Top 5 Serviços de Inteligência de Ameaças Cibernéticas Avaliados

Executamos provas de conceito práticas em 5 serviços de inteligência de ameaças cibernéticas, pontuando cada um em relação aos mesmos 33 critérios em 8 categorias, usando um conjunto compartilhado de sondas de IOCs históricos, 6 atores de ameaça e 4 CVEs exploradas. O resultado mais contraintuitivo é que o gratuito AlienVault OTX empatou com o CrowdStrike, a plataforma mais cara aqui, em automação.

Veja como os 5 serviços pontuaram, onde cada um lidera e como combiná-los em um programa de inteligência de ameaças em camadas:

Serviços de inteligência de ameaças cibernéticas comparados

*O CrowdStrike é pontuado no nível da família de produtos, pois suas capacidades abrangem mais de 4 assinaturas (veja a metodologia).

Pontuações por categoria

Estes 5 serviços representam 5 arquétipos distintos de inteligência de ameaças, então o benchmark identifica posicionamento em vez de declarar um único vencedor: cada produto desempenha um trabalho diferente em um programa de inteligência de ameaças.

Principais descobertas

Os rótulos de marketing implicam uma hierarquia que nossos testes inverteram em vários pontos:

• A plataforma gratuito empatou com os líderes premium em interfaces de automação. O AlienVault OTX expõe APIs REST, SDKs e TAXII sem custo, e obtém nota máxima em integração e API, os mesmos 4 de 4 que CrowdStrike e Feedly, enquanto o CrowdStrike restringe seu feed STIX/TAXII atrás do Premium e o X-Force retorna 403 em chamadas de API do seu nível gratuito.
• O líder de cobertura moveu a inteligência de CVE para um produto separado. O CrowdStrike confirmou 30 dos 33 critérios com zero capacidades ausentes; ainda assim, sua única lacuna estrutural é a inteligência de vulnerabilidades: os dados de CVE e a pontuação ExPRT.IA ficam no SKU separado Falcon Exposure Management, não no Adversary Intelligence. Na profundidade de CVE, o freemium X-Force e o Feedly são mais integrados que o produto mais caro do benchmark.
• A pontuação mais baixa não significa o pior produto. O GreyNoise confirmou 10 capacidades com 16 critérios ausentes, mas é a plataforma especializada mais forte para identificar varredura benigna da internet e reduzir a fadiga de alertas. Seus 16 critérios ausentes cobrem capacidades que o produto nem sequer afirma ter.
• A plataforma freemium mais completa está sendo descontinuada. O X-Force ofereceu a experiência freemium mais completa do benchmark, mas a IBM anunciou uma data de fim de vida de 31 de agosto de 2026, com clientes migrando para o Palo Alto Cortex.¹
• Um antigo leitor de RSS terminou em segundo lugar. O Feedly, apesar de sua herança de leitor para consumidores, confirmou 19 capacidades por meio de extração de IoC/TTP baseada em IA, inteligência de vulnerabilidades pontuada por EPSS e a mais ampla variedade de exportação/entrega, à frente de X-Force, GreyNoise e OTX.

CrowdStrike Falcon Adversary Intelligence

Figura 1. Visão principal do CrowdStrike Falcon Adversary Intelligence

O CrowdStrike cobre todos os 33 critérios no nível da família de produtos, embora 3 estejam parcialmente disponíveis. Nós o testamos em um teste Premium na região EU-1.² O teste não exigiu MFA, embora as sessões tenham caído após cerca de uma hora. As capacidades de CTI do CrowdStrike não são um único produto, mas uma família, abrangendo Adversary Intelligence (base), Adversary Intelligence Premium, Counter Adversary Operations (CAO) Elite, Recon e Recon+, e Exposure Management. A pontuação é medida no nível da família de produtos por esse motivo.

Fontes de dados

A base é a telemetria de primeira parte dos sensores Falcon combinada com a pesquisa de Counter Adversary Operations e OverWatch, além da coleta do Recon em web aberta, profunda e dark.

Figura 2. O painel do CrowdStrike Falcon permite adicionar páginas restritas

O Recon monitora milhões de páginas restritas, fóruns criminais e plataformas criptografadas, o único serviço aqui que alcança fontes subterrâneas dentro da família de produtos.

Cobertura e tipos de inteligência

O módulo de malware lista 4.207 famílias de malware, cada uma com capacidades (RAT, InfoStealer, coleta de credenciais, botnet), sistemas-alvo, adversários associados e filtros para vulnerabilidades, kill chain e MITRE.

Figura 3. O módulo de malware

O MalQuery pesquisa 3.5B+ arquivos e o Falcon Sandbox roda no nível base. O monitoramento de marca, a impersonação de domínio e mídia social (Recon) e a detecção de credenciais expostas com redefinição forçada do Falcon Identity Protection (Recon) existem aqui e em nenhum outro serviço testado. A única lacuna é a inteligência de vulnerabilidades: os dados de CVE e a pontuação ExPRT.IA ficam no SKU separado Exposure Management, então conectar um adversário a uma CVE exige duas assinaturas.

Análise e enriquecimento

Cada perfil de adversário apresenta uma matriz MITRE ATT&CK e uma aba de kill chain diretamente na interface, no nível base, sem chamada de API e sem muro Premium. Nenhum outro serviço testado renderiza a ATT&CK nativamente: o OTX a retorna apenas pela API, o X-Force a reserva para conteúdo Premium e o Feedly a deriva por agregação.

Figura 4. Matriz ATT&CK por adversário

O Intel Explorer une adversário, malware, vulnerabilidade e relatório, e o Indicator Graph API expõe esses relacionamentos. O risco de IOC usa buckets malicious_confidence (alto, médio, baixo, não verificado), que são mais grosseiros que a escala numérica de 1 a 10 do X-Force.

287 adversários nomeados, cada um com um perfil estruturado cobrindo origem, motivação, setores-alvo e 30+ países-alvo. Em nossas sondas, o mapeamento de alias do APT28 (STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, BlueDelta) correspondeu exatamente à nossa chave de resposta.

