O que você vai desenvolver
Produzir e consumir inteligência que gere investigação, priorização ou melhoria de detecção.
Para quem: Analistas CTI, SOC, gestão de vulnerabilidades e detecção.
Pré-requisitos
- Conhecer IOCs, TTPs e telemetria
- Saber distinguir observação e atribuição
- Noções de confidencialidade e compartilhamento
Roteiro técnico de estudo
ETAPA 01
Comece pela necessidade de inteligência
Defina perguntas específicas: quais comportamentos afetam nossos serviços, que técnicas são observáveis e quais controles faltam? Não colete feeds apenas pelo volume. Considere direção da informação: estratégico, operacional e tático exigem formatos e destinatários diferentes.
Atividades recomendadas
- Descreva três perguntas de inteligência relacionadas ao seu ambiente.
- Identifique as fontes internas capazes de responder.
- Associe cada pergunta a uma decisão operacional.
ETAPA 02
Avalie qualidade, tempo e proveniência
Registre fonte original, data de observação, validade, confiança e eventuais restrições de redistribuição. IPs de infraestrutura compartilhada, domínios reatribuídos e hashes isolados exigem cuidado. Enriquecimento sem histórico e contexto pode aumentar falsos positivos.
Atividades recomendadas
- Monte ficha de IOC com primeiro/último visto e escopo.
- Registre alternativas benignas plausíveis.
- Determine quando descartar ou revalidar o indicador.
ETAPA 03
Relacione comportamentos a telemetria
Técnicas de adversário oferecem uma linguagem para organizar hipóteses, mas não bastam como cobertura de detecção. Defina eventos necessários, campos mínimos, consulta e teste. MISP, ATT&CK e repositórios de pesquisa devem ter versão e origem identificáveis.
Atividades recomendadas
- Mapeie um comportamento relevante a um log disponível.
- Liste lacunas que impediriam a detecção.
- Defina evidência mínima de confirmação.
ETAPA 04
Compartilhe com governança
TLP orienta limites de compartilhamento, mas não substitui autorização, direitos de uso nem análise de sensibilidade. Evite publicar dados pessoais ou artefatos obtidos em ambientes privados. Uma nota pública deve indicar fontes, período, confiança e limitações de maneira transparente.
Atividades recomendadas
- Prepare uma nota de uma página com fonte e data.
- Separe fatos, hipóteses e recomendações.
- Defina revisão de validade e público destinatário.
Enciclopédia desta especialidade
Consulte fichas detalhadas para eventos, protocolos, componentes e conceitos operacionais antes de avançar aos artigos.
Leituras técnicas relacionadas
Links liberados apenas quando o material foi aprovado e publicado no CMS.
- Threat Intelligence para SOC: do indicador ao contexto acionável — em preparação editorial
- MITRE ATT&CK aplicado à engenharia de detecção — em preparação editorial
- Como criar e validar uma hipótese de detecção no SOC — em preparação editorial
