Cyber Threat Intelligence & Threat Hunting: Bíblia de Estudos

Esta nota é o índice da biblioteca de estudos derivada do curso em vídeo de Cyber Threat Intelligence e Threat Hunting, organizada em 27 capítulos temáticos.
Ela define a trilha de leitura recomendada, o mapeamento entre os módulos do curso e os capítulos da biblioteca e os rituais de estudo que transformam leitura em prática.
Use esta página como ponto de entrada: todo percurso de estudo, revisão ou consulta rápida deve começar aqui e se espalhar pelas notas dos capítulos.

1. Visão Geral do Curso e da Biblioteca

O curso que originou esta biblioteca percorre o ciclo completo da disciplina, dos fundamentos de Cyber Threat Intelligence (CTI) até a prática avançada de Threat Hunting, passando por indicadores, frameworks, ferramentas, métricas e desafios operacionais. A biblioteca traduz esse percurso em notas curtas, autônomas e referenciadas entre si, cada uma dentro da faixa de leitura de dez a quinze minutos, para que o estudo sobreviva à rotina e cada conceito tenha um endereço fixo para consulta posterior. A conversão de vídeo para texto não é transcrição literal: o conteúdo foi reorganizado por tema, aprofundado com prática de mercado e conectado a padrões como MITRE ATT&CK, Cyber Kill Chain, Pyramid of Pain, STIX 2.1, TAXII 2.1 e TLP 2.0.

O princípio editorial da biblioteca é a integração: CTI fornece a inteligência que prioriza a caça, e a caça devolve evidência que enriquece a inteligência, e cada nota explicita com quais outras ela dialoga. O capítulo 15 concentra o Framework CTH, uma síntese própria dos controles necessários para sustentar o ciclo de inteligência, coleta de dados, caça, resposta e medição, e funciona como espinha dorsal transversal a todos os capítulos. Capítulos posteriores trazem os temas de atualização contínua, como IA aplicada, detection engineering, purple teaming, EASM e CTEM, que envelhecem mais rápido e por isso pedem revisão mais frequente.

O aprofundamento prático vem de dois reforços constantes ao longo das notas: casos públicos conhecidos, como APT29, APT41, FIN7, FIN11, Lazarus, Scattered Spider, LockBit e ALPHV, usados para ancorar TTPs em comportamento observado de verdade, e exemplos executáveis, como consultas KQL e SPL, regras Sigma e YARA, comandos VQL e fluxos de playbook, que transformam conceito em material de trabalho. O resultado é uma biblioteca que serve simultaneamente como curso estruturado, como referência de consulta e como fonte de material para emulação em purple team.

2. Trilha de Aprendizado Recomendada

A trilha abaixo organiza os capítulos em fases que evoluem do conceito para a prática e da prática para a governança. A ordem foi desenhada para que cada fase forneça o vocabulário e os artefatos que a fase seguinte assume como conhecidos, e pode ser seguida de ponta a ponta em um semestre de estudo regular.

Duas regras tornam a trilha mais eficiente na prática. A primeira é ler o capítulo 15 em paralelo desde a fase 1, uma nota por semana, porque o framework fornece o mapa de controles contra o qual todo conceito novo se ancora. A segunda é intercalar a fase 9 com as fases anteriores em vez de adiá-la para o fim, porque os exercícios do capítulo 16 consolidam mais rápido quando cada um é resolvido logo após o bloco teórico correspondente.

O ritmo sugerido para quem estuda em paralelo ao trabalho é de uma fase a cada duas semanas, com leitura de quatro a seis notas por semana, o que fecha a trilha completa em cerca de seis meses com revisão. Quem tem janela de estudo intensivo pode comprimir as fases 1 a 3 em dez dias e reservar o tempo economizado para as fases 9 a 11, que são as que exigem prática com ambiente. Em ambos os ritmos, a regra que não deve ser negociada é a interdição de avançar de fase com exercício do capítulo 16 pendente, porque o acúmulo de prática não resolvida corrói a trilha em poucas semanas.

Para perfis que chegam à biblioteca com objetivo específico, os percursos alternativos abaixo reorganizam os mesmos capítulos em sequências menores, e cada um deles termina no exercício do capítulo 16 correspondente ao foco escolhido. A trilha completa da tabela anterior continua sendo a referência de longo prazo, e os percursos são atalhos com prazo definido, não substitutos.

3. Módulos do Curso x Capítulos da Biblioteca

A tabela de correspondência abaixo permite recuperar, para cada módulo do curso, o conjunto de notas que o cobre na biblioteca. Use-a quando estudar assistindo ao vídeo, de modo que cada aula seja seguida pela leitura das notas correspondentes e pelos exercícios associados.

O mapeamento não é uma correspondência biunívoca, e isso é proposital: alguns módulos curtos do curso ganham profundidade em vários capítulos, e alguns capítulos de atualização, como 20 e 24, cobrem conteúdo que o curso toca transversalmente. Quando o curso e a biblioteca divergem em nível de detalhe, a biblioteca prevalece como referência canônica, e o vídeo permanece como material de imersão e de contexto narrativo.