Atribuição

O console listou 287 adversários nomeados (materiais públicos citam 281+ para 2026), cada um estruturado com origem, motivação, setores e países-alvo, contagem de relatórios de inteligência e ID da comunidade.

Figura 5. Adversários do CrowdStrike Falcon

O perfil do FANCY BEAR (APT28) ia de uma data de primeira observação de 2007 até última observação em abril de 2026, marcado como patrocinado por Estado, origem Federação Russa, 30+ países-alvo, com reconciliação completa de alias: STRONTIUM, Forest Blizzard, Sofacy, Sednit, Pawn Storm, Iron Twilight, BlueDelta e APT28, correspondendo exatamente à nossa chave de resposta.

Figura 6. Resumo da inteligência de ameaças com Fancy Bear

O Labyrinth Chollima foi mapeado para Lazarus e o Carbon Spider para FIN7; LockBit, Scattered Spider e MuddyWater podiam ser localizados por ID da comunidade. Tudo isso está no nível base.

Plataforma

A busca facetada de adversários, além do FQL em toda a plataforma e uma API SearchIndicators, cobrem as necessidades de consulta; o hub Intelligence traz painéis, marcadores e notificações, com regras de monitoramento do Recon para alertas de marca e identidade.

O módulo Reports contém 429 relatórios de inteligência concluídos (filtrados por adversário, MITRE, setor, país e malware), além do relatório Threat Hunting 2025; a biblioteca completa é Premium.

Nenhum outro serviço testado oferece acesso a RFI (5 por ano, Premium) ou um analista designado (CAO Elite). Como a CTI compartilha um console com o Falcon EDR/XDR, NG-SIEM, Investigate e Fusion SOAR, um cliente Falcon existente o adota com custo de integração quase zero.

Integração e API.

Uma API REST OAuth2 (cliente Create API, base api.eu-1) acompanha dois SDKs oficiais, FalconPy para Python e PSFalcon para PowerShell, o acesso programático mais maduro dos 5.

Figura 7. Lista de clientes da API REST OAuth2 do CrowdStrike Falcon

O Fusion SOAR é nativo e o feed de inteligência exporta STIX/TAXII/JSON, embora o feed STIX/TAXII seja Premium. Apenas no eixo de automação gratuito, o OTX é mais forte.

Relatórios

A ferramenta abrange relatórios estratégicos, operacionais, táticos e setoriais, com PDF de relatório, API, STIX/TAXII e entrega por e-mail ou SIEM. O módulo Reports contém 429 relatórios de inteligência concluídos (filtros por adversário, MITRE, setor, país e malware), além do relatório Threat Hunting 2025; a biblioteca completa é Premium.

Figura 8. Relatórios concluídos de Recon do CrowdStrike Falcon

Cenários operacionais

O Recon+ oferece remoção gerenciada de ponta a ponta (contas falsas, phishing, domínios) com um clique via CSC Global, a única remoção dentro da plataforma entre os 5. A caça gerenciada OverWatch, o Fusion SOAR, o FalconPy e o suporte a YARA/SNORT apoiam a caça orientada por inteligência (Premium). O CrowdStrike perde ambas as notas parciais para o empacotamento: a priorização de vulnerabilidades (ExPRT.IA) fica no Exposure Management, e o monitoramento da cadeia de suprimentos do Recon foca na impersonação de parceiros e fornecedores, em vez de uma classificação completa de risco de fornecedores.

Onde ele lidera e onde custa

O CrowdStrike abre mão de suas 3 notas parciais por escolhas de posicionamento, não por capacidades ausentes: a inteligência de CVE fica em um SKU separado (2 das 3) e a cobertura da cadeia de suprimentos para na impersonação. As verdadeiras compensações são a fragmentação de SKUs em 4+ assinaturas, o custo total mais alto dos 5, nenhuma camada de feed gratuito e pontuação de risco mais grosseira que a do X-Force ou GreyNoise.

Melhor para: Equipes maduras de SOC e CTI com um programa de inteligência de ameaças centrado em atribuição (rastreamento de APT, campanhas, ATT&CK) e orçamento para proteção contra riscos digitais, especialmente clientes existentes do Falcon EDR/XDR. Equipes com orçamento restrito ou que precisam de uma única capacidade específica devem procurar em outro lugar.

Feedly Threat Intelligence

A camada de agregação IA-OSINT e a segunda maior pontuação dos 5. Nós o testamos em um teste de 30 dias do Threat Intelligence (“Playground”) com login por link mágico sem senha. O Feedly não produz telemetria de primeira parte. Seu Leo IA lê fontes e seu Threat Graph mantém 10M+ artigos, 681M+ IoCs, 300K+ CVEs, 979 atores de ameaça, 12K+ famílias de malware e 800 TTPs. O preço gira em torno de $19,2K por ano para o Standard e $38,4K para o Advanced, com o MCP Server e a API avançada no Advanced ou Enterprise.

Fontes de dados

O painel Today classifica artigos em categorias curadas por IA (vulnerabilidades, ataques cibernéticos, inteligência de ameaças, notícias de segurança, avisos de fornecedores) e deduplica a cobertura de um evento em muitas fontes, colapsando um cartão marcado “+426 feeds” em um único item. Por trás dele estão 10.000+ fontes curadas, da web clara e da dark web, além de milhões de feeds brutos. Nenhuma rede própria de sensores está disponível (o único ✗ nesta categoria), e a dark web é alcançada por agregação, não por operação de primeira parte.

Figura 9. Workspace do Feedly Threat Intelligence

Cobertura e tipos de inteligência

O Leo extrai IoCs do texto de artigos automaticamente: um cartão do ransomware GodDamn foi marcado como “IoC > 4 IPs e 18 hashes” e um cartão da cadeia de suprimentos da jscrambler como “5 endereços de e-mail e 5 hashes”, extraindo 4 tipos de IoC estruturalmente, algo que pulse tags e buscas de reputação não conseguem fazer.

Figura 10. Painel de Threat Intel

Nenhum outro serviço testado coloca CVSS, EPSS, KEV e status de exploração em uma única tela.

Figura 11. Detalhe do item CVE

As duas lacunas são rastreamento de marca (parcial, baseado em palavras-chave) e credenciais vazadas (ausente).

