Coleta de Indicadores de Comprometimento

Quando Usar

• Durante a resposta ativa a incidentes para identificar e bloquear a infraestrutura do adversário
• Pós-incidente para documentar todos os artefatos observados do adversário para detecção futura
• Ao compartilhar inteligência de ameaças com ISACs, parceiros de setor ou forças de segurança
• Ao construir regras de detecção em ferramentas de SIEM, EDR ou segurança de rede
• Ao enriquecer IOCs com contexto de inteligência de ameaças para pontuação de risco

Não use para análise de TTPs comportamentais sem indicadores técnicos acompanhantes; use o mapeamento MITRE ATT&CK para caracterização comportamental.

Pré-requisitos

• Acesso a fontes de evidências de incidentes: logs de SIEM, telemetria de EDR, dumps de memória, imagens de disco, capturas de rede
• Plataforma de inteligência de ameaças (MISP, OpenCTI, ThreatConnect) para gerenciamento e compartilhamento de IOCs
• Ferramentas de enriquecimento de IOCs: VirusTotal, OTX (AlienVault Open Threat Exchange), Shodan, DomainTools
• Conhecimento de STIX 2.1 para representação estruturada de IOCs
• Acordos de compartilhamento com ISACs relevantes (FS-ISAC, H-ISAC, IT-ISAC) ou parceiros de setor

Fluxo de Trabalho

Etapa 1: Identificar Categorias de IOCs

Colete indicadores em todas as categorias a partir das evidências do incidente:

Indicadores de Rede:

• Endereços IP (servidores C2, servidores de staging, destinos de exfiltração)
• Nomes de domínio (domínios C2, domínios de phishing, domínios DGA)
• URLs (download de malware, check-in C2, endpoints de exfiltração)
• Hashes JA3/JA3S (impressões digitais de cliente/servidor TLS)
• Strings de User-Agent (cabeçalhos HTTP personalizados ou incomuns)
• Padrões de consulta DNS (assinaturas de tunneling, padrões DGA)

Indicadores de Host:

• Hashes de arquivo (MD5, SHA-1, SHA-256 de malware, ferramentas, scripts)
• Caminhos de arquivo (diretórios de instalação de malware conhecidos)
• Chaves de registro (mecanismos de persistência, armazenamento de configuração)
• Tarefas agendadas e nomes de serviço (persistência)
• Nomes de Mutex/evento (sincronização de instância de malware)
• Named pipes (canais de comunicação C2, por exemplo, Cobalt Strike)

Indicadores de E-mail:

• Endereços e domínios de remetente (falsificados ou controlados pelo atacante)
• Padrões de linhas de assunto e conteúdo do corpo
• Nomes e hashes de anexos
• URLs incorporados
• Anomalias de cabeçalho de e-mail (falhas SPF/DKIM/DMARC)

Etapa 2: Extrair IOCs de Fontes de Evidência

Extraia sistematicamente indicadores de cada fonte de evidência:

Da Análise de SIEM/Logs:

# Extract unique destination IPs from firewall logs
index=firewall action=blocked
| stats count by dest_ip
| where count > 100

# Extract domains from DNS query logs
index=dns query=*evil* OR query=*c2*
| stats count by query

Da Forense de Memória:

# Extract network connections
vol -f memory.raw windows.netscan | grep ESTABLISHED

# Extract strings from suspicious process memory
vol -f memory.raw windows.memmap --pid 3847 --dump
strings -n 8 pid.3847.dmp | grep -E "(http|https)://"

Da Análise de Malware:

Sandbox Report IOC Extraction:
- Dropped files:      3 (hashes extracted)
- DNS queries:        update.evil[.]com, cdn.malware[.]net
- HTTP connections:   POST to https://185.220.101[.]42/gate.php
- Registry modified:  HKCU\Software\Microsoft\Windows\CurrentVersion\Run\svcupdate
- Mutex created:      Global\MTX_0x1234ABCD
- Named pipe:         \\.\pipe\MSSE-1234-server

Etapa 3: Enriquecer IOCs com Contexto

Adicione contexto de inteligência de ameaças a cada indicador:

IOC Enrichment Report:
━━━━━━━━━━━━━━━━━━━━━
IP: 185.220.101.42
  VirusTotal:     12/89 vendors flag as malicious
  Shodan:         Open ports: 443, 8443, 80
  Geolocation:    Netherlands, AS208476
  First Seen:     2025-10-01
  Threat Intel:   Associated with Qakbot C2 infrastructure
  Confidence:     High
  TLP:            AMBER

Domain: update.evil[.]com
  Registration:   2025-10-28 (recently registered)
  Registrar:      Namecheap
  WHOIS Privacy:  Yes
  VirusTotal:     8/89 vendors flag as malicious
  DNS History:    Resolved to 185.220.101.42, 91.215.85.17
  Confidence:     High
  TLP:            AMBER

Etapa 4: Pontuar e Priorizar IOCs

Atribua pontuações de confiança e risco a cada indicador:

…