Gerando Relatórios de Inteligência de Ameaças

Quando Usar

Use esta habilidade quando:

• Produzir resumos semanais, mensais ou trimestrais de inteligência de ameaças para a liderança de segurança
• Criar uma avaliação rápida de inteligência em resposta a uma ameaça emergente (por exemplo, novo zero-day, campanha ativa de ransomware)
• Gerar briefings de ameaças específicos para o setor para tomada de decisão executiva sobre investimentos em segurança

Não use esta habilidade para distribuição bruta de IOCs — use TIP/MISP para compartilhamento automatizado de IOCs e reserve a geração de relatórios para inteligência analisada e finalizada.

Pré-requisitos

• Análise concluída da fase de coleta e processamento (PIRs parcialmente ou totalmente respondidas)
• Perfil do público: nível técnico, autoridade de tomada de decisão, autorização de classificação de informação
• Decisão de classificação TLP para o produto
• Modelo de relatório específico da organização alinhado às expectativas do público

Fluxo de Trabalho

Etapa 1: Determinar o Tipo de Relatório e o Público

Selecione o tipo de produto de inteligência apropriado:

Relatório de Inteligência Estratégica: Para C-suite, conselho, comitê de risco

• Conteúdo: Tendências do cenário de ameaças, intenção vs. capacidade do adversário, risco para objetivos de negócios
• Formato: 1–3 páginas, jargão mínimo, linguagem de impacto nos negócios, decisões recomendadas
• Frequência: Mensal/Trimestral

Relatório de Inteligência Operacional: Para CISO, diretores de segurança, líderes de IR

• Conteúdo: Campanhas ativas, TTPs do adversário, recomendações defensivas, incidentes de pares do setor
• Formato: 3–8 páginas, detalhe técnico moderado, lista de prioridades de mitigação
• Frequência: Semanal

Boletim de Inteligência Tática: Para analistas de SOC, caçadores de ameaças, gerenciamento de vulnerabilidades

• Conteúdo: IOCs específicos, regras YARA, detecções Sigma, CVEs, orientação de patching
• Formato: Tabelas estruturadas, blocos de código, 1–2 páginas
• Frequência: Diária ou conforme necessário

Relatório Flash: Notificação urgente para ameaças iminentes ou ativas

• Conteúdo: O que está acontecendo, risco imediato, o que fazer agora
• Formato: Máximo de 1 página, distribuído em até 2 horas após a identificação da ameaça
• Frequência: Conforme necessário (zero-day, campanha ativa visando o setor)

Etapa 2: Estruturar o Relatório Usando Padrões de Inteligência

Aplique padrões de escrita de inteligência de práticas governamentais e profissionais:

Título/Julgamento Chave: Comece com a descoberta mais importante em linguagem clara.

• Ruim: "Este relatório examina as TTPs do ator de ameaças associadas ao ransomware Cl0p"
• Bom: "O grupo de ransomware Cl0p está explorando ativamente a CVE-2024-20353 em dispositivos Cisco ASA para obter acesso inicial; organizações que usam appliances ASA sem patch enfrentam risco iminente de ransomware"

Qualificadores de Confiança (use linguagem do DNI ICD 203):

• Alta confiança: "avaliamos com alta confiança" — evidências fortes, poucas suposições
• Média confiança: "avaliamos" — fontes credíveis, mas suposições analíticas necessárias
• Baixa confiança: "sugere" — fontes limitadas, incerteza significativa

Atribuição de Evidências: Cite fontes usando números de referência [1], [2]; mantenha o anonimato da fonte em produtos TLP:AMBER/RED.

Etapa 3: Escrever o Corpo do Relatório

Use formato estruturado:

Resumo Executivo (3–5 pontos): Principais descobertas, risco de negócio imediato, ação recomendada principal

Visão Geral da Ameaça: Quem é o adversário? Qual é o objetivo deles? Por que isso importa para nós?

Análise Técnica: TTPs com IDs de técnica ATT&CK, IOCs, comportamento de campanha observado

Avaliação de Impacto: Impacto operacional, financeiro e de reputação potencial se o ataque for bem-sucedido

Ações Recomendadas: Medidas defensivas priorizadas e com prazo definido, com atribuição de responsável

Apêndices: Listas completas de IOCs, regras YARA, detecções Sigma, referências de fontes brutas

Etapa 4: Aplicar TLP e Controles de Distribuição

Selecione TLP com base na sensibilidade da fonte e nos acordos de compartilhamento:

• TLP:RED: Apenas destinatários nomeados; não pode ser compartilhado fora da sala de briefing
• TLP:AMBER+STRICT: Apenas organização; sem compartilhamento com subsidiárias ou parceiros
• TLP:AMBER: Organização e parceiros confiáveis com necessidade de saber
• TLP:GREEN: Compartilhamento em toda a comunidade (membros ISAC, pares do setor)
• TLP:WHITE/CLEAR: Distribuição pública; sem restrições

Inclua marca d'água TLP em todos os cabeçalhos e rodapés de página.

Etapa 5: Revisão e Controle de Qualidade

Antes da disseminação, aplique estas verificações:

• Precisão: Todos os fatos são de origem e citados? Nenhuma alegação não comprovada.
• Clareza: O público-alvo pode entender isso sem contexto adicional?
• Capacidade de Ação: Cada seção do relatório impulsiona uma decisão ou ação?

…