Análise e enriquecimento

O Leo marca artigos com técnicas ATT&CK (“33 TTPs”, “24 TTPs”, “TA0004”) e as exporta para o Navigator, e o Real-Time Threat Graph é um gráfico de relacionamento funcional entre artigo, IoC, CVE, TTP, ator e malware. A reputação bruta de IP e hash não são motores próprios; eles cruzam o VirusTotal e o GreyNoise. Não há pontuação formal de risco de artigo; a pontuação permanece no lado de vulnerabilidades por meio de EPSS e CVSS.

Atribuição

Os Threat Actor Insights Cards cobrem 979 atores, com reconciliação de alias e links para alvos, TTPs, malware e CVEs. No entanto, o conteúdo é derivado de OSINT e não de primeira parte, então o Feedly compila a atribuição em vez de criá-la.

Plataforma

Os IA Feeds aceitam consultas booleanas, o Ask IA aceita linguagem natural e os Team Boards contêm alertas de watchlist. A inteligência concluída é síntese de IA (Ask IA, Insights Cards) em vez de uma biblioteca escrita por analistas (~), e não há RFI nem analista sob demanda (✗).

Integração e API

Uma 2.1 API REST STIX, 11+ conectores SIEM/SOAR (Anomali, MISP, Cortex XSOAR, EclecticIQ, ThreatQ, ThreatConnect, Sentinel, Splunk, OpenCTI), exportação multiformato e entrega para Slack, Teams, e-mail e newsletters estão presentes. O MCP Server, para automação de CTI assistida por IA, não aparece em nenhum outro serviço testado.

Relatórios

O Report Builder e o Ask IA geram resumos executivos, avisos de vulnerabilidade, briefings de TTP de atores e newsletters, então o produto gera entregáveis prontos em vez de dados brutos.

Cenários operacionais

O Vulnerability Dashboard é a priorização integrada EPSS/KEV no produto principal de qualquer serviço testado. A correspondência de IoC alimenta SOAR e TIP com contexto, e existe um caminho de ticket no ServiceNow orientado por MCP. O Vulnerability Dashboard é a única priorização integrada de EPSS/KEV, incorporada ao produto principal em vez de um complemento.

Figura 12. Painel de vulnerabilidades do Feedly Threat Intelligence

Onde ele lidera e onde fica devendo

As 4 marcações ✗ seguem todas do arquétipo: nenhum sensor de primeira parte, nenhum banco de credenciais vazadas, nenhum RFI, nenhuma remoção. A atribuição permanece derivada de OSINT. Trate-o como um compilador e front-end de relatórios sobre as fontes primárias, não como um substituto para elas.

Melhor para: Equipes de CTI de autoatendimento que desejam acelerar a triagem de OSINT, acompanhar CVEs e TTPs e produzir entregáveis de inteligência prontos. Trate-o como uma camada compiladora sobre as fontes primárias, não como um substituto para elas.

IBM X-Force Exchange (descontinuado em breve)

⚠ A IBM anunciou o fim de vida do X-Force Exchange em 31 de agosto de 2026, com recursos de QRadar e inteligência de ameaças migrando para o Palo Alto Cortex. Avalie-o pelo que ele ensina sobre inteligência de ameaças estruturada, não como uma base de longo prazo.

Figura 13. Painel do IBM X-Force Exchange

O freemium mais estruturado dos 5. Nós o testamos no nível Freemium gratuito com um IBMid.³ O primeiro login forçou a inscrição de MFA por e-mail-OTP e a aceitação dos termos de serviço. O modelo de níveis divide capacidades por preço: o Freemium oferece o portal e relatórios de amostra sem API, o Essentials adiciona a API REST, enriquecimento e TAXII, o Standard adiciona um feed em massa, e o Premium desbloqueia profundidade de grupos de ameaça, setores, malware e ATT&CK.

Fontes de dados

O feed combina as próprias equipes de pesquisa da IBM, uma parceria de malware ReversingLabs, feeds de IP, URL, vulnerabilidade e assinatura, e telemetria DNS da Quad9… O volume fica abaixo dos cerca de 20M IOCs por dia do OTX, mas o conteúdo é revisado em vez de crowdsourced. Ele não atinge o volume bruto do OTX, mas não traz ruído. A dark web está ausente da plataforma; o monitoramento real ocorre em serviços separados do X-Force IRIS.

Cobertura e tipos de inteligência

O enriquecimento voltou estruturado e sem ruído: o IP C2 do Conti (162.244.80.235) retornou um Risco numérico de 1/10 após envelhecimento, um histórico de categorização (marcado como “Unsuspicious” no momento do teste, após uma revisão de analista de 2022 remover a tag de malware), uma linha do tempo de 31 eventos, ASN e sub-rede, WHOIS e DNS passivo. O domínio SUNBURST⁴ retornou Risco 10/10, C2 de botnet, com o sinkhole da Divisão Cibernética do FBI registrado no WHOIS, contra o ruído de 1.487 tags que o mesmo indicador recebeu no OTX. A capacidade de assinatura é o X-Force Database, 260K+ vulnerabilidades: uma busca por Log4Shell cruzou 50 vulnerabilidades, 200 assinaturas, 200 IPs de exploração, 5 perfis de grupos de ameaça, 11 análises de malware e 3 setores, sem qualquer SKU adicional. O hash do WannaCry retornou família, tipo, plataforma, 97% de cobertura da comunidade e dados ReversingLabs Titanium com datas de primeira e última observação. Credenciais vazadas estão ausentes, e a marca é parcial.

Cobertura e tipos de inteligência

O IP C2 do Conti (162.244.80.235) retornou um Risco numérico de 1/10 após envelhecimento, um histórico de categorização (marcado como “Unsuspicious” hoje, após uma revisão de analista de 2022 remover a tag de malware), uma linha do tempo de 31 eventos, ASN e sub-rede, WHOIS e DNS passivo.

Figura 14. IP C2 do Conti no IBM X-Force

O domínio SUNBURST⁴ retornou Risco 10/10, C2 de botnet, com o sinkhole da Divisão Cibernética do FBI registrado no WHOIS, contra as 1.487 tags que o mesmo indicador recebeu no OTX.

