Metodologia para produção de inteligência de ameaça acionável em nível tático

Abstract

A Inteligência de Ameaça Cibernética (CTI) em nível tático descreve o comportamento adversário por meio de Táticas, Técnicas e Procedimentos (TTPs). Seu emprego em atividades de Threat Hunting oferece vantagens significativas em relação à detecção tradicional baseada em Indicadores de Comprometimento (IoCs); contudo, o elevado nível de abstração das TTPs dificulta sua tradução em regras de detecção, limitando a automação e a escalabilidade dessa abordagem. Para enfrentar esse desafio, esta pesquisa propõe uma metodologia estruturada para a produção de inteligência tática acionável, orientada à criação de regras de detecção de comportamentos adversários. Como contribuição preliminar, apresenta-se um estudo abrangente sobre taxonomias de ataques, no qual são identificados requisitos, atributos estruturais e critérios de avaliação que auxiliam a construção e a seleção de taxonomias mais eficazes. A principal contribuição consiste em uma metodologia que define um processo iterativo, apoiado na taxonomia MITRE ATT&CK e na expertise de analistas, para mapear TTPs, desenvolver e validar regras de detecção de forma sistemática, reduzindo a complexidade e favorecendo seu aprimoramento contínuo. Ademais, propõe-se um modelo de dados voltado à organização e padronização das informações geradas em formato de Runbook, o qual serve como fonte de inteligência tática para Threat Hunting e assegura interoperabilidade e reutilização do conhecimento. A proposta foi avaliada por meio de uma Prova de Conceito (PoC) baseada em estudos de caso, que demonstrou sua eficácia na geração de inteligência tática acionável e na criação de regras de detecção precisas, viabilizando a operacionalização da detecção baseada em TTPs. Por fim, são discutidos os benefícios, limitações e desafios observados, bem como apresentadas as perspectivas para pesquisas futuras.