Modelos de Investigação e Hunting

Nota 07 do capítulo 27 - Governança da Biblioteca de CTI. Institui a biblioteca de templates que padroniza como o time documenta investigações e caças.
Apresenta cinco modelos oficiais: plano de caça, caderno de caça, relato de descoberta, ficha de triagem de incidente e roteiro de forense básica, cada um com campos, orientação do que registrar e dica de preenchimento.
Dialoga com as notas 05 e 06 do capítulo 07, com a nota 04 do capítulo 05 e com as notas 08, 10 e 11 deste capítulo, que aplicam os modelos e os submetem ao ciclo de qualidade e versionamento.

1. Contexto e Posicionamento na Biblioteca

As notas anteriores deste capítulo definiram a estrutura do acervo; esta define a forma mínima com que o trabalho analítico se materializa em documentos. Investigação e caça que não deixam registro reproduzível viram conhecimento tácito, que se perde na rotatividade da equipe, e a organização acaba pagando o mesmo custo analítico a cada reincidência do mesmo padrão de ataque. A biblioteca de templates resolve esse problema na origem: o analista não precisa decidir, a cada caso, o que documentar, porque o modelo já decidiu por ele, e o revisor não precisa adivinhar onde procurar cada informação, porque o lugar de cada campo é fixo e previsível.

O papel da nota dentro do capítulo é duplo. Primeiro, garantir que a produção do time siga o mesmo esqueleto, o que torna os registros comparáveis entre analistas, entre caças e entre trimestres, e permite que a nota 10 deste capítulo transforme o padrão em critérios formais de qualidade auditáveis. Segundo, ligar a governança do acervo à operação: templates são artefatos versionados como qualquer nota, sujeitos à revisão semestral descrita na nota 11, e evoluem a partir do feedback de uso que aparece naturalmente nos cadernos de caça preenchidos.

2. Princípios da Biblioteca de Templates

Um template bom é curto o suficiente para ser preenchido no calor do trabalho e completo o suficiente para continuar útil seis meses depois, e a tensão entre esses dois objetivos se resolve com três regras simples. Todo campo vem acompanhado de descrição do que registrar e de dica de preenchimento, porque campo sem orientação gera preenchimento inconsistente entre analistas. Todo registro carrega identificador único, autor e data, porque rastreabilidade é condição para auditoria e para métricas confiáveis. E todo template termina com um campo de desfecho declarado, porque investigação sem desfecho não fecha o ciclo de caça descrito no capítulo 06 e infla o estoque de casos abertos.

A tabela a seguir fixa os cinco modelos oficiais da biblioteca, o gatilho que dispara cada um e o destino natural do documento produzido, deixando explícito que os modelos se encadeiam em cadeia documental e não se substituem entre si.

A cadeia completa garante que qualquer leitor consiga reconstruir a história de um caso olhando apenas os documentos padrão, sem depender de mensagens em chat, e-mails perdidos ou memória dos envolvidos. Essa capacidade de reconstrução é o critério prático de que a biblioteca de templates está funcionando como ativo de governança e não como burocracia adicional.

3. Plano de Caça (Hunt Plan)

O plano de caça é o contrato do analista consigo mesmo e com o time: declara o que será caçado, por que, onde, com o que e como se sabe que a caça terminou. Sem plano, a caça degrada em navegação livre que às vezes encontra algo e quase nunca prova nada; com plano, até o resultado negativo tem valor, porque documenta uma lacuna de cobertura conhecida e reduz o risco de repetição. Os campos obrigatórios e suas orientações são:

A regra prática que sustenta o template é a do prazo: plano de caça que não cabe em uma semana de trabalho parcial está mal recortado, e o correto é dividir a hipótese em planos menores em vez de estender o mesmo plano por semanas. Plano grande demais também prejudica o caderno, porque acumula consultas de hipóteses diferentes no mesmo registro e contamina a análise.