Figura 15. Busca de URL do SUNBURST

A capacidade de assinatura é o X-Force Database, 260K+ vulnerabilidades: uma busca por Log4Shell cruzou 50 vulnerabilidades, 200 assinaturas, 200 IPs de exploração, 5 perfis de grupos de ameaça, 11 análises de malware e 3 setores, sem qualquer SKU adicional.

Figura 16. Rastreamento do Log4Shell

O hash do WannaCry retornou família, tipo, plataforma, 97% de cobertura da comunidade e dados ReversingLabs Titanium com datas de primeira e última observação. Credenciais vazadas estão ausentes, e a marca é parcial.

Figura 17. Relatório de malware do WannaCry

Análise e enriquecimento

A pontuação numérica de Risco de 1 a 10 carrega uma linha do tempo temporal de revisão de analista, o único modelo de pontuação numérica em um nível gratuito: o OTX não oferece pontuação numérica, e o GreyNoise usa 4 categorias. A ATT&CK não está na página de IOC; ela aparece no conteúdo Premium, e não há gráfico visual de links.

Atribuição

Existem perfis estruturados de Threat Group e IRIS ITG, e o fluxo de avisos de 2026 está atual (APT28 PRISMEX, Early Warning). Mas o Freemium mostra apenas amostras, os perfis profundos são Premium, e a maioria dos APTs grandes não tem perfil dedicado sob a nomenclatura ITG da IBM, então a reconciliação de alias fica a cargo do analista. Isso fica atrás dos 287 perfis de adversários do CrowdStrike com ATT&CK nativa na interface.

Plataforma

A busca facetada (10+ tipos, além de um filtro de risco), uma Watchlist focada em vulnerabilidades, Collections e Notifications tornam o portal gratuito o mais maduro dos níveis freemium e comunitários. A lacuna é o acesso a analistas: não há RFI no produto.

Relatórios

A biblioteca de inteligência concluída chega a mais de 8 tipos de relatório (Threat Group, OSINT, Malware, Industry, Threat Index) e permanece atual até 2026, com um perfil do setor de serviços financeiros detalhando setor e geografia. A priorização de vulnerabilidades é incompleta: a explorabilidade por CVSS e o cruzamento de referências são fortes, mas não há EPSS nem fluxo produtizado.

Figura 18. Relatório de perfil do setor de serviços financeiros

Integração e API

A exportação STIX 2 por relatório funciona no Freemium, e a integração com o QRadar é nativa, mas a API e o TAXII começam no Essentials e o feed em massa no Standard, então o nível gratuito retorna 403 em chamadas de API. O X-Force é a imagem espelhada do OTX: uma UI gratuito rica com automação paga.

Cenários operacionais

Monitoramento da dark web, credenciais vazadas, remoções e RFIs estão fora da plataforma, alguns deles em serviços separados X-Force IR e TI. A caça a ameaças depende de Collections, exportação STIX e QRadar, com a operacionalização em massa vinculada à API paga.

Onde ele lidera e onde fica devendo

O banco de vulnerabilidades XFDB, o enriquecimento de risco numérico e a biblioteca atual de inteligência concluída colocam o X-Force acima do OTX e abaixo do CrowdStrike, na faixa média-alta. Pontos fracos: a data de fim de vida, automação paga, ausência de camada de ação dentro da plataforma e atribuição bloqueada no Premium. Nenhuma equipe deve construir um pipeline plurianual sobre ele, dado o fim de vida em 2026.

Melhor para: Analistas que precisam de enriquecimento estruturado e gratuito de IOC e pesquisa de vulnerabilidades dentro do ecossistema IBM/QRadar, até a migração. Qualquer pessoa que esteja selecionando uma plataforma plurianual deve planejar sua substituição agora.

GreyNoise

Figura 19. Painel inicial do GreyNoise

O GreyNoise é o mais estreito dos 5 e o mais profundo em sua faixa única. Nós testamos o nível Community gratuito⁵ por login Auth0 sem MFA. O GreyNoise responde a uma pergunta: este IP está escaneando a internet em massa, é malicioso, benigno, suspeito ou desconhecido, e o que ele está procurando. Os dados vêm de sua própria Global Observation Grid: 5.000+ sensores em cerca de 80 países, 500M a 1B sessões por dia e 50M+ IPs observados. Uma consulta last_seen:1d no dia do teste retornou 699.076 IPs de scanner ativos. O modelo de níveis limita profundidade e janela, não capacidade: o Community oferece retrospectiva de 10 dias e enriquecimento básico, com RIOT, a faceta CVE: e janelas mais longas nos níveis superiores; 17 dos 33 critérios são alcançáveis no Community.

Fontes de dados

O GreyNoise possui sua própria telemetria de varredura, algo que o feed crowdsourced do OTX e a agregação do Feedly não possuem, e que está em um eixo diferente da telemetria de endpoint do CrowdStrike. O restante da categoria é estreito: a fonte é de um único tipo (IPs de varredura), os metadados de IP-geo são técnicos e não um perfil regional de ameaça, e a dark web está fora do escopo.

Figura 20. Resultados da busca por last_seen:1d

Cobertura e tipos de inteligência

A categoria mais fraca para o GreyNoise. O GreyNoise lida com um único tipo de indicador, endereços IP, além de dados de CVE, tag e JA4 vinculados a IP, sem reputação nativa de hash, domínio ou URL. Uma consulta por 8.8.8.8 (Google DNS) retornou corretamente NOT OBSERVED, já que um servidor DNS não é um scanner. Os dados de vulnerabilidade são um sinal de exploração, e não um banco de dados: a faceta cve: fica acima do Community, mas a visão Trends ainda lista quais CVEs estão sob exploração em massa agora, sem dados de CVSS, EPSS ou patch.

