O Cyber Threat Intelligence (CTI) é a funcionalidade de inteligência de ameaças cibernéticas da plataforma. Na prática, ele funciona como um radar que monitora o cenário de ameaças, identifica ataques, vulnerabilidades e sinais relevantes, e cruza todas essas informações com o contexto da sua organização para destacar o que é mais importante para o ambiente monitorado.

A principal diferença entre o CTI e um feed genérico de notícias sobre segurança é que o CTI não apenas mostra o que está acontecendo no mundo. Ele filtra as ameaças com base nas tecnologias utilizadas pela sua organização, nos ativos monitorados, no seu setor de atuação e em outros critérios contextuais, transformando um grande volume de informações em inteligência acionável.

O CTI foi desenvolvido para equipes de cibersegurança e MSSPs (Managed Security Service Providers) que precisam operar em um cenário de ameaças em constante evolução. Seu valor está em agregar, sintetizar e filtrar informações provenientes de centenas de fontes confiáveis, entregando resultados relevantes e úteis para resposta e priorização.

Antes que qualquer análise seja iniciada, o CTI precisa entender como é composto o seu ambiente. Por isso, o primeiro passo é adicionar as tecnologias que você deseja monitorar. Sem essa configuração inicial, o Threat Landscape não terá informações suficientes para determinar a relevância das ameaças e poderá aparecer vazio ou indicar que nenhuma tecnologia está sendo monitorada.

Para adicionar tecnologias, acesse Monitored Assets, clique em Add Asset, selecione Technologies e informe os nomes das tecnologias relevantes, separados por vírgulas. Também é possível copiar listas existentes de arquivos como CSV, desde que as entradas permaneçam separadas por vírgulas.

→ Ativos Monitorados

Além das tecnologias, a plataforma também permite adicionar hosts, como domínios e subdomínios. Nesse caso, o CTI analisa a superfície exposta e obtém informações como endereço IP associado, portas abertas, serviços em execução, vulnerabilidades conhecidas e certificados em uso.

Depois que as tecnologias e os ativos estiverem configurados, o Threat Landscape deixa de apresentar uma visão genérica e passa a refletir o contexto real da sua organização, exibindo menções relevantes, ameaças relacionadas ao seu ambiente monitorado, vulnerabilidades em destaque e atores de ameaça ativos associados ao ambiente analisado.

Após a configuração inicial, o Threat Landscape se torna o centro de comando diário do CTI. Ele organiza a visão do cenário de ameaças e permite identificar rapidamente o que está afetando o seu ambiente, quais ameaças estão em evidência globalmente e o que requer atenção imediata.

→ Threat Landscape

Os principais blocos da tela incluem:

O Threat Landscape é controlado por três filtros principais:

Esses filtros tornam o CTI mais flexível, permitindo investigar ameaças que afetam diretamente seus ativos, compreender tendências mais amplas de segurança ou acompanhar ameaças que impactam empresas do seu setor, mesmo antes de atingirem o seu ambiente diretamente.

O botão Generate summary cria um resumo automatizado dos boletins para um período específico. As opções disponíveis incluem hoje, ontem, anteontem, última semana e último mês, sempre combinadas com o mesmo escopo de análise entre My Technologies e The Whole World.

Esse recurso é útil quando o objetivo não é investigar cada item individualmente, mas obter rapidamente um resumo diário, semanal ou de um período específico. Na prática, ele responde à pergunta: "O que eu preciso saber hoje?"

Consultar o Threat Landscape diariamente pode ser suficiente em ambientes menores, mas o CTI oferece um mecanismo mais escalável por meio das Monitoring Rules. Essas regras automatizam o acompanhamento de ameaças com base em critérios específicos.

→ Monitoring Rules

As regras podem combinar diversos critérios, como tecnologias e ativos monitorados, malwares específicos, atores de ameaça, localizações geográficas, setores da indústria, tipos de ameaça e níveis de risco. O CTI já inclui algumas regras padrão para ilustrar casos de uso comuns:

A existência de uma regra, por si só, não significa que as notificações estejam ativas. Para começar a receber alertas, é necessário seguir (Follow) a regra. Também é possível editar ou remover as regras padrão que não se adequam ao seu contexto, além de criar novas regras do zero.

As regras podem ser amplas ou altamente específicas. Por exemplo, você pode criar regras recorrentes para temas estratégicos e, ao mesmo tempo, regras direcionadas para CVEs, países, campanhas ou combinações como um país, um tipo de ameaça e um nível específico de severidade.

Seguir uma regra define o que você deseja monitorar, mas não determina como os alertas serão entregues. Para isso, é necessário configurar os canais nas preferências de notificação.

