Guia de Threat Intelligence para empresas: tipos, ciclo e métricas
Threat intelligence virou linha de orçamento antes de virar prática. O relatório Cost of a Data Breach 2025, da IBM com o Ponemon Institute, mediu o custo médio de uma violação de dados no Brasil em R$ 7,19 milhões — 6,5% acima dos R$ 6,75 milhões de 2024. No mesmo estudo, a adoção de inteligência de ameaças lidera a lista de fatores que reduziram esse custo: R$ 655.110 a menos, em média, por violação.
O problema é que “ter threat intelligence” e “assinar um feed” viraram sinônimos no mercado brasileiro. São coisas diferentes, e a diferença é exatamente o que separa um programa que muda decisões de um que produz PDF.
Este guia é para quem precisa montar, corrigir ou justificar um programa de inteligência de ameaças: o que é e o que não é, os quatro tipos, as seis fases do ciclo, como se distingue de SIEM e de antivírus, os erros que esvaziam a operação, como medir o resultado e o que muda no recorte brasileiro.
O que é threat intelligence
Inteligência de ameaças cibernéticas (CTI, de cyber threat intelligence) é o processo de transformar dado bruto sobre adversários em um produto que responde a uma pergunta de quem decide, com avaliação de confiança declarada, dentro do prazo em que a decisão ainda pode ser tomada.
Repare que a definição tem três exigências, e todas são testáveis:
- Responde a uma pergunta que alguém fez. Inteligência não nasce da coleta; nasce do requisito.
- Chega antes da decisão. Análise correta entregue depois do patch aplicado é história, não inteligência.
- Muda alguma coisa. Um bloqueio, uma prioridade de correção, uma cláusula de contrato, um investimento, uma comunicação ao cliente.
Se você não consegue apontar qual decisão o entregável mudou, o que você tem é conteúdo — pode até ser bom conteúdo, mas não é inteligência.
O que não é threat intelligence
- Feed de IOC. Uma lista de IPs, hashes e domínios maliciosos é matéria-prima. Vira inteligência quando alguém avalia relevância para o seu ambiente, contexto e validade.
- Newsletter de segurança. Notícia sobre uma vulnerabilidade que você não usa não é inteligência para você.
- Saída de scanner de vulnerabilidade. Isso é postura interna. Ameaça é o que existe do lado de fora, com intenção e capacidade.
- Monitoramento de dark web sem requisito. Sem definir o que você procura e o que fará ao encontrar, o resultado é um painel bonito e ninguém responsável.
- Atribuição. Saber que o grupo se chama X raramente muda o que a sua equipe faz na segunda-feira.
Os quatro tipos de threat intelligence
| Tipo | Quem consome | Vida útil |
|---|---|---|
| Estratégica | Conselho, CISO | Meses a anos |
| Operacional | Liderança de SOC, resposta a incidentes | Semanas a meses |
| Tática | Detecção e caça a ameaças | Meses a anos |
| Técnica | Automação, bloqueio | Horas a dias |
A fronteira entre “tática” e “operacional” é a mais disputada da literatura, e discutir o rótulo é desperdício. O que importa é saber, para cada produto que você gera, quem consome e por quanto tempo o dado vale.
Estratégica
Responde a perguntas de investimento e risco: qual é a exposição do nosso setor a ransomware nos próximos doze meses? Abrir operação naquele país muda o nosso perfil de ameaça? O orçamento de segurança deve ir para identidade ou para superfície externa?
Formato: relatório curto, linguagem de negócio, sem jargão. Cadência trimestral ou anual. É o único tipo que precisa ser legível por quem não é técnico.
Operacional
Responde a “quem, quando e por quê”: campanhas em andamento, motivação, setores-alvo, sazonalidade. Uma campanha de phishing com tema de Black Friday mirando varejo brasileiro é inteligência operacional.
Formato: alerta de campanha com contexto e recomendação. Consome-se em dias ou semanas.
Tática
Descreve as táticas, técnicas e procedimentos (TTPs) do adversário — como ele entra, como se move, como persiste, como exfiltra. É o insumo do time de detecção e da caça a ameaças, e o lugar natural para mapear tudo contra o MITRE ATT&CK.
