OsintHunters BrasilOsintHunters Brasil
← Todos os artigos
Carreira

Analista de threat intelligence: o que faz e como entrar na carreira

Método de inteligência, OSINT e escrita clara pesam tanto quanto a técnica nessa função da cibersegurança.

Equipe OsintHunters Brasil· 02/11/2026· 8 min de leitura

Em resumo

  • O analista de threat intelligence transforma dados sobre atacantes em recomendações que alguém consegue executar.
  • Segundo a SANS, 91% dos executivos valorizam a CTI, mas só 26% dizem que ela influencia de forma significativa suas decisões.
  • A rota mais comum passa por um ou dois anos em SOC, embora quem vem de OSINT possa compensar parte da lacuna com estudo e portfólio.
  • Nenhuma certificação é obrigatória: combine uma credencial de base com uma específica e confira o que os anúncios da sua região pedem.
  • Portfólio com casos públicos, sem dados pessoais, mostra método e escrita sem depender de acesso a telemetria interna.

O analista de threat intelligence transforma dados soltos sobre atacantes, malware e campanhas em uma recomendação que alguém na organização consegue executar. Para entrar na carreira no Brasil, o caminho mais comum combina base em segurança (em geral com passagem por SOC), domínio de OSINT e do MITRE ATT&CK e capacidade de escrever relatórios curtos, voltados à decisão.

A função também é conhecida pela sigla CTI, de cyber threat intelligence. Ela interessa a quem já pratica investigação em fontes abertas, porque boa parte do método é o mesmo: definir a pergunta, avaliar a fonte, cruzar dados e declarar o grau de confiança. Este guia mostra o que o cargo faz, o que os anúncios costumam pedir e como montar uma trilha realista.

O que faz um analista de threat intelligence?

A diferença central está entre dado e inteligência. Em apresentação no 14º Fórum Brasileiro de CSIRTs, um analista da Globo separou três degraus: dados são fatos discretos, como IPs, hashes e domínios; informação é o conjunto que responde a uma pergunta específica; inteligência é a análise que habilita uma decisão concreta para um público definido.

Um exemplo público ajuda. A CISA incluiu em outubro de 2026 a falha CVE-2026-97229, do GitLab, em seu catálogo de vulnerabilidades exploradas. Repassar esse alerta é informação. Fazer inteligência seria responder se a organização mantém GitLab próprio exposto na internet, se a versão instalada está corrigida e se os registros permitem descartar um comprometimento.

Esse último ponto não é detalhe. Segundo o BleepingComputer, o projeto Alpine Linux reconstruiu seu GitLab depois de tentativas de exploração, porque a falta de registros impedia descartar a execução de código. Um bom relatório de CTI antecipa esse tipo de lacuna e diz o que fazer com ela.

No dia a dia, guias de carreira como o da TryHackMe descrevem quatro atividades recorrentes: acompanhar grupos de ameaça, enriquecer indicadores de comprometimento para o SOC, mapear comportamentos no MITRE ATT&CK e escrever relatórios. A mesma fonte resume a distinção com o SOC: o SOC reage ao que acontece agora, enquanto o analista de inteligência busca antecipar quem pode mirar a organização e de que forma.

Três níveis de entrega

A certificação GCTI, da GIAC, organiza a disciplina em três camadas, e elas ajudam a entender para quem se escreve:

  • Estratégica: tendências e riscos para a liderança, em linguagem de negócio.
  • Operacional: campanhas e atores, para quem planeja a defesa.
  • Tática: indicadores e técnicas, para detecção e resposta.

Por que saber escrever pesa tanto em CTI?

A pesquisa 2026 da SANS sobre o tema, com 401 profissionais e 67 executivos de segurança de vários países, traz um dado que explica boa parte da função. Segundo os resumos publicados por patrocinadores do estudo, 91% dos executivos consideram a CTI valiosa, mas só 26% dizem que ela influencia de forma significativa suas decisões.

Em outras palavras, o problema raramente é a precisão. Falta dizer o que fazer a seguir. Os executivos ouvidos priorizam vulnerabilidades em exploração ativa (79%) e técnicas específicas de adversários (77%).

