Detecção de Abuso de Contas de Serviço

Quando Usar

• Ao procurar proativamente por indicadores de detecção de abuso de contas de serviço no ambiente
• Após a inteligência de ameaças indicar campanhas ativas usando essas técnicas
• Durante a resposta a incidentes para delimitar o comprometimento relacionado a essas técnicas
• Quando alertas de EDR ou SIEM são acionados por indicadores relacionados
• Durante avaliações de segurança periódicas e exercícios de equipe roxa

Pré-requisitos

• Plataforma EDR com telemetria de processos e rede (CrowdStrike, MDE, SentinelOne)
• SIEM com dados de log relevantes ingeridos (Splunk, Elastic, Sentinel)
• Sysmon implantado com configuração abrangente
• Encaminhamento do Log de Eventos de Segurança do Windows habilitado
• Feeds de inteligência de ameaças para correlação de IOCs

Fluxo de Trabalho

1. Formular Hipótese: Defina uma hipótese testável com base na inteligência de ameaças ou análise de lacunas do ATT&CK.
2. Identificar Fontes de Dados: Determine quais logs e telemetria são necessários para validar ou refutar a hipótese.
3. Executar Consultas: Execute consultas de detecção nas plataformas SIEM e EDR para coletar eventos relevantes.
4. Analisar Resultados: Examine os resultados das consultas em busca de anomalias, correlacionando entre várias fontes de dados.
5. Validar Descobertas: Distinga verdadeiros positivos de falsos positivos por meio de análise contextual.
6. Correlacionar Atividade: Vincule as descobertas a cadeias de ataque mais amplas e TTPs de atores de ameaças.
7. Documentar e Relatar: Registre as descobertas, atualize as regras de detecção e recomende ações de resposta.

Conceitos Chave

Ferramentas e Sistemas

Cenários Comuns

1. Cenário 1: Conta de serviço RDP para controlador de domínio
2. Cenário 2: Serviço SQL acessando compartilhamentos de arquivos fora do escopo
3. Cenário 3: Movimentação lateral de serviço de backup fora do horário de expediente
4. Cenário 4: svc comprometido com privilégios DA usado para DCSync

Formato de Saída

Hunt ID: TH-DETECT-[DATE]-[SEQ]
Technique: T1078.002
Host: [Hostname]
User: [Account context]
Evidence: [Log entries, process trees, network data]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]
Recommended Action: [Containment, investigation, monitoring]