Quando o curso ganhar módulo novo ou a biblioteca criar capítulo novo, a atualização deste mapeamento é obrigatória e deve ser feita junto com a atualização da trilha da seção 2, porque a consistência entre as duas tabelas é o que permite que o mesmo percurso seja seguido por quem estuda pelo vídeo e por quem estuda só pelo texto. A responsabilidade pela atualização fica com a governança do capítulo 27, e a checagem de correspondência deve entrar no ritual semestral.

• Estudo sequencial: durante o aprendizado inicial, siga a trilha da seção 2 na ordem proposta, mantendo um caderno de hipóteses pessoais ao lado da leitura, e resolva o exercício correspondente do capítulo 16 antes de avançar de fase. O objetivo da leitura sequencial é construir o mapa mental completo da disciplina, e não memorizar cada consulta.
• Caixa de ferramentas de referência: no trabalho diário, a biblioteca funciona como referência de consulta rápida, e o caminho típico é chegar pela nota de incidente ou pelo ATT&CK ID em investigação e seguir os cross-references do blockquote inicial. As consultas prontas das notas 05 a 08 do capítulo 26 e do capítulo 08 são o material de maior reuso em plantões e investigações.
• Preparação para certificação: para certificações com foco em CTI e hunting, como as trilhas voltadas a threat intel e threat hunting do mercado, combine a leitura das fases 1 a 6 com a resolução completa do capítulo 16 e com a revisão dos frameworks citados (ATT&CK, Kill Chain, Diamond Model, Pyramid of Pain, TaHiTI, PEAK). O capítulo 11 fornece a terminologia de métricas que costuma ser cobrada, e o capítulo 20 cobre as atualizações recentes que diferenciam quem estudou material atualizado.
• Consulta de campo durante incidente: no meio de uma investigação, o caminho mais curto é partir do ATT&CK ID ou do nome do evento suspeito e abrir a nota do capítulo 08 que cobre a técnica, usando os cross-references para pular direto à consulta aplicável em cloud, container, CI-CD ou SaaS pelo capítulo 26. A seção de erros comuns de cada nota funciona como checklist de armadilhas que já custaram tempo a outros analistas.
• Manutenção do caderno de hipóteses: independentemente do percurso escolhido, cada leitor deve manter um caderno de hipóteses e de consultas próprias, e a disciplina recomendada é anotar, ao final de cada nota lida, uma hipótese que valeria uma caça no ambiente real, porque esse caderno vira a fila de execução quando o plantão permitir.
• Onboarding de time: para integrar analista novo, ajuste a trilha comprimida em quatro semanas, com as fases 1 e 3 na primeira, 4 e 5 na segunda, 6 a 8 na terceira e 9 com o exercício integrado 01 na quarta, usando os rituais da seção 6 como programação de revisão.

5. Convenções e Navegação

A biblioteca segue convenções fixas que tornam a navegação previsível em qualquer leitor de markdown com suporte a links relativos, como o Obsidian. As regras abaixo definem o contrato de estrutura que toda nota respeita.

• Pastas: cada capítulo é uma pasta numerada de 01 a 27, e capítulos com blocos internos usam subpastas numeradas, como o capítulo 15, cujas subpastas correspondem aos grupos de controles do framework CTH.
• Arquivos: todo arquivo usa prefixo numérico de ordenação, como em 05 - Pirâmide de Dor (David Bianco), e o H1 interno é o nome sem prefixo e sem extensão, de modo que o texto da nota seja limpo ao ser transcluído ou citado.
• Abertura: toda nota abre com um blockquote de posicionamento, que informa o capítulo, o papel da nota no estudo e as notas com as quais ela dialoga, e esse blockquote é o principal atalho de navegação por links.
• Corpo: as seções são numeradas em H2 e evoluem do geral para o específico e do conceito para a prática, com tabelas comparativas e exemplos executáveis (KQL, SPL, Sigma, YARA, comandos e fluxos) sempre em blocos de código.
• Encerramento: toda nota termina com uma seção substantiva, tipicamente de erros comuns e pontos de atenção ou de integração com o restante da biblioteca, e nunca com resumo ou bibliografia.
• Única exceção: esta nota raiz tem H1 livre, por ser índice e não nota temática, e usa o nome do curso original no título.

A navegação entre notas acontece por três caminhos complementares: os links do blockquote de abertura, que apontam para as notas vizinhas tematicamente; os cross-references no corpo do texto, que citam capítulo e nota por número; e as tabelas de mapeamento desta nota raiz, que dão a visão de cima. Ao criar nota nova, o autor deve atualizar pelo menos um desses três caminhos, preferencialmente o blockquote de uma nota existente, para evitar ilhas de conteúdo.

A tabela abaixo resume o contrato de formato em forma de referência rápida, útil para quem for escrever ou revisar notas.