É o tipo com melhor relação entre esforço e durabilidade: mudar uma técnica custa caro ao adversário; trocar um domínio, não.
Técnica
Indicadores de comprometimento: IP, hash de arquivo, domínio de comando e controle, URL de phishing, certificado. Serve para automação e bloqueio, e envelhece rápido — às vezes em horas.
Aqui vale lembrar a Pirâmide da Dor, de David J. Bianco (2013): na base estão os hashes, que o adversário troca em segundos; no topo estão as TTPs, que ele muda com dor. Um programa que consome só a base da pirâmide gasta muito e incomoda pouco.
O ciclo de inteligência: seis fases
O ciclo é herdado da doutrina de inteligência — a Joint Publication 2-0 do Departamento de Defesa dos EUA descreve o mesmo processo em seis etapas. Ele funciona em segurança cibernética pelo mesmo motivo que funciona lá: obriga a começar pela pergunta e a terminar pela crítica.
1. Direção
É onde se escrevem os PIRs (priority intelligence requirements) — as perguntas prioritárias que o programa existe para responder. É a fase mais pulada e a que mais explica programas fracassados.
Um PIR ruim: “quero saber sobre ransomware”.
Um PIR utilizável: “Nos últimos 90 dias, algum grupo de ransomware explorou ativamente alguma das cinco tecnologias expostas no nosso perímetro? Dono: gerente de vulnerabilidades. Decisão amarrada: prioridade da janela de manutenção do mês.”
Um PIR serve se tem dono, tem prazo, tem uma decisão pendurada nele e é respondível com as fontes que você realmente possui.
2. Coleta
Fontes externas: OSINT, feeds comerciais e abertos, fóruns e mercados fechados, canais de mensageria, comunidades de compartilhamento setorial, relatórios de fornecedores.
Fontes internas: seus próprios logs, incidentes anteriores, tíquetes de fraude, telemetria de endpoint, relatórios de phishing reportados por funcionários. Esta é a fonte mais relevante que existe para o seu ambiente, e é a mais ignorada. Quem já te atacou é o melhor indicador de quem vai te atacar.
3. Processamento
Normalização, deduplicação, tradução, enriquecimento e padronização de formato (STIX, MISP). Sem essa etapa, o analista vira faxineiro de dados e o programa não escala.
4. Análise
A única fase que não terceiriza. É onde alguém avalia relevância, correlaciona com o ambiente, formula hipóteses e declara confiança. Use uma escala padronizada — o Admiralty Code (confiabilidade da fonte de A a F, credibilidade da informação de 1 a 6) é o mais simples de adotar e já elimina boa parte da ambiguidade.
Análise sem grau de confiança declarado obriga o leitor a adivinhar se você está certo, e leitor que adivinha ignora.
5. Disseminação
O mesmo achado vira três produtos diferentes conforme o público: uma página para a diretoria, uma regra de detecção para o SOC, uma linha do tempo para o time de resposta. Enviar o relatório de 40 páginas para os três é o mesmo que não enviar para nenhum.
6. Feedback
A fase que quase ninguém executa. Pergunte a cada consumidor: usou? decidiu o quê? o que faltou? o que sobrou? Sem isso os PIRs nunca melhoram, e o ciclo vira uma linha reta que termina em arquivo morto.
Threat intelligence não é SIEM e não é antivírus
| Camada | Pergunta que responde | Onde falha sozinha |
|---|---|---|
| Antivírus / EDR | Isso é malicioso nesta máquina? | Não sabe quem te ataca nem por quê |
| SIEM / detecção | Algo anômalo aconteceu nos meus logs? | Só enxerga o que já entrou |
| Threat intelligence | Quem provavelmente vai me atacar, com o quê, e o que faço antes? | Não age; precisa das outras duas |
A confusão é comum porque os três consomem indicadores. A diferença é o ponto de observação: EDR olha para dentro do host, SIEM olha para dentro da rede, CTI olha para fora da organização.
E a relação é de alimentação, não de substituição. O indicador técnico desce para o SIEM e para o EDR. A TTP vira regra de detecção e hipótese de caça. A análise estratégica vira orçamento. Um programa de inteligência que não tem caminho de saída para as ferramentas de detecção é um programa de leitura.