A mesma pesquisa ajuda a ajustar expectativas:

  • 56% das organizações relatam time formal de CTI, o maior índice da série, mas a maioria tem menos de quatro pessoas em tempo integral.
  • 45% já usam IA em seus programas, principalmente para resumir dados e redigir relatórios, com revisão humana.
  • As barreiras mais citadas são falta de tempo e de verba (44% cada); falta de habilidade técnica aparece com 24%.

Vale a ressalva: é um levantamento global, sem recorte brasileiro, e parte dos números veio de resumos de empresas patrocinadoras. Na prática, um time pequeno costuma esperar que a mesma pessoa atenda SOC, gestão de vulnerabilidades e liderança.

Quais perfis existem dentro de CTI?

A apresentação do Fórum de CSIRTs lembra que os cargos não têm nomenclatura padronizada, o que confunde quem procura vaga. Três perfis aparecem com frequência:

  • Analista estratégico: adapta a mensagem para a alta gestão e produz panoramas de ameaça e avaliações de risco.
  • Analista técnico ou pesquisador: extrai indicadores de relatórios de malware, cria regras YARA e Sigma e faz pivôs em bases de dados.
  • Engenheiro de inteligência: automatiza coleta, mantém plataformas como MISP e OpenCTI e integra os dados a SIEM e EDR.

Há também funções vizinhas, que usam inteligência sem levar a sigla no título. Anúncios públicos de novembro de 2026 mostram exemplos em engenharia de detecção de ameaças de identidade e em gestão de vulnerabilidades. Por isso, vale pesquisar por atividade, e não apenas por "threat intelligence".

O que as vagas de threat intelligence pedem no Brasil?

Um anúncio da EY para analista sênior de CTI em São Paulo, publicado em maio de 2026 e hoje encerrado, serve de amostra do vocabulário do mercado. Ele pedia experiência na área, inglês ou espanhol avançado e familiaridade com SIEM (Sentinel, Splunk, QRadar), EDR (Defender, CrowdStrike) e ferramentas de CTI (OpenCTI, MISP, Shodan, Maltego). Certificações como GCTI, CEH, Security+ e CySA+ apareciam como diferencial, assim como YARA e regras Sigma.

Um único anúncio não é estatística, e vaga sênior não descreve a porta de entrada. Ainda assim, o conjunto indica o que estudar: idioma, uma plataforma de inteligência, noções de telemetria e o ATT&CK como linguagem comum.

Sobre remuneração, não localizamos levantamento público confiável e específico para CTI no Brasil. O dado que circula em guias internacionais é americano (média de US$ 109.848 ao ano, segundo a TryHackMe, citando o ZipRecruiter) e não deve ser usado como referência local.

Como começar uma carreira em threat intelligence?

A TryHackMe observa que a maioria das pessoas chega à função depois de um ou dois anos em SOC ou análise de segurança, embora a rota direta seja possível. Essa experiência mostra como alertas e registros aparecem de verdade e o que acontece com o relatório depois de entregue.

Primeiro, a base técnica

Redes, sistemas, registros e noções de nuvem e identidade formam o mínimo. A apresentação da Globo inclui Active Directory, IAM e nuvem híbrida entre as competências de um analista, ao lado de pensamento crítico, comunicação e visão de negócio.

Depois, o método

O currículo do grupo de CTI do FIRST é gratuito e cobre o que costuma faltar a quem vem só da técnica: avaliação de fontes, ciclo de inteligência e comunicação de incerteza. Um conceito vale destaque: o requisito prioritário de inteligência (PIR). O FIRST insiste que esses requisitos devem ser poucos, bem delimitados e ligados a pontos de decisão.

Hipoteticamente, um PIR de uma fintech seria: "quais grupos estão fraudando contas Pix de clientes de instituições do nosso porte, e que sinais conseguimos detectar?". A pergunta orienta a coleta e impede o acúmulo de feeds sem uso.

Certificações: quais fazem sentido?

Nenhuma é obrigatória. A sugestão mais equilibrada entre as fontes consultadas é uma credencial de base e uma específica, em vez de uma coleção:

  • Base: CompTIA Security+ e, depois, CySA+.
  • Específicas de CTI: CTIA, da EC-Council, para níveis iniciais e intermediários, e GCTI, da GIAC, voltada a especialistas.

