Correlação de Campanhas de Ameaças

Quando Usar

Use esta habilidade quando:

• Múltiplos incidentes aparentemente não relacionados compartilham IOCs (mesmo IP de C2, mesmo hash de malware, TTPs semelhantes)
• Um parceiro ISAC compartilha indicadores de um incidente que correspondem aos seus próprios eventos históricos
• Construindo um relatório de campanha que liga a atividade do adversário ao longo de semanas ou meses a uma única operação

Não use esta habilidade para forçar a correlação com base em sinais fracos — atribuição incorreta de campanha engana os defensores e desperdiça recursos em modelos de ameaças incorretos.

Pré-requisitos

• TIP ou SIEM com dados históricos de indicadores e eventos (90+ dias recomendados)
• Motor de correlação MISP habilitado com compartilhamento de eventos configurado
• Ferramenta de análise de grafos (Maltego, Neo4j ou OpenCTI) para visualização de relacionamentos
• Referência aos objetos de conjunto de intrusão e campanha do MITRE ATT&CK para estruturar a saída

Fluxo de Trabalho

Etapa 1: Coletar e Normalizar Eventos

Reúna todos os eventos candidatos para correlação de:

• SIEM interno (eventos brutos, histórico de alertas)
• TIP (indicadores e eventos históricos)
• Compartilhamento ISAC (eventos submetidos por parceiros em MISP ou TAXII)
• Inteligência comercial (relatórios Recorded Future, Mandiant, CrowdStrike)

Normalize todos os eventos para o esquema STIX 2.1 com carimbo de data/hora consistente (UTC), tipos de indicadores e pontuações de confiança. Garanta que todos os indicadores tenham atribuição de origem e data de coleta.

Etapa 2: Identificar Pontos de Pivô de Correlação

Aplique análise sistemática de pivô em quatro dimensões:

Pivôs de Infraestrutura:

• Mesmo endereço IP ou sub-rede /24 entre eventos
• Mesmo e-mail do registrador de domínio ou organização WHOIS
• Mesmo ASN ou provedor de hospedagem com a mesma impressão digital da conta
• Mesma impressão digital ou número de série do certificado SSL entre domínios de C2

Pivôs de Capacidade:

• Mesmo hash de malware ou correspondência de assinatura YARA
• Mesmo protocolo de comunicação C2 (configuração de beacon Cobalt Strike, parâmetros do implante Sliver)
• Mesmo código de exploração ou modelo de documento armado
• Mesmo método de ofuscação ou impressão digital do empacotador

Pivôs Temporais:

• Eventos ocorrendo na mesma janela de tempo (horário operacional sugerindo o mesmo fuso horário)
• Eventos sequenciais com progressão lógica da cadeia de abate (kill chain)
• Agrupamento de carimbos de data/hora de compilação de malware na mesma faixa de datas

Pivôs de Victimologia:

• Mesmo setor alvo (saúde, energia, financeiro)
• Mesma geografia alvo
• Mesma tecnologia visada (fornecedor específico de ERP, marca de appliance VPN)

Etapa 3: Calcular Confiança de Correlação

Aplique pontuação ponderada para atribuição de campanha:

def calculate_campaign_confidence(events: list) -> float:
    scores = []

    # Infrastructure overlap (highest weight — most discriminating)
    infra_overlap = count_shared_infra(events) / len(events)
    scores.append(infra_overlap * 40)

    # Capability overlap (high weight — TTPs are durable)
    capability_overlap = count_shared_ttps(events) / len(events)
    scores.append(capability_overlap * 35)

    # Temporal proximity (moderate weight)
    temporal_score = assess_temporal_clustering(events)
    scores.append(temporal_score * 15)

    # Victimology alignment (lower weight — many actors target same sector)
    victim_score = assess_victim_pattern(events)
    scores.append(victim_score * 10)

    total = sum(scores)
    if total >= 70: return "HIGH"
    elif total >= 45: return "MEDIUM"
    else: return "LOW"

Etapa 4: Construir Grafo de Campanha

No OpenCTI ou Maltego, construa o grafo da campanha:

• Objeto de campanha (STIX) como nó central
• Conjunto de Intrusion Set → usa → Objetos de Malware
• Conjunto de Intrusion Set → usa → Objetos de Infraestrutura
• Conjunto de Intrusion Set → alvos → Objetos de Identidade (organizações/setores vítimas)
• Campanha → atribuída-a → Atores de Ameaça (se a atribuição for alcançada)
• Indicadores → indicam → Malware (ligando observáveis técnicos a capacidades)

Rotule cada relacionamento com referência de evidência e confiança.

Etapa 5: Produzir Relatório de Inteligência de Campanha

Estruture o relatório de campanha:

1. Nome da campanha: Atribua um codinome descritivo com base no tema de segmentação ou nas ferramentas
2. Cronograma: Datas de primeira/última observação com fases de atividade
3. Atribuição: Ator de ameaça suspeito com nível de confiança
4. Perfil do alvo: Verticais da indústria, geografias, tamanhos de organização
5. Resumo de TTPs: Mapa de calor do Navegador ATT&CK para técnicas específicas da campanha
6. Indicadores compartilhados: IOCs que abrangem múltiplos incidentes (maior confiança para bloqueio)
7. Orientação de detecção: Regras Sigma/YARA específicas para esta campanha

Conceitos Chave

| Termo | Definição |

…