Detecção de Padrões de Autenticação Anômalos

Quando Usar

• Operações de segurança precisam identificar contas comprometidas a partir da análise de logs de autenticação
• Implementar detecção de "viagem impossível" para sinalizar logins geograficamente inconsistentes
• Detectar ataques de força bruta, pulverização de senhas e "credential stuffing" em tempo real
• Construir linhas de base comportamentais para usuários para identificar desvios que indiquem comprometimento da conta
• Correlacionar anomalias de autenticação com inteligência de ameaças para detecção de movimento lateral
• Investigar alertas de SIEM ou IdP para atividades de login suspeitas

Não usar para alertas baseados em regras estáticas de um único login falho; a detecção de anomalias requer linhas de base estatísticas em dimensões de tempo e entidade para reduzir falsos positivos.

Pré-requisitos

• Fontes de log de autenticação (logs de login do Azure AD/Entra ID, logs do sistema Okta, logs de eventos do Active Directory 4624/4625/4648/4768/4771)
• Plataforma SIEM (Splunk, Microsoft Sentinel, Elastic SIEM) com pelo menos 90 dias de dados de linha de base
• Banco de dados GeoIP para detecção de anomalias baseada em localização (MaxMind GeoLite2 ou IP2Location)
• Python 3.9+ com pandas, scikit-learn e scipy para análises personalizadas
• Contexto de identidade do usuário (departamento, cargo, horários de trabalho típicos, localização)

Fluxo de Trabalho

Etapa 1: Coletar e Normalizar Logs de Autenticação

Agregue eventos de autenticação de todas as fontes de identidade:

import pandas as pd
import json
from datetime import datetime, timedelta
from collections import defaultdict

# Analisa logs de autenticação de várias fontes
def normalize_auth_logs(log_source, raw_logs):
    """Normaliza eventos de autenticação para um esquema comum."""
    normalized = []

    for event in raw_logs:
        if log_source == "azure_ad":
            normalized.append({
                "timestamp": event["createdDateTime"],
                "user": event["userPrincipalName"],
                "source_ip": event["ipAddress"],
                "location": {
                    "city": event.get("location", {}).get("city"),
                    "state": event.get("location", {}).get("state"),
                    "country": event.get("location", {}).get("countryOrRegion"),
                    "lat": event.get("location", {}).get("geoCoordinates", {}).get("latitude"),
                    "lon": event.get("location", {}).get("geoCoordinates", {}).get("longitude")
                },
                "result": "success" if event["status"]["errorCode"] == 0 else "failure",
                "failure_reason": event["status"].get("failureReason", ""),
                "app": event.get("appDisplayName", "Unknown"),
                "device": event.get("deviceDetail", {}).get("operatingSystem", "Unknown"),
                "browser": event.get("deviceDetail", {}).get("browser", "Unknown"),
                "mfa_result": event.get("authenticationDetails", [{}])[0].get("succeeded", None),
                "risk_level": event.get("riskLevelDuringSignIn", "none"),
                "client_app": event.get("clientAppUsed", "Unknown"),
                "source": "azure_ad"
            })
        elif log_source == "okta":
            normalized.append({
                "timestamp": event["published"],
                "user": event["actor"]["alternateId"],
                "source_ip": event["client"]["ipAddress"],
                "location": {
                    "city": event["client"].get("geographicalContext", {}).get("city"),
                    "state": event["client"].get("geographicalContext", {}).get("state"),
                    "country": event["client"].get("geographicalContext", {}).get("country"),
                    "lat": event["client"].get("geographicalContext", {}).get("geolocation", {}).get("lat"),
                    "lon": event["client"].get("geographicalContext", {}).get("geolocation", {}).get("lon")
                },
                "result": "success" if event["outcome"]["result"] == "SUCCESS" else "failure",
                "failure_reason": event["outcome"].get("reason", ""),
                "app": event.get("target", [{}])[0].get("displayName", "Unknown"),
                "device": event["client"].get("device", "Unknown"),
                "browser": event["client"].get("userAgent", {}).get("browser", "Unknown"),
                "source": "okta"
            })
        elif log_source == "windows_ad":
            normalized.append({
                "timestamp": event["TimeCreated"],
                "user": event["TargetUserName"],

…