Figura 21. Exploração em alta mapeada por CVE

Análise e enriquecimento

Um IP malicioso (139.59.140.35) retornou uma linha do tempo de classificação, 34 tags, um sinalizador de falsificação, geolocalização (Alemanha, Hesse, Frankfurt, AS14061 DigitalOcean), operadora e rDNS, mais contexto por IP do que qualquer outro serviço testado retornou. O risco usa um modelo categórico de 4 classes (malicioso, benigno, suspeito, desconhecido) com correspondência de conhecidos bons no RIOT em vez de uma pontuação numérica; no dia do teste, a distribuição ao vivo tinha 84K maliciosos, 20K benignos, 68K suspeitos e cerca de 528K desconhecidos. Não há mapeamento ATT&CK.

Atribuição

Nesta categoria, observamos quatro ausências por design. Não há APTs nomeados; as tags de ator nomeiam scanners benignos como Shodan e Censys, não grupos de ameaça.

Plataforma

O GNQL é uma linguagem de consulta baseada em Lucene em campos de IP, classificação, tags, ator, CVE e metadados, a superfície de consulta mais expressiva no domínio de ruído de IP. Alertas (uma consulta GNQL salva para e-mail), uma lista de bloqueio baseada em consulta e um painel Trends cobrem o monitoramento, embora o painel seja limitado. Inteligência concluída e RFI estão ausentes.

Integração e API

Mais de cinquenta integrações abrangem SIEM, SOAR, TIP e firewall (Splunk, Sentinel, QRadar, Tines, ThreatConnect, MISP, OpenCTI, Palo Alto, Fortinet), três níveis de API (Community, Enterprise, On-Prem) acompanham o SDK oficial pygreynoise, e cada consulta GNQL também funciona como uma URL de lista de bloqueio ao vivo compatível com firewall. A lacuna é STIX/TAXII nativo, que exige uma ponte MISP ou OpenCTI.

Relatórios

A exportação inclui JSON e CSV, além da URL de lista de bloqueio e entrega de Alertas, e os dados são quase em tempo real, mas não há formato de relatório nem inteligência concluída ou relatórios setoriais.

Cenários operacionais

O cenário principal é reduzir o ruído de alertas do SOC classificando scanners conhecidos como benignos antes que cheguem ao SIEM, além de análise de IP em massa. Nenhum dos outros 4 faz isso. O sinal de exploração do Trends complementa pontuações baseadas em probabilidade, com o produto completo em um complemento pago. Remoção e cadeia de suprimentos estão fora do escopo.

Figura 22. Resultados da busca por benign last_seen:1d

Onde ele lidera e onde fica devendo

O GreyNoise não atende 16 critérios que nunca se propôs a atender. Os pontos fracos diante de uma expectativa de plataforma completa são: escopo limitado a IPs, nenhuma atribuição, nenhuma inteligência concluída ou RFI, nenhuma pontuação numérica de risco e nenhum STIX/TAXII nativo. Ele funciona como uma camada, não como uma plataforma.

Melhor para: Uma camada complementar diante de um SIEM ou pilha de inteligência de ameaças existente: triagem de alertas, análise de IP em massa e verificações do tipo “esta CVE está realmente sendo explorada?”. Ele não pode servir como plataforma autônoma de inteligência de ameaças, e não afirma isso.

AlienVault OTX

Figura 23. Painel principal do AlienVault OTX

O feed gratuito e o motor de automação, operado pela LevelBlue (anteriormente AT&T Cybersecurity / AlienVault). Nós testamos o console do nível Community,⁶ o acesso mais sem atrito dos 5, sem cartão de crédito, sem contador de teste, sem MFA e com sessão persistente. Uma chave de API está a um clique de Settings, e o DirectConnect documenta a API REST, SDKs e o servidor TAXII.

Fontes de dados

O OTX movimenta cerca de 20M IOCs por dia de aproximadamente 200K participantes, com 95M indicadores navegáveis. Todas as 4 sondas históricas de IOC foram encontradas. O IP C2 do Conti (162.244.80.235, CISA AA21-265A) retornou um veredicto malicioso, ASN AS19624, DNS passivo com datas de primeira e última observação e 28 pulses.

Figura 24. Análise do IP C2 do Conti

A pesquisa de primeira parte é escassa. Os pulses avaliados do Alien Labs se dissolvem no fluxo da comunidade, e a inteligência curada de primeira parte fica no produto pago USM. A dark web está ausente do núcleo gratuito; ela vive no AlienApp separado de monitoramento de dark web do USM Anywhere com a SpyCloud.

Cobertura e tipos de inteligência

Cada sonda histórica retornou de 28 a 50 correspondências de pulse contra 95M indicadores navegáveis. A página gratuito Submit Sample executa análise sandbox estática e dinâmica em arquivos e URLs com suporte a YARA, uma alternativa viável a sandboxes pagos.

Figura 25. Envio de Files e URL para análise

Os dados de vulnerabilidade são um esqueleto parcial (uma página de indicador CVE com Exploits 40 e Targeted Products 373, além de CVSS na API) sem EPSS, KEV ou priorização. Marca e credenciais vazadas estão ausentes.

Análise e enriquecimento

Não há perfil estruturado de ator, nenhuma pontuação de risco ajustável, nenhum gráfico visual, e os dados ATT&CK estão disponíveis na API, mas não na UI. Os aliases da comunidade corresponderam à nossa chave de resposta: Sofacy para APT28, Anunak para FIN7, Muddled Libra para Scattered Spider, UTA0218 para a atividade PAN-OS e Lace Tempest para MOVEit. Em contrapartida, o domínio SUNBURST carregava 1.487 tags, a entrada do killswitch do WannaCry continha rótulos falsos gerados por LLM, a maioria dos pulses de atores data de 2015 a 2017, e a tag de adversário do LockBit estava vazia. Sem uma pontuação de risco numérica, a triagem automatizada é difícil.

Atribuição

Tags e pulses de adversários existem, e os aliases são bons, mas não há perfil estruturado, e a maior parte do conteúdo está desatualizada.

Plataforma

Há um painel e uma assinatura de pulse, mas não há monitoramento de ativos ou palavras-chave, biblioteca de inteligência concluída ou RFI. O OTX é uma fonte de feed, e não um console de pesquisa.

