatório tático de campanha é o produto mais comum do analista de CTI. Ele documenta uma atividade adversária delimitada no tempo e no espaço, como uma campanha de phishing, uma série de intrusões com o mesmo loader ou um cluster de infraestrutura. O público-alvo é técnico: SOC, IR, engenharia de detecção e hunting. O objetivo prático é que o leitor consiga caçar, detectar e conter com base no relatório, sem precisar conversar com o autor.

A estrutura canônica tem oito campos obrigatórios: sumário executivo com a conclusão e a recomendação em até cinco linhas; identificação da campanha com nome temporário, janela de tempo e vínculo com intrusion set quando houver; visão do comportamento com TTPs mapeadas em ATT&CK; infraestrutura e indicadores, com tabela de IOCs tipados e expiração estimada; evidência e confiabilidade, com escala Admiralty aplicada a cada fonte; detecções recomendadas, com referência a regras Sigma ou consultas; lacunas de conhecimento, listando o que não se sabe; e anexos técnicos com hashes, configurações e capturas.

A tentativa mais comum de erro é o excesso de narrativa e a falta de acionáveis. Um relatório tático que descreve a intrusão com riqueza mas não entrega consultas prontas falha na sua função. Outro erro é enterrar a janela de tempo da campanha, o que impede a busca retroativa no histórico de telemetria, etapa central da caça orientada a inteligência descrita no capítulo 10.

3. Alerta Rápido de Indicadores

O alerta rápido é o produto de menor latência da esteira de CTI. Serve para situações em que um conjunto de indicadores de alta confiança precisa chegar ao SOC e às ferramentas de defesa em minutos, não em horas. Exemplos típicos: hash de loader novo distribuído por campanha ativa, domínio de lookalike descoberto antes da hora do ataque, ou IP de C2 publicado em feed confiável.

O formato é deliberadamente mínimo e cabe em uma única página: título com a natureza do alerta; indicadores em tabela tipada (tipo, valor, confiança, expiração sugerida); contexto em no máximo um parágrafo; ação recomendada por ferramenta (bloqueio, monitoramento, caça retroativa); e validade, com data de expiração explícita. Todo alerta rápido deve indicar a fonte e o nível de confiança, porque alerta sem proveniência incentiva bloqueio cego e gera falsos positivos caros.

O critério de decisão entre alerta rápido e relatório tático é o custo da espera. Se o indicador só valer nas próximas horas, o alerta rápido é obrigatório, mesmo que incompleto; o relatório detalhado pode vir depois como atualização. Se o conhecimento só faz sentido no conjunto, o relatório vem primeiro e o alerta derivado depois. A pior prática é usar o alerta rápido como substituto crônico do relatório, o que transforma a esteira de CTI em um feed de bloqueios anônimo.

4. Assessment Estratégico

O assessment estratégico responde a perguntas de decisão, não a perguntas de detecção. Seu público é o comitê de segurança, o CISO e, em temas de risco, o conselho. Ele traduz o ecossistema de ameaças em implicações para o negócio da organização: o que mudou, o que pode mudar, o que fazer e quanto custa. O horizonte típico é trimestral ou anual, e a base é a síntese de relatórios táticos, incidentes internos e intel de fonte aberta e comercial.

A estrutura recomendada tem cinco blocos: tese central com as três conclusões mais relevantes e o respectivo nível de confiança; panorama do adversário relevante para o setor, com perfis resumidos e mudanças observadas; implicações para a organização, conectando cada tendência a ativos, processos ou projetos específicos; recomendações priorizadas com custo aproximado e efeito esperado; e apêndice de evidências para quem quiser aprofundar. O capítulo 05 fornece as técnicas analíticas que sustentam cada bloco, em especial ACH e verificação de pressupostos.

O erro clássico do assessment estratégico é importar o tom tático: uma lista de 40 indicadores não é estratégica e não ajuda uma decisão de investimento. O erro oposto é escrever generalidades sem ligação com a organização, o que transforma o documento em recorte de notícias. A nota 04 do capítulo 01 detalha o mapeamento de decisões a apoiar, e é esse mapeamento que determina o conteúdo do assessment.

5. Relatório Executivo Mensal

O relatório executivo mensal é o produto de ritralha entre CTI e liderança. Ele mede e comunica o valor entregue pelo programa no mês, combinando indicadores de operação com narrativa de risco. A nota 04 do capítulo 11 define os KPIs que alimentam este relatório, como tempo médio de detecção, cobertura ATT&CK testada, caças executadas e detecções promovidas, e a nota 01 do capítulo 11 define os KPIs do lado de CTI.

