A Inteligência de Ameaças Cibernéticas (CTI - Cyber Threat Intelligence) é o conhecimento baseado em evidências, incluindo contexto, mecanismos, indicadores, implicações e aconselhamento acionável, sobre uma ameaça ou perigo existente ou emergente para os ativos. No entanto, nem toda inteligência tem o mesmo valor ou longevidade. Os dados de CTI podem ser classificados em uma hierarquia, desde artefatos simples e efêmeros até padrões de comportamento complexos e duradouros. Compreender essa hierarquia é fundamental para construir uma estratégia de defesa que seja tanto reativa em escala quanto proativa e resiliente.
Este artigo explora os três principais tipos de dados de inteligência: Indicadores de Comprometimento (IoCs), Informações de Reputação e as Táticas, Técnicas e Procedimentos (TTPs).
Os IoCs são as evidências forenses “atômicas” de uma intrusão. São peças de dados estáticos e observáveis que, com alta confiança, indicam que um comprometimento de sistema ou rede ocorreu.
Definição Técnica: Um IoC é um artefato observado em um sistema ou rede que pode ser inequivocamente associado a uma atividade maliciosa. Eles são as “impressões digitais” deixadas para trás por um ator de ameaça.
A inteligência de reputação é uma avaliação da “bondade” ou “maldade” de um objeto da internet (IP, domínio, URL), baseada em seu comportamento histórico e contexto. É uma forma de inteligência agregada e preditiva.
Definição Técnica: É uma pontuação de risco ou categorização atribuída a um destino da internet, derivada da análise contínua de fontes de dados massivas e globais (como tráfego de e-mail, logs de proxy, etc.).
Os TTPs são o nível mais alto e mais valioso de inteligência de ameaças. Eles não descrevem os artefatos de um ataque, mas sim o comportamento do adversário.
O Framework MITRE ATT&CK®: É a base de conhecimento global e o padrão de fato para catalogar e descrever as TTPs dos adversários.
winword.exe gera um processo powershell.exe — são muito mais resilientes e eficazes contra ataques novos e desconhecidos.O conceito da “Pirâmide da Dor” organiza esses tipos de inteligência com base em quão “doloroso” é para um atacante ter aquele indicador bloqueado pela defesa.
Hashes, Endereços IP, Nomes de Domínio. Fáceis de bloquear, mas também triviais para o atacante mudar.TTPs. Detectar e bloquear o comportamento de um atacante o força a reaprender e a desenvolver novas metodologias, o que é um grande obstáculo.A inteligência de reputação se situa no meio, sendo mais valiosa que IoCs atômicos, mas menos resiliente que a detecção de TTPs.
Uma operação de segurança madura utiliza todos os níveis da hierarquia de inteligência. Os IoCs e os dados de Reputação são essenciais para a defesa automatizada em escala, bloqueando a grande maioria das ameaças conhecidas no perímetro. As TTPs, por outro lado, são a base para a construção de defesas resilientes e para a condução de atividades proativas de Threat Hunting, permitindo que os analistas procurem pelo comportamento do adversário, e não apenas pelas suas ferramentas. Entender essa hierarquia permite que uma organização evolua de uma postura puramente reativa para uma estratégia de defesa preditiva e estratégica.