Integração e API

Esta parte é a única vantagem clara do OTX entre os 5. Uma API REST, SDKs Python, Java e Go, um servidor TAXII nativo e exportação STIX/JSON/CSV/OpenIOC/MAEC fazem dele o único serviço entre os 5 a abrir acesso programático completo sem custo.

Figura 26. DirectConnect API do AlienVault OTX

A API retorna dados mais ricos que a UI, incluindo IDs ATT&CK e famílias de malware. Um limite de taxa não documentado é a restrição prática. Consultas em massa expiraram, 4 de 13 na primeira rodada, e exigiram novas tentativas e backoff.

Relatórios

Exportação forte de feeds de IOC em vários formatos, mas sem entrega de relatórios e sem relatórios setoriais ou personalizáveis.

Cenários operacionais

A caça a ameaças é operacionalizada por meio da gratuito API, do OTX Endpoint baseado em osquery e das assinaturas de pulse que alimentam blocklists de SIEM. Remoção, priorização de vulnerabilidades e cadeia de suprimentos estão ausentes, ficando em produtos pagos separados LevelBlue, USM, SpyCloud ou Tenable.

Onde ele lidera e onde fica devendo

Dez critérios estão ausentes do núcleo gratuito (dark web, credenciais vazadas, marca, remoção, inteligência concluída, RFI, relatórios setoriais, priorização de vulnerabilidades e cadeia de suprimentos), a maioria deles presente em produtos pagos separados LevelBlue, USM ou SpyCloud; o OTX é a linha de base gratuito dessa família. Pontos fracos: zero notas máximas em análise e atribuição, alto ruído da comunidade sem pontuação de risco e um limite de taxa de API não documentado. O OTX alimenta máquinas bem; ele não apoia a tomada de decisão humana sozinho.

Melhor para: Equipes que precisam de um feed de IOC gratuito e de alto volume para um SIEM, MISP ou TIP, além de automação e caça sem custo. O OTX alimenta máquinas bem; ele não apoia a tomada de decisão humana sozinho.

Qual serviço se encaixa em qual cenário

• Você usa Falcon EDR/XDR e rastreia APTs: CrowdStrike, para inteligência de adversário em console único, ATT&CK e contexto de campanha.
• Você precisa de cobertura de dark web, credenciais vazadas, remoção ou analista sob demanda: CrowdStrike Recon/Recon+/CAO Elite, a única opção entre os 5.
• Seu SOC se afoga em alertas de IPs de varredura: GreyNoise na frente do SIEM para classificar ruído e reduzir falsos positivos.
• Você precisa priorizar milhares de vulnerabilidades divulgadas: Feedly (EPSS + KEV + CVSS em um cartão) ou o XFDB do X-Force enquanto durar; valide com as observações de exploração do GreyNoise.
• Você não tem orçamento, mas precisa de feeds de inteligência de ameaças e automação: gratuito API do OTX, SDKs e servidor TAXII.
• Você precisa de relatórios prontos e newsletters sem contratar analistas: Report Builder e Ask IA do Feedly.

Não perca os nossos benchmarks e insights baseados em dados. O botão abre o Google; selecionar a AIMultiple confirma que deseja ver a AIMultiple com mais frequência nos resultados de pesquisa do Google.

Adicionar como fonte preferencial

A pilha em camadas: como os 5 serviços se combinam

Entre os 5 serviços, nossas sondas produziram 83 notas completas, 47 parciais e 35 ausentes, e nenhum produto isolado equivale a um programa completo de inteligência de ameaças. Uma arquitetura realista os trata como camadas complementares, não rivais:

1. Base de feed gratuito: O OTX fornece volume bruto de IOC e automação sem custo para o SIEM/TIP.
2. Filtro de ruído: O GreyNoise fica na frente do SIEM, suprimindo alertas de scanners benignos e sinalizando exploração ativa.
3. Agregação e entrega: O Feedly compila OSINT, extrai IoCs/TTPs e produz relatórios; seu enriquecimento cruza o GreyNoise e o VirusTotal.
4. Pesquisa e enriquecimento: O X-Force cobre consultas estruturadas gratuito e pesquisa de vulnerabilidades até agosto de 2026, após o que sua posição precisa de um sucessor.
5. Atribuição premium e risco digital: O CrowdStrike lidera a pilha em inteligência de adversários nomeados, monitoramento de dark web, remoções e acesso a analistas.

A pergunta certa não é “qual plataforma de inteligência de ameaças é a melhor?”, mas “qual camada estou preenchendo com qual produto, e o que substitui o X-Force após seu fim de vida?”

Metodologia do benchmark de inteligência de ameaças cibernéticas

Nós comparamos cinco serviços de inteligência de ameaças cibernéticas: AlienVault OTX (Community), IBM X-Force Exchange (Freemium), CrowdStrike Falcon Adversary Intelligence (teste Premium), GreyNoise (Community) e Feedly Threat Intelligence (teste de 30 dias).

Cada serviço foi pontuado em relação aos mesmos 33 critérios em 8 categorias e consultado com um conjunto idêntico de sondas. As 8 categorias mapeiam o ciclo de vida da inteligência de ameaças. Fontes de dados e cobertura medem a coleta; análise e atribuição medem a etapa de análise; e integração, relatórios e cenários operacionais medem distribuição e ação.

Categoria 1: Fontes de dados e coleta (4 critérios)

Onde a inteligência se origina, antes de qualquer processamento.

• DK-01 — Cobertura de OSINT e feeds técnicos: amplitude de fontes abertas e feeds técnicos ingeridos.
• DK-02 — Acesso à dark web e deep web: fóruns, marketplaces, sites de vazamento e plataformas criptografadas.
• DK-03 — Rede de sensores de primeira parte e pesquisa original: telemetria que o fornecedor gera por conta própria, em vez de material coletado de terceiros.
• DK-04 — Cobertura linguística e geográfica: alcance regional e multilíngue da coleta.

Esta categoria separa produtores de compiladores. Uma consulta last_seen:1d no GreyNoise retornou 699.076 IPs de scanner ativos da própria grade de sensores no dia do teste, enquanto a cobertura do Feedly se apoia em 10.000+ fontes curadas, sem rede de sensores própria.