Antes de pagar, confira requisitos e preços no site de cada certificadora e procure a sigla em anúncios reais da sua região.

Por fim, um portfólio com casos públicos

A falta de acesso a telemetria interna é a principal barreira de quem vem de fora, e dá para contorná-la. Escolha um caso amplamente documentado, como o roubo de cripto da Binance, que o FBI atribuiu ao grupo TraderTraitor, e escreva uma página com: conclusão no início, técnicas mapeadas no ATT&CK, grau de confiança, lacunas e três recomendações para uma empresa fictícia.

Trate atribuição com cuidado e sempre indique quem afirmou o quê. Já tratamos do formato em Portfólio OSINT: como montar o seu.

Limites éticos e legais da inteligência de ameaças

OSINT em CTI não autoriza tudo. Coleta passiva em fontes abertas é diferente de invadir sistemas, testar credenciais vazadas ou comprar dados de criminosos, e essas condutas podem trazer risco jurídico para a pessoa e para a empresa.

Três cuidados valem desde o portfólio:

  • Minimização: a LGPD também alcança dados pessoais que aparecem em vazamentos e fóruns. Registre apenas o necessário para a finalidade.
  • Compartilhamento: use o Traffic Light Protocol (TLP), do FIRST, para deixar claro até onde cada informação pode circular. A SANS aponta que 55% das organizações ainda não têm processo de compartilhamento revisado pelo jurídico.
  • IA com revisão: resumo automático não substitui a conferência da fonte original por uma pessoa qualificada.

Na prática

  • Leia um alerta da CISA ou do CTIR Gov e escreva, em cinco linhas, o que mudaria na sua organização.
  • Pratique o ATT&CK mapeando um relatório público, técnica por técnica.
  • Escreva um PIR antes de assinar qualquer feed.
  • Declare sempre o grau de confiança e o que você não conseguiu confirmar.
  • Pesquise vagas também por "engenharia de detecção", "vulnerability intelligence" e "threat hunting".
  • Publique só análises de casos públicos, sem dados pessoais de vítimas ou investigados.

Conclusão

A carreira de analista de threat intelligence recompensa quem une curiosidade investigativa, base técnica e clareza para orientar decisões. A prática de OSINT já traz metade do método, e a outra metade se constrói com telemetria, ATT&CK e escrita. Um bom primeiro passo cabe em uma página: um caso público, analisado com rigor e com uma recomendação que alguém poderia executar.

Referências

Perguntas frequentes

O que faz um analista de threat intelligence?

Ele coleta e analisa informações sobre atores, campanhas e técnicas de ataque para orientar decisões de defesa. Entre as entregas estão relatórios para a liderança, indicadores enriquecidos para o SOC e mapeamentos no MITRE ATT&CK. O foco está em antecipar riscos relevantes para a organização, e não apenas em reagir a alertas, sempre declarando o grau de confiança da análise.

Preciso passar por SOC antes de trabalhar com CTI?

Não é obrigatório, mas é a rota mais comum, segundo guias de carreira do setor. Um ou dois anos em SOC ou em análise de segurança ensinam como alertas e registros funcionam em ambiente real. Profissionais de OSINT, jornalismo ou análise de dados podem compensar parte dessa lacuna estudando telemetria e publicando análises de casos públicos.

Qual certificação escolher para threat intelligence?

Nenhuma é exigida para entrar na área. Uma combinação sensata é uma credencial de base, como CompTIA Security+ ou CySA+, com uma específica, como CTIA ou GCTI. Antes de investir, compare preços e requisitos nos sites oficiais e verifique quais siglas aparecem nos anúncios da sua região, porque a exigência varia conforme a empresa e o nível da vaga.

OSINT e threat intelligence são a mesma coisa?

Não. OSINT é uma disciplina de coleta e análise baseada em fontes abertas, usada em jornalismo, compliance e investigações diversas. Threat intelligence é a produção de inteligência sobre ameaças cibernéticas e usa OSINT como uma das fontes, ao lado de telemetria interna, feeds comerciais e comunidades de compartilhamento. O domínio de OSINT é uma boa base, mas ainda é preciso aprender o contexto de segurança.

Referências