O treinamento Intelligence-Driven Threat Hunting na Era da IA, que será conduzido no Mind The Sec 2026, foi desenhado para conectar três disciplinas que estão ficando cada vez mais interdependentes em operações modernas de segurança: Cyber Threat Intelligence, Threat Hunting e workflows assistidos por IA.A premissa técnica é simples:IA só se torna realmente útil para CTI e Threat Hunting quando trabalha sobre inteligência estruturada, telemetria observável, hipóteses explícitas e validação humana.Ao longo de quatro dias, os participantes vão trabalhar com conceitos, ferramentas e atividades práticas que percorrem esse caminho: estruturar inteligência, modelar comportamento adversário, traduzir TTPs em hipóteses de hunting, investigar evidências em telemetria, aplicar IA em etapas analíticas e desenhar workflows com controle, rastreabilidade e aprovação humana.
CTI como base operacional
O treinamento começa tratando Cyber Threat Intelligence como uma disciplina operacional que vai além da leitura de relatórios ou do consumo de indicadores.Os participantes trabalham com conceitos centrais do ciclo de inteligência, qualidade de fonte, contexto, evidência, entidades, observáveis, campanhas, TTPs e relações entre objetos de inteligência. A intenção é criar uma base comum para responder perguntas como:
de onde veio esta informação;
o que ela realmente evidencia;
qual comportamento adversário ela descreve;
quais relações são fortes, fracas ou apenas inferidas;
como transformar esse conhecimento em ação defensiva.
Ferramentas como OpenCTI aparecem nesse contexto como uma forma prática de organizar e explorar inteligência de ameaças. O valor está no raciocínio sobre entidades, relacionamentos, marcações, fontes, campanhas, observáveis e técnicas, usando uma plataforma que ajuda a tornar a inteligência mais rastreável e reutilizável.Essa base é importante porque a qualidade de qualquer análise assistida por IA depende da qualidade da informação que entra no processo. Um modelo pode acelerar leitura, extração e sumarização, mas a operação continua precisando saber diferenciar evidência, hipótese e conclusão.
ATT&CK, STIX e TAXII como linguagem comum
O curso também trabalha com MITRE ATT&CK, STIX e TAXII como camadas de linguagem, estrutura e interoperabilidade.ATT&CK ajuda a organizar comportamento adversário em táticas e técnicas. Isso permite sair de uma descrição genérica de ameaça e chegar a perguntas mais operacionais: que comportamento queremos observar, em que fase da cadeia ele aparece, quais técnicas podem estar envolvidas e que tipo de dado permitiria investigar essa hipótese.STIX contribui com a modelagem estruturada de inteligência. Em vez de manter informações como texto solto, os participantes aprendem a pensar em objetos, relações e metadados que preservam contexto e rastreabilidade. TAXII entra como parte do ecossistema de compartilhamento e transporte dessa inteligência estruturada.Esse bloco sustenta boa parte do restante do treinamento. Quando CTI é estruturada com mais rigor, fica mais fácil conectar inteligência a hunting, automação, reporting e validação.
De TTPs a hipóteses de hunting
Um dos objetivos práticos do treinamento é transformar inteligência em hipóteses investigáveis.Isso exige traduzir TTPs, contexto de campanha ou comportamento adversário em perguntas que possam ser testadas contra telemetria. Uma hipótese de hunting precisa indicar qual comportamento está sendo investigado, por que ele importa, quais fontes de dados podem sustentá-lo e que tipo de evidência ajudaria a confirmar ou rejeitar a hipótese.Esse raciocínio aproxima CTI de Detection Engineering e operações de SOC. A pergunta deixa de ser apenas "quais indicadores temos?" e passa a ser "que comportamento defensivamente relevante podemos procurar, com quais dados, e com qual grau de confiança?".Durante as atividades, os participantes praticam essa passagem entre inteligência, hipótese, requisito de telemetria e investigação. A ênfase está em construir uma linha analítica que possa ser revisada por outra pessoa e reutilizada em um ambiente real.
Telemetria, investigação e validação com Wazuh
Threat Hunting precisa de evidência observável. Por isso, a parte prática do treinamento inclui trabalho com telemetria e investigação em uma superfície de análise baseada em Wazuh, dentro de um contexto mais amplo de SIEM, EDR, logs, eventos e evidências operacionais.O foco está em interpretar sinais, relacionar eventos, avaliar ruído, identificar limitações de visibilidade e sustentar conclusões com dados. O participante deve sair mais confortável com perguntas como:
que fontes de telemetria são relevantes para uma hipótese;
que sinais ajudam a diferenciar comportamento esperado de comportamento suspeito;
que evidências são suficientes para sustentar uma conclusão;
que lacunas de observabilidade precisam ser documentadas;
como transformar uma investigação em um relatório útil para a operação.
