Gerenciando o Ciclo de Vida da Inteligência

Quando Usar

Use esta habilidade quando:

• Estabelecendo um programa formal de CTI (Cyber Threat Intelligence) e definindo seu modelo operacional
• Realizando revisões trimestrais de requisitos de inteligência com stakeholders de negócios
• Avaliando a maturidade do programa de CTI em relação a frameworks estabelecidos (modelo de maturidade do FIRST CTI-SIG)

Não use esta habilidade para triagem diária de IOCs (Indicadores de Comprometimento) ou tarefas de inteligência específicas de incidentes — para isso, use fluxos de trabalho de inteligência operacional, não gerenciamento de ciclo de vida.

Pré-requisitos

• Patrocínio executivo e estrutura de equipe de CTI definida (1+ analistas dedicados)
• Mapa de stakeholders identificando consumidores de inteligência (SOC, IR, equipe executiva, gerenciamento de vulnerabilidades)
• Assinaturas de feeds existentes ou associações ISAC para linha de base de coleta
• Plataforma de CTI (MISP, ThreatConnect, OpenCTI) para gerenciamento do ciclo de vida

Fluxo de Trabalho

Etapa 1: Planejamento e Direção

Defina Requisitos Prioritários de Inteligência (PIRs) com stakeholders:

• Entreviste líderes de SOC, equipe de IR, CISO, gerenciamento de riscos e segurança de produtos
• Documente os PIRs em formato estruturado: "Qual é a capacidade e intenção atual do [ator de ameaça] de atacar [ativo crítico] usando [técnica]?"
• Priorize de 5 a 10 PIRs para o trimestre, revisados mensalmente

Exemplo de PIR: "O grupo de ransomware Cl0p está atualmente visando organizações em nosso setor usando vulnerabilidades do MoveIT ou GoAnywhere?"

Etapa 2: Planejamento de Coleta

Mapeie os PIRs às fontes de coleta necessárias:

• Fontes técnicas: feeds comerciais, TAXII, dados ISAC, telemetria de honeypot, monitoramento da darkweb
• Fontes humanas: briefings de ameaças de fornecedores, grupos de trabalho do setor, parcerias com órgãos de segurança pública
• Fontes internas: logs de SIEM, telemetria de EDR, caixa de entrada de submissão de phishing

Documente lacunas de coleta e custos associados para preenchê-las.

Etapa 3: Processamento e Normalização

Implemente pipeline de processamento automatizado:

• Ingerir → normalizar para STIX 2.1 → deduplicar → enriquecer → pontuar confiança
• Rejeite indicadores não verificáveis ou duplicados antes da análise
• Marque todos os dados processados com a fonte, data de coleta e expiração

Etapa 4: Análise e Produção

Produza inteligência em três níveis:

• Estratégica: Relatório trimestral do cenário de ameaças para executivos; tendências setoriais, contexto geopolítico
• Operacional: Relatórios semanais de campanhas para liderança de segurança; campanhas ativas, atividade de adversários
• Tática: Boletins diários de IOCs para o SOC; indicadores acionáveis com recomendações de bloqueio/monitoramento

Aplique técnicas analíticas estruturadas: Análise de Hipóteses Concorrentes (ACH), Verificação de Suposições Chave, Advogado do Diabo.

Etapa 5: Disseminação

Combine o formato do produto com o público:

• Executivos: PDF de 1 página com classificações de risco, impacto nos negócios, decisões recomendadas
• Analistas de SOC: Lista de IOCs pronta para SIEM, regras Sigma, eventos MISP
• Gerenciamento de vulnerabilidades: Listas de CVEs com pontuações EPSS e probabilidade de exploração
• Liderança de TI/Segurança: Relatório completo de inteligência com apêndice técnico

Aplique classificações TLP (Traffic Light Protocol) e listas de distribuição por tipo de produto.

Etapa 6: Feedback e Avaliação

Colete feedback em até 5 dias úteis após a disseminação:

• O produto abordou o PIR?
• A acionabilidade foi suficiente?
• Quais dados faltaram?

Acompanhe métricas trimestralmente: taxa de cobertura de PIR, taxa de verdadeiros positivos de IOCs, tempo para disseminação, pontuação de satisfação do stakeholder (NPS ou pesquisa estruturada).

Conceitos Chave

Ferramentas e Sistemas

• ThreatConnect: TIP (Threat Intelligence Platform) com fluxos de trabalho integrados de ciclo de vida de inteligência, rastreamento de PIRs e painéis de relatórios de stakeholders
• MISP: TIP de código aberto que suporta o ciclo de vida da inteligência, da coleta ao compartilhamento
• OpenCTI: Plataforma de CTI baseada em grafos com gerenciamento de fluxo de trabalho para produtos de inteligência

…