Threat Intelligence: o que é e como usar na sua empresa

Dado isolado não é inteligência. Uma lista de IPs maliciosos ou de senhas vazadas só vira inteligência quando alguém responde: isso afeta a minha empresa? O que eu faço com isso agora? CTI é o processo que transforma informação bruta em decisão.

Para uma empresa, o resultado prático aparece em perguntas concretas: alguma credencial nossa está circulando? Alguém está vendendo acesso à nossa rede? Um grupo de ransomware está mirando o nosso setor? Existe um domínio falso imitando a nossa marca?

• Fontes abertas (OSINT): notícias, redes sociais, repositórios de código, registros de domínio e de certificado.
• Fóruns e mercados da deep e dark web: onde se vendem bancos de dados, acessos e ferramentas.
• Canais de Telegram: hoje uma das maiores fontes de vazamentos e listas de credenciais.
• Logs de infostealers: dados roubados de computadores infectados, com senhas salvas no navegador. Entenda em como credenciais chegam à dark web.
• Sites de vazamento de grupos de ransomware: onde as vítimas são expostas para pressionar o pagamento.
• Feeds de indicadores: listas de IPs, domínios e arquivos maliciosos compartilhadas entre empresas e fornecedores.

Todo programa de CTI segue o mesmo ciclo. Pular a primeira etapa é o erro mais comum: sem saber o que se quer responder, a equipe coleta tudo e não usa nada.

1. 1

   Requisitos

   Definir as perguntas que a inteligência precisa responder e para quem. Por exemplo: “quero saber em até um dia quando uma credencial corporativa vazar”.

2. 2

   Coleta

   Buscar só nas fontes que respondem a essas perguntas.

3. 3

   Processamento

   Organizar, remover duplicatas e normalizar o que foi coletado.

4. 4

   Análise

   Separar o que é relevante do ruído e dar contexto: quão grave é, quão recente, quem está envolvido.

5. 5

   Disseminação

   Entregar para quem age, no formato certo: alerta para o SOC, relatório para a diretoria.

6. 6

   Retorno

   Quem recebeu diz se foi útil. Os requisitos são ajustados e o ciclo recomeça.

• Credenciais vazadas: saber quando a senha de um funcionário aparece em vazamento e forçar a troca antes do uso.
• Acesso inicial à venda: intermediários vendem acesso a redes de empresas para grupos de ransomware. Detectar a oferta permite fechar o acesso antes da venda.
• Monitoramento de executivos: dados pessoais de diretores são usados em golpes e engenharia social direcionada.
• Domínios falsos: domínios parecidos com a marca costumam ser registrados pouco antes de campanhas de phishing.
• Ransomware: saber se a empresa, um fornecedor ou um cliente aparece num site de vazamento.

Um exemplo real de investigação está em um servidor mal configurado que expôs três operações de phishing contra o Microsoft 365.

1. 1

   Liste o que proteger

   Domínios, marcas, nomes de executivos, sistemas críticos e fornecedores importantes.

2. 2

   Escreva de três a cinco perguntas

   As que mais ajudariam a decidir alguma coisa. Comece pelo vazamento de credenciais, que tem retorno imediato.

3. 3

   Defina quem age

   Cada tipo de alerta precisa de um dono e de uma ação: quem troca a senha, quem pede a derrubada do domínio falso.

4. 4

   Escolha como coletar

   Montar coleta própria em fóruns e canais exige equipe dedicada. Uma plataforma como o BreachFinder entrega a coleta pronta para a equipe focar na análise e na ação.

Para um panorama mais longo, leia Threat Intelligence: o que é, como funciona e por que monitorar a dark web.