Essa etapa também prepara o terreno para o uso de IA. Modelos podem ajudar a organizar raciocínio e reduzir esforço manual, mas a conclusão de hunting precisa continuar ancorada em evidência.
IA aplicada a CTI e Threat Hunting
A parte de IA do treinamento é construída em cima do fluxo analítico anterior.Os participantes exploram usos práticos de modelos de linguagem para tarefas como extração de entidades, sumarização de relatórios, normalização inicial de informação, apoio ao mapeamento ATT&CK, geração de hipóteses, comparação entre fontes, organização de notas e apoio à escrita de conclusões.O ponto técnico mais importante é tratar a saída do modelo como uma contribuição analítica que precisa ser verificada. Isso inclui checar fonte, contexto, justificativa, consistência, cobertura e rastreabilidade.Essa etapa conecta IA a governança operacional: quando confiar, quando revisar, quando pedir mais evidência e quando manter a decisão nas mãos de uma pessoa. O treinamento trabalha a aplicação de IA com validação, limites e responsabilidade operacional.
Workflows agentic com LangGraph
No último eixo técnico, o treinamento avança de assistentes de IA para workflows baseados em agentes.Aqui entram conceitos como estado, etapas de análise, chamada de ferramentas, permissões, memória de execução, validação intermediária, revisão humana e auditoria. LangGraph é uma das peças centrais para discutir esse tipo de workflow, porque permite pensar em processos com estado, transições explícitas e pontos de controle.LangChain aparece como parte do ecossistema de integração entre modelos, ferramentas e saídas estruturadas. n8n entra como uma camada prática para orquestração e integração de workflows. LiteLLM permite abstrair o acesso a modelos, facilitando o uso de diferentes provedores e backends sem amarrar as atividades a um fornecedor específico.A ideia é que o participante entenda como desenhar um workflow assistido por IA para tarefas de CTI e Threat Hunting considerando:
quais ferramentas o workflow pode acessar;
quais dados entram e saem de cada etapa;
onde a IA propõe, estrutura ou resume informação;
onde regras determinísticas validam a saída;
onde a decisão precisa de aprovação humana;
como registrar evidência e justificativa para auditoria posterior.
Esse é o ponto em que IA deixa de ser apenas uma interface conversacional e passa a ser parte de uma arquitetura operacional controlada.
Arquitetura open source e vendor-neutral
A arquitetura prática do treinamento usa componentes open source e vendor-neutral.Isso é importante porque o objetivo é ensinar padrões transferíveis. O participante deve conseguir adaptar o raciocínio para diferentes ambientes, diferentes fontes de telemetria, diferentes plataformas de CTI e diferentes provedores de modelo.No caso de IA, o uso de LiteLLM permite que as atividades funcionem com diferentes backends. Participantes que tiverem hardware adequado podem explorar modelos locais ou open-weight em alguns contextos. A trilha principal das atividades permanece acessível com diferentes formas de acesso a modelos, considerando a realidade de notebooks corporativos ou pessoais sem GPU, memória e ambiente adequados para execução local.O princípio é portabilidade: o método funciona em uma arquitetura aberta, e o aprendizado permanece transferível entre diferentes provedores, modelos e ambientes.
O que os participantes vão praticar
Ao longo do treinamento, os participantes terão contato com atividades que combinam teoria, laboratório guiado e desafio em equipe.Na prática, isso significa trabalhar com:
estruturação de inteligência de ameaças;
modelagem de comportamento adversário;
uso de ATT&CK para organizar TTPs;
raciocínio com STIX/TAXII e plataformas de CTI;
transformação de inteligência em hipóteses de hunting;
identificação de requisitos de telemetria;
investigação de evidências em uma superfície de SIEM/EDR;
uso de IA para apoiar triagem, extração, sumarização e análise;
validação humana de saídas geradas por modelos;
desenho de workflows agentic com ferramentas, limites e aprovação;
produção de conclusões e relatórios defensáveis.
O objetivo é que o participante saia com uma visão integrada: da inteligência estruturada até a investigação, da hipótese até a evidência, da IA até o controle humano.
Para quem se interessar
Esse treinamento foi pensado para profissionais que já vivem perto de operações de segurança: analistas de CTI, threat hunters, analistas SOC L2/L3, engenheiros de detecção, profissionais de resposta a incidentes, engenheiros de segurança, arquitetos e lideranças técnicas.O ganho esperado combina exposição prática a ferramentas com a capacidade de raciocinar melhor sobre como usar IA em processos reais de defesa, com método, rastreabilidade e governança.Em um ambiente onde adversários também usam automação, escala e IA, equipes de defesa precisam transformar inteligência em ação com mais velocidade, mas sem abrir mão de evidência. É essa combinação que o treinamento explora.Mais detalhes e inscrições:Mind The Sec Training 2026