Cinco erros que esvaziam um programa de CTI
1. Comprar feed de IOC e chamar de inteligência. Volume não é qualidade. Antes de assinar qualquer feed, pergunte: qual a origem do indicador, qual a taxa de falso positivo medida, qual a vida útil média, cobre fontes em português, e entrega em formato que a minha stack ingere sem trabalho manual?
2. Coletar sem PIR. Coleta sem requisito produz volume, e volume produz a sensação de trabalho feito. É o erro que consome mais orçamento com menos efeito.
3. Perseguir atribuição. Nome de grupo é interessante e quase nunca acionável. TTP é acionável quase sempre.
4. Ignorar as fontes internas. Muita empresa paga caro por inteligência externa e nunca leu o próprio histórico de incidentes.
5. Não fechar o ciclo. Relatório que ninguém lê é custo puro. Se o consumidor não é perguntado, o produtor nunca descobre que está errando o alvo.
Como medir se o programa está funcionando
Existem duas famílias de métrica, e uma delas engana.
Evite métricas de produção: número de relatórios publicados, número de IOCs ingeridos, número de fontes assinadas. Todas sobem quando você trabalha mais, e nenhuma sobe quando você acerta mais.
Prefira métricas de efeito:
- Cobertura de PIR — percentual dos requisitos vigentes com resposta atualizada dentro do prazo.
- Tempo de operacionalização — horas entre a chegada de um indicador relevante e o bloqueio ou a regra em produção.
- Detecções originadas por inteligência — quantas detecções do trimestre existem porque a CTI apontou primeiro.
- Precisão da fonte — percentual de indicadores que geraram alerta útil, medido por feed. Feed que só gera ruído deve ser cancelado com número na mão.
- Decisões influenciadas — registro nominal de decisões (correção priorizada, fornecedor reavaliado, projeto adiado) que citam um produto de inteligência.
- Cobertura ATT&CK — quais técnicas do seu modelo de ameaça você detecta hoje, comparado ao trimestre anterior.
- Consumo — quem abriu, quem respondeu ao feedback. Baixa leitura é sinal de produto errado, não de leitor desatento.
Escolha de três a cinco, meça por trimestre e publique junto com o que você não conseguiu medir. Métrica sem ressalva é marketing interno.
O recorte brasileiro: o que muda aqui
O relógio legal é de três dias úteis
O art. 48 da LGPD (Lei 13.709/2018) obriga o controlador a comunicar incidente que possa acarretar risco ou dano relevante aos titulares. A Resolução CD/ANPD nº 15/2024 fechou os prazos:
- Três dias úteis para comunicar à ANPD (art. 6º) e ao titular (art. 9º), contados do conhecimento, pelo controlador, de que o incidente afetou dados pessoais.
- Vinte dias úteis para complementar as informações de forma fundamentada (art. 6º, § 3º).
- Prazos em dobro para agentes de tratamento de pequeno porte (art. 6º, § 8º, e art. 9º, § 6º).
- O art. 5º lista os critérios de risco relevante: dados sensíveis, de crianças, adolescentes ou idosos, financeiros, de autenticação em sistemas, protegidos por sigilo, ou em larga escala.
- O art. 10 exige manter registro de todo incidente — inclusive daquele que não foi comunicado — por no mínimo cinco anos.
A consequência prática para inteligência é direta: descobrir cedo tem valor jurídico, não só técnico. Um vazamento de credenciais identificado por monitoramento externo antes do contato do atacante muda quem controla o relógio. E a comunicação exigida pelo art. 6º, § 2º pede exatamente o que um programa maduro já produz — natureza e categoria dos dados afetados, riscos, impactos possíveis e medidas adotadas.
O setor financeiro tem regra própria
A Resolução CMN nº 4.893/2021 exige política de segurança cibernética e plano de ação e resposta a incidentes das instituições financeiras e demais autorizadas a funcionar pelo Banco Central. Instituições de pagamento, corretoras e administradoras de consórcio ficam de fora dela e seguem normas próprias do BCB — vale conferir qual se aplica antes de desenhar o processo.
