Perfilamento de Grupos de Atores de Ameaça

Quando Usar

Use esta habilidade quando:

• Atualizar o modelo de ameaças da organização com perfis de grupos adversários recentemente observados visando seu setor
• Preparar um briefing executivo sobre grupos APT que se alinham a eventos geopolíticos que afetam seus negócios
• Capacitar analistas de SOC a entender os objetivos e TTPs dos atacantes para melhorar o ajuste da detecção

Não use esta habilidade para atribuição de incidentes em tempo real — a atribuição durante incidentes ativos deve ser priorizada em detrimento da contenção. O refinamento do perfil ocorre após o incidente.

Pré-requisitos

• Acesso ao banco de dados de Grupos do MITRE ATT&CK (https://attack.mitre.org/groups/)
• Assinatura comercial de inteligência de ameaças (Mandiant Advantage, CrowdStrike Falcon Intelligence ou Recorded Future)
• Filiação a ISAC específica do setor para inteligência direcionada (FS-ISAC, H-ISAC, E-ISAC)
• Modelo de perfil estruturado (veja o fluxo de trabalho abaixo)

Fluxo de Trabalho

Etapa 1: Identificar Atores de Ameaça Relevantes

Cruze o setor, a geografia e a pilha de tecnologia da sua organização com padrões conhecidos de direcionamento de adversários. Fontes:

• Grupos do MITRE ATT&CK: mais de 130 grupos documentados de estados-nação e criminosos com mapeamentos de TTPs
• Relatório Anual de Ameaças da CrowdStrike: nomenclatura de adversários por estado-nação (BEAR=Rússia, PANDA=China, KITTEN=Irã, CHOLLIMA=Coreia do Norte)
• Mandiant M-Trends: relatório anual com estatísticas de direcionamento específicas do setor
• Catálogo de Vulnerabilidades Conhecidas Exploradas (KEV) da CISA: identifica vulnerabilidades exploradas ativamente por atores de ameaça específicos

Liste de 5 a 10 grupos com maior probabilidade de atingir sua organização com base no alinhamento setorial e atividade recente.

Etapa 2: Coletar Dados do Perfil

Para cada adversário, documente as dimensões padrão:

Identidade: ID do Grupo ATT&CK (por exemplo, G0016 para APT29), aliases (Cozy Bear, The Dukes, Midnight Blizzard), patrocinador estatal suspeito

Motivações: Espionagem, ganho financeiro, interrupção, roubo de propriedade intelectual

Direcionamento: Setores, geografias, tamanhos de organização, alvos de tecnologia (OT/TI, nuvem, cadeia de suprimentos)

Capacidades: Malware personalizado (por exemplo, SUNBURST da APT29, MiniDuke), exploração de 0-days versus CVEs conhecidos, capacidade de ataque à cadeia de suprimentos

Histórico de Campanhas: Operações notáveis com datas (SolarWinds 2020, Exchange Server 2021, etc.)

TTPs por Fase ATT&CK: Documente as 5 principais técnicas por fase tática

Etapa 3: Mapear TTPs para ATT&CK

Usando mitreattack-python:

from mitreattack.stix20 import MitreAttackData

mitre = MitreAttackData("enterprise-attack.json")
apt29 = mitre.get_object_by_attack_id("G0016", "groups")
techniques = mitre.get_techniques_used_by_group(apt29)

profile = {}
for item in techniques:
    tech = item["object"]
    tid = tech["external_references"][0]["external_id"]
    tactic = [p["phase_name"] for p in tech.get("kill_chain_phases", [])]
    profile[tid] = {"name": tech["name"], "tactics": tactic}

Etapa 4: Avaliar Cobertura de Detecção Contra o Perfil

Compare a lista de técnicas do adversário com sua matriz de cobertura de detecção (da camada do ATT&CK Navigator). Identifique:

• Técnicas usadas por este grupo onde você não tem detecção (lacunas críticas)
• Técnicas onde você tem cobertura parcial (registro, mas sem alertas)
• Controles compensatórios onde a detecção não é viável (segmentação de rede como mitigação para movimento lateral)

Etapa 5: Empacotar Perfil para Distribuição

Estruture o perfil final para diferentes públicos:

• Resumo executivo (1 página): Quem, motivação, campanhas recentes, risco principal para nossa organização, ações prioritárias recomendadas
• Breve para analistas de SOC (3–5 páginas): Lista completa de TTPs com status de detecção, lista de IOCs, hipóteses de caça
• Apêndice técnico: Regras YARA, detecções Sigma, objeto STIX JSON para importação de TIP

Classifique TLP:AMBER para distribuição interna; busque aprovação do ISAC antes do compartilhamento externo.

Conceitos Chave

…