Conceito e funcionamento
IOC pode ser valor observável, mas requer origem, primeiro e último visto, confiança, contexto e finalidade. IP, domínio e hash possuem semânticas diferentes; provedores, CDNs e infraestrutura compartilhada podem mudar. Um valor replicado por múltiplos feeds não representa várias confirmações independentes.
Como investigar e correlacionar
Registre data e fonte original e compare o indicador com logs internos, técnica relatada e relevância para o ativo. Defina expiração, revisão e classificação de compartilhamento. Prefira consultas de hunting antes de automatizar bloqueios e mantenha feedback sobre resultados de investigações.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um endereço IP informado em feed reputacional meses atrás pertence hoje a CDN compartilhada e continua em regra de bloqueio.
Procedimento orientado
Verifique última observação, origem, titularidade, tráfego interno e efeito da regra; compare com hipóteses de comportamento.
Resultado esperado
A recomendação separa valor histórico de ameaça atual e sugere expiração ou hunting controlado com justificativa.
Cuidados adicionais
Muitos feeds replicam a mesma fonte; contagem de citações não é confirmação independente.
Limitações e interpretações incorretas
Atribuição a ator específico demanda evidências mais robustas que reputação. TLP não substitui autorização de divulgação; informações recebidas com restrição não devem ser republicadas em biblioteca pública.
Checklist de validação
- Documentar origem e período
- Avaliar reuso de infraestrutura
- Definir validade e TLP
- Conectar a hipótese operacional
Referências técnicas
Guias para aprofundar
- threat intelligence para soc — aguardando publicação editorial