Os vetores medidos aqui
Ainda no levantamento da IBM para o Brasil em 2025: phishing foi o vetor inicial mais comum, com 18% das violações (custo médio de R$ 7,18 milhões); comprometimento de terceiros, 15% — e o mais caro, R$ 8,98 milhões; exploração de vulnerabilidade, 13% (R$ 7,61 milhões). Por setor, saúde liderou com R$ 11,43 milhões, seguida de finanças (R$ 8,92 milhões) e serviços (R$ 8,51 milhões).
Dois dos três principais vetores estão fora do seu perímetro: a marca usada para enganar o seu cliente e o fornecedor comprometido que tem acesso ao seu ambiente. Nenhum dos dois aparece no seu SIEM antes do dano. Ambos aparecem em coleta externa.
A língua é uma barreira de cobertura
Feeds internacionais são anglófonos por padrão. Kit de phishing em português, canal de mensageria vendendo base com CPF, anúncio de acesso a uma empresa brasileira específica: nada disso chega traduzido, e boa parte nem chega. Cobertura em português não é preferência regional — é requisito de coleta para quem opera no Brasil.
Um programa mínimo em 90 dias
- Dias 1–30. Escreva de três a cinco PIRs, cada um com dono e decisão amarrada. Levante seus ativos expostos: domínios, marcas, faixas de IP, aplicativos, fornecedores críticos. Defina quem são os três consumidores da inteligência.
- Dias 31–60. Ligue a coleta mínima que responde a esses PIRs. Crie um canal de disseminação por consumidor, com formato próprio. Abra a rota de saída para SIEM e EDR.
- Dias 61–90. Meça três indicadores de efeito. Faça a reunião de feedback com cada consumidor. Corte o que ninguém leu.
Um programa pequeno que fecha o ciclo entrega mais que um grande que só coleta.
Onde a plataforma OODA Intelligence se encaixa
A plataforma tem 41 módulos, e a forma útil de olhar para eles é pelas fases do ciclo, não pela lista:
- Coleta: Collection (canais de mensageria, fóruns clearnet e darknet, feeds), Threat Monitoring (monitores por palavra-chave com alerta multicanal), EASM e Recon para a superfície externa.
- Coleta dirigida a marca, infraestrutura e exposição: Threat Intelligence, com sub-módulos de domínio, rede, phishing e abuso de marca, e Data Leak Detection para credenciais e bases expostas.
- Processamento e análise: Search Intelligence para busca unificada sobre o que foi coletado e Investigate para investigação com trilha forense.
- Disseminação: SIEM Bridge, MISP Sync, Intelligence Reports e a API REST.
- Registro e feedback: Incident Management e Audit & Compliance — este último diretamente ligado às obrigações de registro que a Resolução ANPD nº 15/2024 impõe, tema que detalhamos no artigo sobre LGPD e segurança cibernética.
Há ainda uma linha de coleta própria de imprensa e checagem de fatos — 76 fontes de imprensa cadastradas alimentam o News Intelligence, e o Disinfo Verify cruza alegações com um acervo de checagens publicadas por agências. É a camada que responde a risco reputacional e desinformação dirigida à marca.
Uma ressalva honesta para fechar: nenhuma ferramenta escreve o seu PIR nem decide o que é relevante para o seu negócio. Plataforma encurta coleta, processamento e disseminação, que é onde está o trabalho braçal. Direção e análise continuam sendo trabalho humano — e é exatamente por isso que o ciclo, e não o catálogo de módulos, deve organizar o seu programa.
Fontes
- IBM e Ponemon Institute. Cost of a Data Breach Report 2025 — dados do Brasil, IBM Newsroom, 30/07/2025.
- Brasil. Lei nº 13.709/2018 (LGPD), art. 48.
- ANPD. Resolução CD/ANPD nº 15, de 24 de abril de 2024 — Regulamento de Comunicação de Incidente de Segurança. Ver também a página oficial de comunicação de incidente.
- CMN. Resolução nº 4.893, de 26 de fevereiro de 2021.
- BIANCO, David J. The Pyramid of Pain, 2013.
- MITRE ATT&CK.
- U.S. Department of Defense. Joint Publication 2-0, Joint Intelligence — processo de inteligência em seis etapas.
