Construindo uma Biblioteca de Padrões de Ataque a partir de Relatórios CTI

Visão Geral

Relatórios de inteligência de ameaças cibernéticas (CTI) de fornecedores como Mandiant, CrowdStrike, Talos e Microsoft contêm descrições detalhadas de comportamentos de adversários que podem ser extraídos, normalizados e catalogados em uma biblioteca estruturada de padrões de ataque. Esta habilidade abrange a análise de relatórios CTI para extrair técnicas de adversários, mapear comportamentos para IDs de técnica do MITRE ATT&CK, criar objetos STIX 2.1 Attack Pattern, construir uma biblioteca pesquisável indexada por tática, técnica e ator de ameaça, e gerar modelos de regras de detecção a partir de padrões documentados.

Quando Usar

• Ao implantar ou configurar capacidades de construção de biblioteca de padrões de ataque a partir de relatórios CTI em seu ambiente
• Ao estabelecer controles de segurança alinhados aos requisitos de conformidade
• Ao construir ou melhorar a arquitetura de segurança para este domínio
• Ao realizar avaliações de segurança que exigem esta implementação

Pré-requisitos

• Python 3.9+ com stix2, mitreattack-python, spacy, requests bibliotecas
• Coleção de relatórios CTI (formato PDF, HTML ou texto)
• Dados STIX do MITRE ATT&CK (localmente ou via TAXII)
• Compreensão da estrutura e convenções de nomenclatura de técnicas do ATT&CK
• Familiaridade com conceitos de engenharia de detecção (Sigma, YARA)

Conceitos Chave

Extração de Padrões de Ataque

Relatórios CTI descrevem comportamentos de adversários em linguagem natural. A extração envolve a identificação de verbos de ação e termos técnicos que se mapeiam para técnicas do ATT&CK, o reconhecimento de nomes de ferramentas e famílias de malware, a identificação de indicadores de infraestrutura e o mapeamento de sequências de comportamentos para cadeias de ataque (fases da cadeia de morte).

Objetos STIX 2.1 Attack Pattern

STIX define Attack Pattern como um Objeto de Domínio Estruturado (SDO) que descreve maneiras pelas quais os atores de ameaça tentam comprometer alvos. Cada padrão se vincula ao ATT&CK por meio de referências externas, inclui fases da cadeia de morte (táticas) e pode ser relacionado a objetos Intrusion Sets, Malware e Tool.

Geração de Regras de Detecção

Padrões de ataque extraídos informam a engenharia de detecção, fornecendo: exemplos de procedimentos específicos para a criação de regras Sigma, sequências comportamentais para regras de correlação, padrões de IOC para regras YARA e Snort, e requisitos de fonte de dados para lacunas de telemetria.

Fluxo de Trabalho

Etapa 1: Analisar Relatórios CTI e Extrair Comportamentos

import re
import json
from collections import defaultdict

class CTIReportParser:
    """Analisa relatórios CTI para extrair comportamentos de adversários."""

    BEHAVIOR_INDICATORS = [
        "usou", "executou", "implantou", "aproveitou", "explorou",
        "estabeleceu", "criou", "modificou", "baixou", "carregou",
        "exfiltrou", "injetou", "enumerou", "gerou", "soltou",
        "persistiu", "escalou", "moveu lateralmente", "coletou",
        "criptografou", "compactou", "codificou", "ofuscou",
    ]

    TOOL_PATTERNS = [
        r'\b(Cobalt Strike|Mimikatz|PsExec|BloodHound|Rubeus|Impacket)\b',
        r'\b(PowerShell|cmd\.exe|WMI|WMIC|certutil|bitsadmin)\b',
        r'\b(Metasploit|Empire|Covenant|Sliver|Brute Ratel)\b',
        r'\b(Lazagne|SharpHound|ADFind|Sharphound|Invoke-Obfuscation)\b',
    ]

    TECHNIQUE_KEYWORDS = {
        "spearphishing": "T1566",
        "phishing attachment": "T1566.001",
        "phishing link": "T1566.002",
        "powershell": "T1059.001",
        "command line": "T1059.003",
        "scheduled task": "T1053.005",
        "registry run key": "T1547.001",
        "process injection": "T1055",
        "dll side-loading": "T1574.002",
        "credential dumping": "T1003",
        "lsass": "T1003.001",
        "kerberoasting": "T1558.003",
        "pass the hash": "T1550.002",
        "remote desktop": "T1021.001",
        "smb": "T1021.002",
        "winrm": "T1021.006",
        "data staging": "T1074",
        "exfiltration over c2": "T1041",
        "dns tunneling": "T1071.004",
        "web shell": "T1505.003",
    }

    def parse_report(self, text, report_metadata=None):
        """Analisa um relatório CTI e extrai comportamentos."""
        sentences = re.split(r'[.!?]\s+', text)
        behaviors = []

        for sentence in sentences:
            sentence_lower = sentence.lower()
            # Verifica indicadores de comportamento
            for indicator in self.BEHAVIOR_INDICATORS:
                if indicator in sentence_lower:
                    behavior = {
                        "sentence": sentence.strip(),
                        "action": indicator,

…