Construindo um Framework de Hipóteses para Caça a Ameaças

Quando Usar

• Ao caçar proativamente por indicadores de um framework de hipóteses de caça a ameaças no ambiente.
• Após a inteligência de ameaças indicar campanhas ativas usando essas técnicas.
• Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas.
• Quando alertas de EDR ou SIEM disparam em indicadores relacionados.
• Durante avaliações de segurança periódicas e exercícios de equipe roxa.

Pré-requisitos

• Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne).
• SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel).
• Sysmon implantado com configuração abrangente.
• Encaminhamento do Log de Eventos de Segurança do Windows habilitado.
• Feeds de inteligência de ameaças para correlação de IOCs.

Fluxo de Trabalho

1. Formular Hipótese: Definir uma hipótese testável com base na inteligência de ameaças ou análise de lacunas do ATT&CK.
2. Identificar Fontes de Dados: Determinar quais logs e telemetria são necessários para validar ou refutar a hipótese.
3. Executar Consultas: Executar consultas de detecção contra as plataformas SIEM e EDR para coletar eventos relevantes.
4. Analisar Resultados: Examinar os resultados das consultas em busca de anomalias, correlacionando entre múltiplas fontes de dados.
5. Validar Descobertas: Distinguir verdadeiros positivos de falsos positivos através de análise contextual.
6. Correlacionar Atividade: Ligar as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
7. Documentar e Relatar: Registrar descobertas, atualizar regras de detecção e recomendar ações de resposta.

Conceitos-Chave

Ferramentas e Sistemas

Cenários Comuns

1. Cenário 1: Caça baseada em inteligência a partir de relatório de campanha APT.
2. Cenário 2: Análise de lacunas de cobertura do ATT&CK direcionando a criação de hipóteses.
3. Cenário 3: Hipótese baseada em anomalias a partir da investigação de alerta UEBA.
4. Cenário 4: Caça de consciência situacional baseada em ameaças do setor industrial.

Formato de Saída

Hunt ID: TH-BUILDI-[DATE]-[SEQ]
Technique: TA0001
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]