4. Caderno de Caça (Hunt Log)

O caderno de caça é o diário de execução e cumpre três funções que nenhum relatório final cobre sozinho. Primeira, reproducibilidade: qualquer colega deve conseguir repetir o caminho do analista a partir do caderno, o que é essencial na revisão por pares e na transferência de caso durante férias ou troca de plantão. Segunda, proteção analítica: quando o analista registra cada consulta e cada parâmetro, ele evita repetir caminho já percorrido e preserva percepções parciais que só ganham sentido dias depois. Terceira, insumo de engenharia: consultas que produzem muito ruído ou muito silêncio viram matéria-prima para o pipeline de detecção do capítulo 18, convertendo trabalho de caça em alertas permanentes.

A cadência de registro é mais importante que a formatação: caderno preenchido em tempo real, com uma linha por ação, sobrevive a auditorias e revisões; caderno reconstruído no fim da semana é ficção disfarçada de documentação. Time que adota notebook Jupyter para caça pode usar o próprio notebook como caderno, desde que a célula de texto inicial siga o template deste capítulo.

5. Relato de Descoberta (Finding Report)

O relato de descoberta transforma um achado de caça ou de triagem em comunicação acionável, e é o único documento da cadeia com destinatário externo ao time de caça, o que exige disciplina de rótulo TLP e de linguagem adequada ao público. Relato bem escrito chega à equipe de resposta com o que ela precisa para agir, chega à liderança com o que ela precisa para decidir e volta ao time de caça como validação da hipótese original. Os campos obrigatórios são:

A disciplina mais negligenciada deste template é a separação entre fato e inferência, aprendida nas notas 08 e 09 do capítulo 05: o corpo do relato separa o que os logs provam do que a análise conclui, e cada inferência carrega seu nível de confiança. Essa separação é o que protege o analista quando a hipótese precisa ser revista e é o que dá à liderança a correta margem de erro da informação recebida.

6. Ficha de Triagem de Incidente

A ficha de triagem é a porta de entrada formal do atendimento a alertas e suspeitas, e seu objetivo é tornar os primeiros trinta minutos de qualquer incidente repetíveis entre analistas de plantão. Ela substitui o julgamento improvisado por um roteiro fixo de perguntas, reduz a variância entre plantões e produz o registro mínimo que um caso escalado precisa para não recomeçar do zero na mão do próximo time. Os campos obrigatórios são:

A ficha termina sempre com o campo de desfecho: encerrado como falso positivo, convertido em caso de resposta ou convertido em relato de descoberta. Esse encadeamento explícito impede o problema clássico do alerta triado verbalmente no chat e depois esquecido, que é uma das causas silenciosas de dwell time alto em ambientes com volume elevado de alertas.

7. Roteiro de Forense Básica

O roteiro de forense básica orienta a coleta mínima, ordenada e defensável de evidência quando a triagem confirma a suspeita, e não substitui o time dedicado de resposta a incidentes em casos grandes. O princípio estruturante é a ordem de volatilidade: captura-se primeiro o que desaparece primeiro, memória antes de rede, rede antes de disco, e nada se executa no host suspeito além do estritamente necessário à coleta. As etapas do roteiro são:

O roteiro termina com o registro no sistema de casos e com a vinculação dos hashes coletados ao TIP, para que a organização reconheça o mesmo artefato em outra máquina ou em outro incidente. A regra de ouro operacional é não analisar no host comprometido: aquisição em um ambiente, análise em outro, sempre.

8. Exemplo Padrão Ouro: Plano de Caça Preenchido

O exemplo a seguir mostra um plano de caça completo, preenchido conforme o template da seção 3, e serve de padrão de referência para revisão e treinamento de novos analistas. Note que a hipótese é testável, o critério de sucesso é observável e a consulta está registrada na linguagem nativa da plataforma, com todos os elementos que permitem auditoria posterior.

IDENTIFICADOR  : HUNT-2026-014
TITULO         : Beaconing HTTPS para dominios recem-registrados
ANALISTA       : M. Duarte
DATA DO PLANO  : 2026-03-09
STATUS         : aprovado pelo lead em 2026-03-10

HIPOTESE
Se um host corporativo estiver sob comando e controle por HTTPS, entao
aparecerao conexoes periodicas, com intervalo entre 60 e 300 segundos,
para dominio com idade inferior a 30 dias, com volume de resposta baixo
e com resolvencia DNS fora do padrao de navegacao do host.