Categoria 2: Cobertura e tipos de inteligência (5 critérios)

Quais tipos de ameaça o serviço cobre, testados contra o conjunto de sondas, e não contra a ficha técnica.

• KP-01 — Cobertura e volume de IOC: IPs, domínios, hashes e URLs.
• KP-02 — Inteligência de malware e ferramentas: famílias, análise sandbox e suporte a YARA.
• KP-03 — Inteligência de vulnerabilidades: dados de CVE, pontuação e contexto de exploração.
• KP-04 — Marca e risco digital: typosquatting, impersonação e monitoramento de domínios.
• KP-05 — Credenciais vazadas e dados expostos: consultas de exposição de violações e credenciais.

Esta é a categoria onde as fronteiras dos arquétipos aparecem de forma mais nítida. Uma consulta por 8.8.8.8 no GreyNoise retornou NOT OBSERVED, a resposta correta para um servidor DNS e não um scanner, e também demonstra que o produto lida com um único tipo de indicador.

Categoria 3: Análise e enriquecimento (4 critérios)

Quanta interpretação o serviço adiciona a um indicador bruto.

• AN-01 — Profundidade de enriquecimento de IOC: o que uma única consulta de indicador retorna.
• AN-02 — Pontuação de risco e priorização: numérica, categórica ou ausente.
• AN-03 — Mapeamento MITRE ATT&CK: se as técnicas são mapeadas e se o mapeamento está na interface ou na API.
• AN-04 — Análise de relacionamentos e grafos: pivotamento entre entidades e se existe um gráfico visual.

A sonda do IP C2 do Conti tornou as diferenças legíveis. O X-Force retornou um Risco numérico de 1/10 após envelhecimento, um histórico de categorização, uma linha do tempo de 31 eventos, ASN e sub-rede, WHOIS e DNS passivo. O OTX retornou um veredicto malicioso, ASN AS19624, DNS passivo e 28 pulses contra 157 tags.

Categoria 4: Atribuição e rastreamento de atores (4 critérios)

Se o serviço nomeia adversários e em que base metodológica.

• AT-01 — Rastreamento de adversários nomeados e APT: perfis estruturados de atores.
• AT-02 — Rastreamento de campanhas e operações: campanhas nomeadas com linhas do tempo.
• AT-03 — Perfis de TTP e metodologia de atribuição: o raciocínio que conecta atividade a um ator, além da reconciliação de aliases.
• AT-04 — Perfil de ameaça setorial e geográfico: quais setores e países um ator tem como alvo.

Esta categoria produziu a maior dispersão das oito. A sonda de seis atores foi pontuada em relação à chave de resposta, de modo que um serviço que listou um conjunto de aliases correspondente à chave pontuou de forma diferente de um que retornou uma tag de adversário vazia.

Categoria 5: Plataforma e usabilidade (4 critérios)

Se o produto é uma fonte de dados ou um console em que um analista pode trabalhar.

• PL-01 — Busca e linguagem de consulta: operadores, facetas ou uma linguagem de consulta real.
• PL-02 — Painel, watchlist e alertas: superfícies de monitoramento e regras de notificação.
• PL-03 — Biblioteca de inteligência concluída: relatórios escritos por analistas disponíveis no produto.
• PL-04 — RFI e acesso a analistas: a capacidade de fazer uma pergunta a um analista humano.

PL-03 e PL-04 são os dois critérios em que os níveis gratuito e pagos divergem de forma mais consistente entre os cinco produtos.

Categoria 6: Integração e API (4 critérios)

Como a inteligência chega ao restante da pilha de segurança.

• EN-01 — Suporte a STIX e TAXII: servidor nativo, STIX entregue por REST ou ponte necessária.
• EN-02 — Integração com SIEM, SOAR e TIP: conectores disponíveis.
• EN-03 — Cobertura da API REST, SDKs e documentação: superfície programática e bibliotecas de cliente oficiais.
• EN-04 — Distribuição e formatos de feed: formatos de exportação e canais de entrega.

Nós testamos esta categoria manualmente quando o nível permitiu. No OTX, obtivemos uma chave de API em Settings e executamos as sondas de indicadores pelo DirectConnect, que retornou IDs ATT&CK, tags de adversários e famílias de malware que a UI não exibia. No CrowdStrike, criamos um cliente de API OAuth2 na base api.eu-1. No X-Force, o nível Freemium retornou 403, então a exportação STIX por relatório foi a extensão do que funcionou sem pagamento.

Categoria 7: Relatórios e inteligência concluída (4 critérios)

A camada que separa inteligência processada de dados brutos.

• RP-01 — Tipos de relatório: cobertura estratégica, operacional e tática.
• RP-02 — Frequência de publicação e pontualidade: quão atual é a biblioteca.
• RP-03 — Personalização e relatórios setoriais: detalhamentos por setor e região.
• RP-04 — Exportação e entrega: formatos e canais de entrega para o produto final.

Categoria 8: Cenários operacionais (4 critérios)

Se a inteligência se transforma em ação dentro de um fluxo de trabalho de SOC ou resposta a incidentes.

• OP-01 — Serviço de remoção e remediação: remoção gerenciada de infraestrutura maliciosa.
• OP-02 — Fluxo de priorização de vulnerabilidades: um caminho produtizado da lista de CVEs à ordem de correção.
• OP-03 — Caça a ameaças e operacionalização de IOC: alimentação de indicadores em caça, blocklists e SIEM.
• OP-04 — Inteligência de riscos de terceiros e cadeia de suprimentos: exposição de fornecedores e parceiros.

OP-04 foi o critério mais fraco em todo o benchmark, sem nenhum produto atingindo uma marca confirmada.

O que é inteligência de ameaças cibernéticas?

Inteligência de ameaças cibernéticas (CTI) refere-se à coleta e análise de dados brutos sobre ameaças atuais e emergentes, gerando insights acionáveis que ajudam as equipes de segurança a prevenir, detectar e responder a ataques cibernéticos. Os serviços de CTI reúnem dados de ameaças de fontes como redes de sensores, inteligência de código aberto, fóruns da dark web e bancos de dados de vulnerabilidades e os processam em indicadores de ameaça, perfis de atores e relatórios que informam decisões.