A estrutura recomendada cabe em quatro páginas: página 1 com BLUF, os três pontos que a liderança precisa saber e as decisões solicitadas; página 2 com indicadores do mês em tabela com meta e tendência; página 3 com os incidentes e campanhas mais relevantes, cada um em até três linhas com implicação e ação; página 4 com o plano do próximo mês e as dependências de outras áreas. A linguagem é de risco e de negócio; siglas técnicas aparecem só quando acompanhadas de explicação na primeira ocorrência.

O indicador de sucesso deste produto não é o elogio do CISO; é a decisão tomada. Um relatório executivo que gera aprovação de melhoria de coleta de telemetria, por exemplo, vale mais do que dez páginas de histórico. Por isso o campo de decisões solicitadas é obrigatório: se nenhum relatório do trimestre gerar decisão, o conteúdo está desalinhado das necessidades do consumidor, e o feedback deve retroalimentar a produção conforme a nota 11 do capítulo 01.

6. Flash Report de Incidente

O flash report é o produto de conversa entre CTI e resposta a incidentes durante uma crise. Ele captura o que se sabe agora, com o nível de confiança de agora, e é atualizado em cadência definida. O público é o comitê de crise, e o formato é de uma página com carimbo de hora, porque informação de incidente envelhece em minutos e versões desatualizadas causam decisões erradas.

Os campos obrigatórios são: carimbo de data e hora e número da revisão; status do incidente em uma linha; cronologia consolidada dos eventos confirmados; indicadores observados até o momento, separados por estado (confirmado, provável, em verificação); hipóteses em aberto com nível de confiança; ações em curso por time; e riscos iminentes, como exfiltração em progresso ou propagação pendente. A disciplina de rotulagem é o que separa um flash report útil de um boato organizado: cada linha carrega seu grau de certeza.

A atualização do flash report segue o princípio de acumulação: revisões novas não apagam o histórico, adicionam revisão numerada. Em revisão posterior, o analista marca o que mudou desde a revisão anterior. Essa disciplina facilita a reconstrução da linha do tempo no post-mortem e alimenta o ciclo de lições aprendidas do capítulo 13 de resposta do Framework CTH (IR.4), além de fornecer matéria-prima para novos requisitos de inteligência.

7. Template Completo de Relatório Tático

O template a seguir pode ser copiado para qualquer relatório tático de campanha e preenchido campo a campo. As instruções entre colchetes orientam o preenchimento e devem ser removidas na versão final.

# RELATÓRIO TÁTICO DE CAMPANHA, RT-2026-014

SUMÁRIO EXECUTIVO
[Conclusão principal e recomendação em até 5 linhas. O leitor deve sair
daqui sabendo o que fazer mesmo sem ler o resto.]

IDENTIFICAÇÃO
- Nome da campanha: [temporário interno, ex.: CAMP-2026-041]
- Janela observada: [primeira e última evidência, com fuso]
- Vínculo com intrusion set: [nome, confiança baixa/moderada/alta]
- Motivação estimada: [financeira, espionagem, hacktivismo]

COMPORTAMENTO (ATT&CK)
- [T0000 Técnica: como foi observada, em 1 ou 2 linhas cada]

INFRAESTRUTURA E INDICADORES
| Tipo | Valor | Confiança | Expiração sugerida |
|------|-------|-----------|--------------------|
| [domínio] | [valor] | [alta] | [data] |

DETECÇÕES RECOMENDADAS
- [Regra Sigma ou consulta KQL/SPL pronta para colar]

EVIDÊNCIA E CONFIABILIDADE
- [Fonte A, Admiralty A?, o que sustenta]
- [Fonte B, Admiralty ?, o que sustenta]

LACUNAS DE CONHECIMENTO
- [O que não se sabe e como fechar, com requisito de coleta]

APÊNDICES
- [Hashes, configurações extraídas, capturas, referências internas]

O segundo template completo cobre o alerta rápido de indicadores, produto de mínima latência definido na seção 3. Ele cabe em uma página e prioriza a ação imediata do SOC, com os campos de validade e proveniência obrigatórios.

# ALERTA RÁPIDO DE INDICADORES, AR-2026-061 (TLP: AMBER)

CONTEXTO
[1 parágrafo máximo: o que está ativo, quem reportou, confiança.]