ORIGEM DA INTELIGENCIA
REL-TAC-2026-021 (TLP:AMBER), loader entregue por phishing com C2 em
dominios recem-registrados; lacuna na tatica Command and Control
confirmada no heatmap de cobertura (nota 04 do capitulo 18).

TECNICAS ATT&CK
T1071.001 (Application Layer Protocol: Web Protocols)
T1568.002 (Dynamic Resolution: Domain Generation Algorithms)

FONTES DE DADOS
Indice de proxy (retencao de 431 dias), logs DNS (180 dias), NetFlow
(90 dias) e contexto de idade de dominio via CT logs e WHOIS historico.

CONSULTA PRINCIPAL (Splunk SPL)
index=proxy uri_domain=*
| stats count avg(bytes_in) avg(bytes_out) min(_time) max(_time)
        by src_ip uri_domain
| where count > 20
| lookup idade_dominio domain AS uri_domain OUTPUT dias_idade
| where dias_idade < 30

CRITERIO DE SUCESSO
Host interno com 20 ou mais conexoes em janela de 24 horas para dominio
com idade inferior a 30 dias, intervalo medio entre conexoes inferior a
300 segundos e media de bytes_out superior a media de bytes_in.

JANELA E CUSTO
Ultimos 60 dias de proxy; estimativa de 4 horas de analise e 6 GB varridos.

DESFECHO (preencher no encerramento da caça)
[ ] positivo   [ ] negativo   [ ] inconclusivo
Data do desfecho, analista e referencia ao relato de descoberta:

A consulta do exemplo é deliberadamente simples: a função do plano é documentar raciocínio testável, e não impressionar com lógica complexa. Caças reais começam simples no plano, registram o refinamento no caderno e terminam com a versão final da consulta pronta para virar regra de detecção no pipeline do capítulo 18.

9. Erros Comuns e Pontos de Atenção

O erro mais caro é tratar template como formulário de compliance e preencher campos por obrigação, sem raciocínio: hipótese copiada genérica, critério de sucesso vago e desfecho em branco. O antídoto é cultural e vem da liderança do time, que recusa plano sem hipótese testável na revisão semanal e elogia publicamente cadernos que registraram caminhos errados com honestidade. O segundo erro é duplicar modelos: cada equipe que cria sua variante local do plano de caça destrói a comparabilidade que justifica o padrão, e o canal correto para necessidades locais é a evolução versionada do template oficial pela nota 11.

O terceiro erro é confundir volume de documento com qualidade de documento. Relato de descoberta de duas páginas densas e evidenciadas vale mais que relatório de vinte páginas sem hash, sem critério de confiança e sem recomendação separada por responsável. Por fim, atenção à disciplina do TLP: relato de descoberta mal rotulado que circula por lista ampla queima a confiança construída nas notas 05 e 06 do capítulo 12, e recuperar confiança de fonte custa mais que qualquer correção técnica do template.

10. Integração com o Restante da Biblioteca

Os cinco templates são a camada operacional sobre a qual a governança do capítulo 27 se apoia: a nota 08 usa o relato de descoberta para estruturar estudos de caso, a nota 09 fornece datasets para exercitar o preenchimento sem risco real, a nota 10 audita notas e documentos contra os critérios de qualidade e a nota 11 versiona os templates como parte do acervo. Nos capítulos técnicos, o plano de caça aplica o ciclo de caça do capítulo 06 e as metodologias do capítulo 23, o caderno alimenta as métricas do capítulo 11 e o relato de descoberta consome os padrões de confiança e incerteza do capítulo 05.

Para colocar em prática esta semana, escolha uma caça real de baixa complexidade, preencha o plano seguindo o padrão ouro da seção 8, mantenha o caderno em tempo real durante a execução e feche o ciclo com relato de descoberta mesmo que o desfecho seja negativo. O primeiro ciclo completo gera mais aprendizado sobre o processo do que qualquer apresentação sobre ele, e os artefatos produzidos viram material de onboarding permanente para o próximo analista.