O uso dessas convenções não é estética: é o que permite que scripts de verificação, como a checagem de tamanho e de caracteres proibidos, rodem sobre a biblioteca inteira sem tratamento de exceção, e que qualquer leitor saiba em que parte da nota encontrar cada tipo de informação. Quebrar convenção em uma nota só cria dívida difusa que custa mais caro na revisão futura.

6. Rituais de Estudo e Revisão

A retenção do conteúdo depende menos da leitura inicial e mais do ritual de revisão, e a biblioteca foi estruturada para sustentar três ciclos complementares. O ciclo semanal reserva um bloco de estudo por semana com três momentos: leitura de uma nota nova da trilha, resolução ou revisão de um exercício do capítulo 16 e revisão espaçada de duas notas lidas há mais de trinta dias, escolhidas pela fila de revisão. O ciclo mensal fecha com a releitura das notas do framework CTH tocadas no mês e com a atualização do mapa pessoal de cobertura, registrando quais controles do capítulo 15 o leitor já entendeu, já praticou e já validou. O ciclo trimestral revisa os capítulos de atualização rápida, 17, 20, 23, 24 e 26, cujo conteúdo envelhece, e registra nos cadernos o que mudou.

Os exercícios do capítulo 16 são o coração da prática e devem ser tratados como provas de consolidação: o exercício 01 percorre a cadeia integrada de detecção e resposta em cenário de SOC, o 02 executa o ciclo completo de produção de inteligência, o 03 conduz caça baseada em hipótese do início ao fim e o 04 aplica a matriz de avaliação integrada para medir o progresso. A recomendação é resolver cada exercício por escrito, com as consultas executadas quando o laboratório permitir, e revisar a resposta sete dias depois com a matriz de avaliação, transformando o erro em item da fila de revisão espaçada.

A tabela abaixo consolida os ciclos em formato de referência, para que o ritual possa ser copiado direto para a agenda do time.

Estudo em grupo amplifica o ciclo semanal sem custo adicional: alternar quem apresenta a nota da semana e quem traz o exercício resolvido força a verbalização técnica que separa compreensão aparente de compreensão real, e o debate de hipóteses divergentes sobre o mesmo exercício é o exercício analítico mais barato que existe. Time distribuído pode rodar o mesmo ritual de forma assíncrona, com registro escrito no repositório do time.

A fila de revisão espaçada merece mecânica explícita para não virar intenção vazia: cada nota lida entra na fila com data, e a revisão acontece na janela de sete dias, de trinta dias e de noventa dias, com o critério de saída sendo a capacidade de explicar a nota sem abri-la e de citar de memória a consulta principal. Nota que falha em duas revisões seguidas volta ao início da fila com leitura completa, e essa regra simples é o que impede a ilusão de progresso que a releitura passiva produz.

7. Próximos Passos e Evolução da Biblioteca

A biblioteca é um organismo vivo, e a governança do capítulo 27 define o processo que mantém esse organismo saudável: revisão programada por capítulo, atualização dos capítulos voláteis a cada ciclo de ATT&CK, incorporação de novos incidentes públicos relevantes e aposentadoria formal de conteúdo que deixou de refletir a prática. O gatilho prático recomendado é o release do MITRE ATT&CK em abril e em outubro, que deve disparar a revisão dos capítulos 03, 08, 15 e 20, e o release de versões relevantes das ferramentas citadas no capítulo 24, que deve disparar a revisão das notas de ferramenta correspondentes.

A evolução prioritária recomendada segue três frentes com critérios objetivos. A frente de profundidade incrementa notas existentes com consultas testadas e dados reais anonimizados, medindo o sucesso pela taxa de reuso em investigação. A frente de cobertura cria notas para lacunas identificadas na trilha, como temas que o curso tratou por cima e a prática exige em detalhe, e cada nota nova nasce com blockquote e cross-references já conectados. A frente de prática converte as caças mais reutilizáveis em detecções permanentes pelo pipeline do capítulo 18, e registra a ponte hunting-para-deteção como evidência de maturidade. A métrica que resume a saúde da biblioteca é simples de medir e difícil de falsear: quantas consultas e hipóteses originadas nas notas foram executadas no ambiente real nos últimos noventa dias, e essa contagem deve aparecer no relatório trimestral de governança ao lado da cobertura ATT&CK.

A tabela abaixo organiza os gatilhos de revisão em formato de checklist operacional para o responsável pela governança.

A contribuição de nota nova segue o fluxo definido pela governança: a proposta nasce de uma lacuna registrada, a nota é escrita já no formato da seção 5, a revisão por par confere conteúdo técnico e conformidade de estilo, e a numeração e os cross-references são ajustados antes da entrada na trilha. Contribuição sem revisão por par não entra na biblioteca, porque a credibilidade coletiva das notas é o ativo que sustenta o reuso em investigação real, e reuso é a métrica final que justifica o esforço de manutenção.