INDICADORES
| Tipo | Valor | Confiança | Expiração sugerida |
|------|-------|-----------|--------------------|
| sha256 | [hash] | alta | 2026-09-30 |
| domain | [domínio] | alta | 2026-08-15 |
| ipv4 | [ip] | moderada | 2026-07-20 |

AÇÃO RECOMENDADA
- SIEM: caçar retroativamente por 90 dias com a consulta: [consulta]
- EDR: bloquear hash e monitorar acesso aos domínios
- Gateway de e-mail: aplicar regra de quarentena por domínio remetente

VALIDADE E PRÓXIMOS PASSOS
- Válido até [data]; relatório tático completo previsto para [data]
- Retorno de acionamento para [canal interno]

A comparação entre os dois templates evidencia a diferença de propósito: o relatório tático aprofunda e explica, o alerta rápido decide e age. Manter os dois formatos sob a mesma governança garante que a pressa de uma crise não produza atalhos que comprometam a rastreabilidade, e que a profundidade do relatório completo não atrase indicadores que valem por horas.

8. Calibração de Público e Critérios de Uso

A escolha do produto certo depende de três perguntas: quem consome, qual decisão o produto apoia e qual é o custo de esperar o produto completo. A tabela abaixo consolida a calibração dos cinco modelos desta nota e serve como referência rápida no dia a dia da equipe.

Dois critérios fecham a governança destes modelos. O primeiro é a regra da rastreabilidade: todo produto deve citar os requisitos de inteligência (PIRs) que atende, porque é essa ligação que permite medir cobertura e justificar investimento, conforme as notas 07 e 10 do capítulo 01. O segundo é a regra da revisão: modelos também são conteúdo da biblioteca e seguem o controle de versões descrito na nota 11 deste capítulo; ajustes de estrutura só valem depois de revisão por pares e registro no histórico, evitando que cada analista invente seu próprio formato e o consumidor precise reaprender a ler a cada entrega.

9. Erros Comuns e Pontos de Atenção

A revisão de produtos de inteligência em equipe real encontra falhas recorrentes, e catalogá-las evita que cada geração de analistas reaprenda as mesmas lições. Os erros abaixo aparecem nos cinco modelos, em graus diferentes, e devem ser verificados no checklist de revisão por pares definido na nota 10 deste capítulo antes de qualquer avaliação de mérito analítico.

• Escrever o sumário executivo como introdução, reservando a conclusão para o final; o leitor apressado sai sem saber o que fazer e o produto falha na função de apoiar decisão.
• Misturar fato confirmado com hipótese sem rotulagem, obrigando o leitor a adivinhar qual evidência sustenta cada afirmação e corroendo a confiança no produtor.
• Entregar indicadores sem expiração e sem fonte, transformando o relatório em alimentação permanente de falsos positivos nas ferramentas do consumidor.
• Usar nível de detalhe tático em produto estratégico e vice-versa; o conselho não quer consultas KQL e o SOC não quer apenas tendências macroeconômicas.
• Omitir lacunas de conhecimento; o relatório que parece completo transmite certeza indevida e impede que o consumidor cobre as informações que faltam.
• Ignorar o feedback do consumidor, mantendo o formato por tradição quando a audiência já sinalizou que a estrutura não apoia sua rotina de decisão.
• Deixar de citar os PIRs atendidos, o que quebra a rastreabilidade do programa e impede a medição de cobertura de requisitos tratada no capítulo 01.

O antídoto estrutural para todos esses erros é a revisão por pares com checklist fixo: nenhum produto sai sem segunda leitura, e a segunda leitura verifica os sete itens acima antes de olhar o mérito da análise. A disciplina parece burocrática na primeira semana e economiza horas de retrabalho na segunda, porque produto publicado com defeito custa mais do que revisão antes da publicação. O ciclo completo, produção, revisão, publicação, feedback e ajuste do modelo, é a mesma espiral do ciclo de inteligência descrito na nota 03 do capítulo 01, aplicada ao próprio formato dos produtos.

10. Integração com o Restante da Biblioteca

Os modelos desta nota são o ponto de convergência da biblioteca inteira. A direção vem do capítulo 01, com PIRs e decisões a apoiar; as técnicas de análise vêm do capítulo 05, com ACH, incerteza e confiabilidade; as métricas que alimentam o executivo mensal vêm do capítulo 11; e os exercícios do capítulo 16 pedem exatamente estes formatos como entregas avaliadas. O Framework CTH da seção 15 operacionaliza o que aqui se padroniza nos controles CTI.7 (produção de relatórios) e CTI.8 (disseminação segmentada), e o controle MET.5 consome o modelo executivo mensal como insumo do dashboard de liderança. A nota raiz da biblioteca inclui este arquivo na trilha de leitura de quem assume função de produção, junto com os templates de investigação da nota 07 deste capítulo, formando o par produto de inteligência e produto de caça.