Analisando Logs de Segurança com Splunk

Quando Usar

• Investigando um incidente de segurança que requer correlação entre múltiplas fontes de log
• Caçando por atividade de adversários usando TTPs e IOCs conhecidos
• Construindo regras de detecção para padrões de ataque específicos
• Reconstruindo uma linha do tempo de incidente a partir de fontes de log díspares
• Analisando anomalias de autenticação, movimento lateral ou padrões de exfiltração de dados

Não use para análise em tempo real no nível de pacote; use Wireshark ou Zeek para análise completa de captura de pacotes.

Pré-requisitos

• Splunk Enterprise ou Splunk Cloud com o aplicativo Enterprise Security (ES) instalado
• Fontes de log ingeridas: Logs de Eventos do Windows (via Splunk Universal Forwarder ou WEF), firewall, proxy, DNS, EDR, gateway de e-mail
• Modelos de dados Splunk CIM (Common Information Model) configurados para nomes de campos normalizados
• Proficiência em SPL em nível intermediário ou superior
• Acesso baseado em função com as capacidades search e accelerate_search no Splunk

Fluxo de Trabalho

Etapa 1: Definir o Escopo da Investigação no Splunk

Defina os parâmetros de busca com base nos dados de triagem do incidente:

| Set initial investigation scope
index=windows OR index=firewall OR index=proxy
  earliest="2025-11-14T00:00:00" latest="2025-11-16T00:00:00"
  (host="WKSTN-042" OR src_ip="10.1.5.42" OR user="jsmith")
| stats count by index, sourcetype, host
| sort -count

Esta consulta estabelece quais fontes de log contêm dados relevantes para o período de tempo da investigação e os ativos afetados.

Etapa 2: Analisar Eventos de Autenticação

Investigue padrões de autenticação suspeitos usando Logs de Eventos de Segurança do Windows:

| Detect brute force and credential stuffing
index=windows sourcetype="WinEventLog:Security" EventCode=4625
  earliest=-24h
| stats count as failed_attempts, values(src_ip) as source_ips,
  dc(src_ip) as unique_sources by TargetUserName
| where failed_attempts > 10
| sort -failed_attempts

| Detect pass-the-hash (Logon Type 9 - NewCredentials)
index=windows sourcetype="WinEventLog:Security" EventCode=4624
  Logon_Type=9
| table _time, host, TargetUserName, src_ip, LogonProcessName

| Detect lateral movement via RDP
index=windows sourcetype="WinEventLog:Security" EventCode=4624
  Logon_Type=10
| stats count, values(host) as targets by TargetUserName, src_ip
| where count > 3
| sort -count

Etapa 3: Rastrear a Execução de Processos

Use logs do Sysmon para reconstruir cadeias de execução de processos:

| Process creation with parent chain (Sysmon Event ID 1)
index=sysmon EventCode=1 host="WKSTN-042"
  earliest="2025-11-15T14:00:00" latest="2025-11-15T15:00:00"
| table _time, ParentImage, ParentCommandLine, Image, CommandLine, User, Hashes
| sort _time

| Detect suspicious PowerShell execution
index=sysmon EventCode=1 Image="*\\powershell.exe"
  (CommandLine="*-enc*" OR CommandLine="*-encodedcommand*"
   OR CommandLine="*downloadstring*" OR CommandLine="*iex*")
| table _time, host, User, ParentImage, CommandLine
| sort _time

| Detect LSASS credential dumping
index=sysmon EventCode=10 TargetImage="*\\lsass.exe"
  GrantedAccess=0x1010
| table _time, host, SourceImage, SourceUser, GrantedAccess

Etapa 4: Analisar Atividade de Rede

Correlacione logs de rede com eventos de endpoint:

| Detect C2 beaconing pattern
index=proxy OR index=firewall dest_ip="185.220.101.42"
| timechart span=1m count by src_ip
| where count > 0

| Detect DNS tunneling (high query volume to single domain)
index=dns
| rex field=query "(?<subdomain>[^\.]+)\.(?<domain>[^\.]+\.[^\.]+)$"
| stats count, avg(len(query)) as avg_query_len by domain, src_ip
| where count > 500 AND avg_query_len > 40
| sort -count

| Detect large data transfers (potential exfiltration)
index=proxy action=allowed
| stats sum(bytes_out) as total_bytes by src_ip, dest_ip, dest_host
| eval total_MB=round(total_bytes/1024/1024,2)
| where total_MB > 100
| sort -total_MB

Etapa 5: Construir a Linha do Tempo do Incidente

Reconstrua uma linha do tempo unificada em todas as fontes de log:

| Unified incident timeline
index=windows OR index=sysmon OR index=proxy OR index=firewall
  (host="WKSTN-042" OR src_ip="10.1.5.42" OR user="jsmith")
  earliest="2025-11-15T14:00:00" latest="2025-11-15T16:00:00"
| eval event_summary=case(
    sourcetype=="WinEventLog:Security" AND EventCode==4624, "Logon: ".TargetUserName." from ".src_ip,
    sourcetype=="WinEventLog:Security" AND EventCode==4625, "Failed logon: ".TargetUserName,
    sourcetype=="XmlWinEventLog:Microsoft-Windows-Sysmon/Operational" AND EventCode==1,

…