Caça a Ameaças Persistentes Avançadas

Quando Usar

Use esta habilidade quando:

• Realizar ciclos de caça proativa a ameaças (geralmente ciclos de 2 a 4 semanas) com base em inteligência de APT recém-publicada
• Um alerta de UEBA ou sistema de detecção de anomalias sinalizar desvios comportamentais que justifiquem uma investigação mais aprofundada
• Uma organização parceira ou parceiro de compartilhamento ISAC relatar um comprometimento ativo de APT e você precisar validar sua própria exposição

Não use esta habilidade como substituta para resposta a incidentes quando uma violação confirmada estiver em andamento — escale para procedimentos de RI (NIST SP 800-61).

Pré-requisitos

• Plataforma EDR com retenção de telemetria (CrowdStrike Falcon, Microsoft Defender for Endpoint ou SentinelOne) cobrindo mais de 30 dias
• Acesso ao MITRE ATT&CK Navigator para desenvolvimento de hipóteses
• Dados de fluxo de rede (NetFlow, Zeek ou logs Suricata) em um SIEM consultável
• Plataforma de caça a ameaças ou interface de consulta (Velociraptor, osquery fleet ou Splunk ES)

Fluxo de Trabalho

Etapa 1: Desenvolver Hipótese de Caça

Selecione um ator de ameaça relevante para seu setor usando o MITRE ATT&CK Groups (https://attack.mitre.org/groups/). Revise os TTPs conhecidos do grupo mapeados para técnicas do ATT&CK. Exemplo de hipótese: "APT29 (Cozy Bear) usa spearphishing com anexos ISO (T1566.001) e binários living-off-the-land (T1218) — teste para relações incomuns de pai-filho entre mshta.exe e rundll32.exe."

Documente a hipótese usando o framework Threat Hunting Loop: hipótese → coleta de dados → análise de padrões → resposta.

Etapa 2: Identificar Fontes de Dados Necessárias

Mapeie cada técnica do ATT&CK para as fontes de log necessárias usando a taxonomia ATT&CK Data Sources:

• Criação de processo (T1059): Windows Security Event 4688 ou Sysmon Event ID 1
• Conexões de rede (T1071): Zeek conn.log, NetFlow, telemetria de rede EDR
• Modificações de registro (T1547): Sysmon Event ID 13, Windows Security 4657
• Injeção de memória (T1055): telemetria de varredura de memória EDR, saída Volatility

Verifique a cobertura de log usando o ATT&CK Coverage Calculator ou uma matriz de fontes de dados personalizada.

Etapa 3: Executar Caças com Velociraptor ou osquery

Caça VQL com Velociraptor para execução incomum de PowerShell:

SELECT Pid, Ppid, Name, CommandLine, CreateTime
FROM pslist()
WHERE Name =~ "powershell.exe"
AND CommandLine =~ "-enc|-nop|-w hidden"

osquery para persistência via tarefas agendadas:

SELECT name, action, enabled, path
FROM scheduled_tasks
WHERE action NOT LIKE '%System32%'
AND enabled = 1;

Splunk SPL para movimento lateral via PsExec:

index=windows EventCode=7045 ServiceFileName="*PSEXESVC*"
| stats count by ComputerName, ServiceName, ServiceFileName

Etapa 4: Analisar Resultados e Pivotar

Para cada anomalia identificada, pivote entre dimensões:

• Temporal: Isso ocorreu antes ou depois dos carimbos de data/hora de IOC conhecidos?
• Host: Quantos endpoints exibem esse comportamento?
• Usuário: A conta associada é uma conta de serviço, usuário privilegiado ou usuário regular?
• Rede: O host se comunica com IPs externos que não estão na linha de base?

Aplique o Modelo Diamante (adversário, capacidade, infraestrutura, vítima) para estruturar as descobertas.

Etapa 5: Documentar e Operacionalizar Descobertas

Se a caça revelar atividade maliciosa confirmada, ative os procedimentos de RI. Se a caça revelar uma lacuna (a caça não encontrou nada, mas a cobertura de dados foi insuficiente), documente a lacuna de cobertura e corrija-a.

Converta as consultas de caça bem-sucedidas em regras de detecção SIEM usando o formato Sigma para portabilidade entre plataformas.

Conceitos Chave

Ferramentas e Sistemas

• Velociraptor: Plataforma DFIR de código aberto com linguagem de consulta VQL para caça escalável de endpoints em milhares de sistemas
• osquery: Framework de instrumentação de SO baseado em SQL para consultas de telemetria de endpoint em tempo real

…