pular para o conteúdo
sec/atlas
voltar ao mapa
conceito
etapa: prepare
2 min de leitura

Inteligência de ameaças

Uma lista de endereços IP maliciosos é dado. Inteligência é saber quais adversários miram em você, o que eles fazem e o que isso significa para suas prioridades, com um nível de confiança associado.

MITRE ATT&CKMISPSTIX / TAXIIOpenCTIVirusTotalISACs and CERT advisories

Níveis de inteligência

  • Estratégica: tendências e riscos para a liderança (quais atores de ameaça miram seu setor, por quê, com que impacto).
  • Operacional: como funciona uma campanha, para que os defensores possam antecipá-la: infraestrutura, momento, técnicas.
  • Tática: as técnicas, ferramentas e procedimentos (TTPs) que um adversário usa, mapeados para um framework como o ATT&CK.
  • Técnica: indicadores de comprometimento (IOCs) como hashes, domínios, endereços e nomes de arquivo. Baratos de usar e rápidos de expirar.

Indicadores versus comportamento

A Pirâmide da Dor classifica os indicadores pelo quanto bloqueá-los prejudica o atacante. Valores de hash e endereços IP são triviais de mudar; nomes de domínio são um pouco mais difíceis; ferramentas e, acima de tudo, táticas e técnicas são caras de substituir. Defender-se contra o comportamento (TTPs) dura mais do que bloquear listas de indicadores, então use IOCs para triagem rápida e TTPs para detecção durável.

Avaliando uma fonte

  • Quem produziu e com base em que evidência? Observação primária vale mais que afirmações repetidas.
  • Quão recente é? Muitos indicadores são úteis por dias, não por anos.
  • É relevante para o seu ambiente, tecnologia e setor?
  • Qual é a confiança, e ela está declarada? Boa inteligência diz o quão segura está.
  • É acionável: você consegue detectar, bloquear ou caçar com isso hoje?

Um indicador compartilhável

STIX é uma linguagem padrão para descrever objetos de inteligência, e TAXII é um protocolo para trocá-los. Um indicador mínimo em STIX 2.1 se parece com isto.

indicator.json (STIX 2.1)json
{
  "type": "indicator",
  "spec_version": "2.1",
  "id": "indicator--8e2e2d2b-17d4-4cbf-938f-98ee46b3cd3f",
  "created": "2026-10-01T10:00:00.000Z",
  "modified": "2026-10-01T10:00:00.000Z",
  "name": "Endereço C2 visto na intrusão INC-2026-0142",
  "pattern": "[ipv4-addr:value = '203.0.113.9']",
  "pattern_type": "stix",
  "valid_from": "2026-10-01T00:00:00Z",
  "confidence": 70,
  "labels": ["malicious-activity"]
}

Colocando em prática

  • Alimente a detecção e o bloqueio com indicadores validados, cada um com data de expiração.
  • Mapeie o comportamento do adversário para o ATT&CK, verifique sua cobertura e priorize as lacunas para os atores que importam para você.
  • Informe a liderança com poucas mensagens claras e as decisões que elas implicam, não com um despejo de dados.
  • Compartilhe o que puder: grupos setoriais de compartilhamento (ISACs) e pares de confiança melhoram a detecção de todos.
  • Trate inteligência sensível com as marcações de compartilhamento (como o TLP) com que ela veio.

conexões no mapa

atualizado em 14/10/2026 · fontes para aprofundar · reportar erro

em outros domínios

Desbloqueia

teste o que entendeu

Carregando perguntas…