→ Notification Preferences

Você pode escolher canais como WhatsApp e e-mail. Caso opte pelo WhatsApp, também será necessário cadastrar um número de telefone.

Sem pelo menos um canal configurado na seção Monitoring Rules, seguir uma regra não gera notificações.

A área Bulletins you follow reúne os boletins que você está acompanhando. Um boletim pode aparecer nessa área automaticamente quando corresponde a uma regra de monitoramento seguida ou manualmente, ao ser marcado com estrela durante uma investigação.

→ Bulletins you follow

Depois que você passa a seguir um boletim, começa a receber alertas sempre que novos IoCs ou CVEs relacionados a esse boletim forem identificados.

Seguir ou deixar de seguir um boletim afeta apenas a sua conta e não é aplicado para toda a organização.

Em muitos casos, você pode querer explorar livremente o conjunto de dados para entender o que está acontecendo. Para isso existe a área Bulletins, que funciona como o repositório central de todos os boletins da plataforma.

→ All Bulletins

Essa exploração pode ser feita de duas maneiras:

Os dois modos coexistem e atendem a diferentes momentos da investigação. O Smart Search é ideal quando você parte de uma pergunta; já a exploração por filtros é mais adequada quando o objetivo é navegar pela base de dados e refinar gradualmente a pesquisa.

Quando um boletim aponta algo relevante, o CTI oferece áreas específicas para investigação de IoCs, CVEs e Threat Actors.

→ All IoCs

→ All CVEs

→ All Threat Actors

Um boletim é o documento central do CTI. Ele reúne, em um único lugar, tudo o que se sabe sobre uma ameaça específica, incluindo resumo, linha do tempo, ações recomendadas, técnicas utilizadas, vulnerabilidades associadas, evidências técnicas e fontes de informação.

Na parte superior do boletim há um conjunto de elementos que ajuda a estabelecer rapidamente a relevância e o contexto da ameaça. Entre eles estão:

A severidade pode ser classificada como Critical, High, Medium ou Low, indicando a prioridade da ameaça.

As categorias identificam o tipo de ataque envolvido, como:

As datas de criação e atualização ajudam a interpretar a evolução do caso. Um boletim criado em uma data e atualizado meses depois indica que a ameaça continua sendo acompanhada e que o documento permanece ativo ao longo do tempo.

A opção Copy link gera um link público para compartilhamento do boletim. Qualquer pessoa que acessar esse link sem autenticação poderá visualizar o boletim, mas não terá acesso aos dados técnicos de CVEs e IoCs. Diferentemente de uma captura de tela ou de um PDF exportado, esse link aponta para um boletim dinâmico: caso a linha do tempo seja atualizada após o compartilhamento, o destinatário visualizará automaticamente a versão mais recente.

As abas exibidas em um boletim variam conforme as informações identificadas para aquela ameaça:

Boletins com muitas atualizações, diversos TTPs e múltiplas fontes geralmente indicam ameaças ativas e em evolução, tornando-se fortes candidatos para acompanhamento contínuo.

O processo começa com a coleta contínua. A plataforma monitora milhares de fontes, como notícias, relatórios de segurança, investigações, bases de vulnerabilidades, fóruns e canais especializados, buscando sinais de ameaças continuamente.

Em seguida ocorre a correlação. Sinais provenientes de diferentes fontes que apontam para o mesmo evento são correlacionados automaticamente. IoCs, TTPs, atores de ameaça, CVEs e setores afetados são conectados para determinar se o evento observado é isolado ou faz parte de uma campanha mais ampla.

Depois vem o enriquecimento por Inteligência Artificial. Nessa etapa, as informações brutas são organizadas em um formato estruturado e acionável, contendo resumo, técnicas utilizadas, vulnerabilidades associadas, setores e regiões afetados e recomendações de resposta.

A velocidade também é um aspecto essencial: novos boletins podem ser publicados poucos minutos após a identificação do sinal inicial e continuam sendo atualizados à medida que surgem novas informações sobre a mesma ameaça.

Na prática, um boletim é o resultado de um pipeline de inteligência que combina múltiplas fontes, correlação automatizada, enriquecimento por IA e curadoria humana.

A seguir estão alguns exemplos de tecnologias que podem ser adicionadas para monitoramento, agrupadas por categoria. Esta lista é apenas ilustrativa — qualquer tecnologia pode ser adicionada, desde que seu nome corresponda à forma como ela é normalmente referenciada em relatórios de segurança e bases de dados de ameaças.

→ Monitored Assets

Se tiver qualquer dúvida, entre em contato conosco pelo e-mail [email protected]. 😊