Caçando Indicadores de Exfiltração de Dados

Quando Usar

• Ao caçar roubo de dados em ambientes comprometidos
• Após detectar volumes ou padrões incomuns de dados de saída
• Ao investigar roubo de dados por ameaças internas potenciais
• Durante a resposta a incidentes para determinar quais dados foram roubados
• Quando inteligência de ameaças indica campanhas de exfiltração de dados visando seu setor

Pré-requisitos

• Logs de proxy/firewall de rede com métricas de transferência de dados em nível de byte
• Solução DLP ou CASB com visibilidade de upload na nuvem
• Logs de consulta DNS para detecção de exfiltração via DNS
• Logs de gateway de e-mail para monitoramento de anexos
• SIEM com capacidades de detecção de anomalias de volume de dados

Fluxo de Trabalho

1. Definir Canais de Exfiltração: Identificar canais potenciais (uploads HTTP/S, tunelamento DNS, anexos de e-mail, armazenamento em nuvem, mídia removível, protocolos criptografados).
2. Estabelecer Linha de Base de Fluxos de Dados Normais: Estabelecer volumes de transferência de dados de saída de linha de base por usuário, host e destino em uma janela de 30 dias.
3. Detectar Anomalias de Volume: Identificar hosts ou usuários transferindo significativamente mais dados do que a linha de base para destinos externos.
4. Analisar Destinos de Transferência: Verificar domínios/IPs de destino contra inteligência de ameaças, identificar domínios recém-registrados, armazenamento em nuvem pessoal e infraestrutura estrangeira.
5. Inspecionar Abuso de Protocolo: Procurar por tunelamento DNS (consultas TXT grandes/frequentes), tunelamento ICMP ou dados ocultos em protocolos permitidos.
6. Correlacionar com Acesso a Arquivos: Ligar indicadores de exfiltração a eventos de acesso a arquivos em compartilhamentos de arquivos sensíveis, bancos de dados ou repositórios.
7. Relatar e Conter: Documentar descobertas com evidências, estimar a exposição de dados e recomendar ações de contenção.

Conceitos Chave

Ferramentas e Sistemas

Cenários Comuns

1. Exfiltração de Armazenamento em Nuvem: Usuário faz upload de documentos sensíveis para Google Drive ou Dropbox pessoal via navegador.
2. Tunelamento DNS: Malware exfiltra dados codificados em consultas de subdomínio DNS para um nameserver controlado pelo atacante.
3. Upload HTTPS: Sistema comprometido envia grandes blocos de dados para o servidor C2 via HTTPS criptografado.
4. Exfiltração de Anexo de E-mail: Ameaça interna encaminha documentos sensíveis para contas de e-mail pessoais.
5. Staging e Compressão: Adversário organiza dados em arquivos compactados antes da exfiltração lenta para evitar detecção.

Formato de Saída

Hunt ID: TH-EXFIL-[DATE]-[SEQ]
Exfiltration Channel: [HTTP/DNS/Email/Cloud/USB]
Source: [Host/User]
Destination: [Domain/IP/Service]
Data Volume: [Bytes/MB/GB]
Time Period: [Start - End]
Protocol: [HTTPS/DNS/SMTP/SMB]
Files Involved: [Count/Types]
Risk Level: [Critical/High/Medium/Low]
Confidence: [High/Medium/Low]