A inteligência de ameaças cibernéticas ajuda as organizações a antecipar ameaças futuras em vez de reagir a incidentes de segurança após o dano ocorrer. Ela move as empresas em direção à defesa cibernética proativa: identificar ativos expostos para reduzir a superfície de ataque, identificar tendências emergentes de hackers antes de um ataque e priorizar investimentos em segurança contra as ameaças específicas que visam seu setor.

Tipos de inteligência de ameaças

A inteligência de ameaças pode ser categorizada em 4 estruturas, e um programa maduro de inteligência de ameaças consome todas as 4:

• Inteligência estratégica de ameaças oferece uma visão de alto nível do cenário de ameaças cibernéticas para executivos e traduz complexidades técnicas em risco comercial para as partes interessadas relevantes. Exemplo do nosso benchmark: o Threat Index da IBM e o relatório Threat Hunting do CrowdStrike.
• Inteligência tática de ameaças foca em táticas, técnicas e procedimentos (TTPs) dos atacantes, normalmente mapeados para a MITRE ATT&CK. Exemplo: as matrizes ATT&CK por adversário do CrowdStrike e a extração automática de TTPs do Feedly.
• Inteligência operacional de ameaças cobre campanhas e ataques específicos em andamento, dando às equipes de resposta a incidentes contexto em tempo real. Exemplo: relatórios de análise de ameaças do X-Force e campanhas Early Warning.
• Inteligência técnica de ameaças consiste em indicadores de comprometimento (IOCs), como IPs, domínios, hashes e URLs que alimentam a detecção automatizada. Exemplo: pulses do OTX e classificações de IP do GreyNoise.

O ciclo de vida da inteligência de ameaças

O ciclo de vida da inteligência de ameaças tem 6 estágios que transformam dados brutos em inteligência de ameaças acionável:

1. Requisitos: definir o que a equipe de segurança e as partes interessadas precisam saber.
2. Coleta de dados: reunir dados brutos de feeds, sensores, OSINT e dark web.
3. Processamento: normalizar, deduplicar e estruturar os dados coletados.
4. Análise: converter dados processados em avaliações, pontuações e relatórios.
5. Distribuição: entregar inteligência para as pessoas e ferramentas que agem sobre ela, como SIEM, SOAR e firewalls.
6. Feedback: as partes interessadas relatam o que funcionou, informando ajustes para que o programa se adapte às ameaças em evolução.

Nossas 8 categorias de benchmark mapeiam este ciclo de vida: fontes de dados e cobertura medem a coleta; análise e atribuição medem a etapa de análise; e integração, relatórios e cenários operacionais medem distribuição e ação.

Por que integrar inteligência de ameaças com operações de segurança?

• Avisos antecipados: combinar feeds de inteligência de ameaças com um SIEM classifica atividades de alto risco assim que aparecem nos logs, antes que um incidente escale.
• Menos falsos positivos: alertas de alta fidelidade, como a classificação de scanners benignos do GreyNoise, minimizam a fadiga de alertas para que os analistas de segurança investiguem ameaças reais.
• Resposta a incidentes mais rápida: contexto imediato sobre operações de malware e atores de ameaça melhora as capacidades de resposta a incidentes e ajuda a isolar sistemas comprometidos antes do movimento lateral.
• Correção informada por ameaças: milhares de vulnerabilidades de software são divulgadas anualmente; pontuações cientes de exploração (EPSS, KEV, ExPRT.IA, observações do GreyNoise) priorizam as que estão sendo exploradas.
• Alocação informada de recursos: organizações que usam inteligência de ameaças podem direcionar recursos de cibersegurança para os vetores de ataque e potenciais atores de ameaça relevantes para seu setor.

Perguntas frequentes

Cite este benchmark

Escolha o formato adequado ao local onde você vai publicar. Colar a versão com link no seu CMS preserva o backlink.

@misc{dogan2026,
  author = {Dogan, Sedat and PhD., Ezgi Arslan,},
  title  = {{Top 5 Serviços de Inteligência de Ameaças Cibernéticas Avaliados}},
  year   = {2026},
  month  = aug,
  howpublished    = {\url{https://aimultiple.com/cyber-threat-intelligence-services}},
  note   = {AIMultiple. Acessado em 31 Agosto 2026}
}

Links de referência

1.

End-of-Life Summary - Palo Alto Networks

2.

Login | Falcon

3.

IBM X-Force Exchange

4.

avsvmcloud.com

5.

GreyNoise Visualizer | GreyNoise Visualizer

6.

LevelBlue - Open Threat Exchange

Sedat Dogan

CTO

Siga-nos

Sedat é um líder em tecnologia e segurança da informação com 20 anos de experiência em desenvolvimento de software, infraestrutura de rede e cibersegurança. Sedat:
- Tem 20 anos de experiência como hacker de chapéu branco e guru de desenvolvimento, com ampla experiência em linguagens de programação e arquiteturas de servidores.
- É conselheiro de administração em uma VC que investe em empresas de tecnologia em estágio inicial e na Ödeal, uma plataforma regional de pagamentos digitais que atende 125.000 comerciantes.
- Liderou a infraestrutura tecnológica e a cibersegurança de sete eleições nacionais e foi reconhecido no Hall da Fama da cibersegurança por líderes globais de tecnologia, incluindo o Twitter.

Ver perfil completo

Pesquisado por

Ezgi Arslan, PhD.

Analista da Indústria

Siga-nos

Ezgi possui um doutorado em Administração de Empresas com especialização em finanças e atua como Analista da Indústria na AIMultiple. Ela conduz pesquisas e insights na interseção entre tecnologia e negócios, com experiência em sustentabilidade, análise de pesquisas e de sentimento, aplicações de agentes de IA em finanças, otimização de mecanismos de resposta, gerenciamento de firewall e tecnologias de compras.

Ver perfil completo

Seja o primeiro a comentar

Seu endereço de e-mail não será publicado. Todos os campos são obrigatórios. Os comentários são deixados em seu idioma original.

Nome

Endereço de email

Comentário

0/450

Postar comentário