Implementando Casos de Uso de SIEM para Detecção

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisam construir ou expandir sua biblioteca de detecção de SIEM do zero
• Avaliações de ameaças identificam lacunas em técnicas do ATT&CK que exigem novas regras de detecção
• Engenheiros de detecção precisam de um processo estruturado para design, teste e implantação de casos de uso
• Requisitos de conformidade exigem capacidades de detecção específicas (PCI DSS, HIPAA, SOX)

Não use para consultas de caça ad-hoc — casos de uso são regras de detecção formalizadas, testadas e mantidas, não buscas exploratórias.

Pré-requisitos

• Plataforma SIEM (Splunk ES, Elastic Security ou Microsoft Sentinel) com dados de produção
• ATT&CK Navigator para análise de lacunas de cobertura
• Fontes de log normalizadas para padrões de campos CIM/ECS
• Framework de documentação de casos de uso (wiki, repositório Git ou plataforma de engenharia de detecção)
• Ambiente de teste com ferramentas de simulação de ataque (Atomic Red Team, MITRE Caldera)

Fluxo de Trabalho

Etapa 1: Avaliar Lacunas de Cobertura de Detecção

Mapeie as regras de detecção atuais para o ATT&CK e identifique lacunas:

import json

# Load current detection rules mapped to ATT&CK
current_rules = [
    {"name": "Brute Force Detection", "techniques": ["T1110.001", "T1110.003"]},
    {"name": "Malware Hash Match", "techniques": ["T1204.002"]},
    {"name": "Suspicious PowerShell", "techniques": ["T1059.001"]},
]

# Load ATT&CK Enterprise techniques
with open("enterprise-attack.json") as f:
    attack = json.load(f)

all_techniques = set()
for obj in attack["objects"]:
    if obj["type"] == "attack-pattern":
        ext = obj.get("external_references", [])
        for ref in ext:
            if ref.get("source_name") == "mitre-attack":
                all_techniques.add(ref["external_id"])

covered = set()
for rule in current_rules:
    covered.update(rule["techniques"])

gaps = all_techniques - covered
print(f"Total techniques: {len(all_techniques)}")
print(f"Covered: {len(covered)} ({len(covered)/len(all_techniques)*100:.1f}%)")
print(f"Gaps: {len(gaps)}")

# Prioritize gaps by threat relevance
priority_techniques = [
    "T1003", "T1021", "T1053", "T1547", "T1078",
    "T1055", "T1071", "T1105", "T1036", "T1070"
]
priority_gaps = [t for t in priority_techniques if t in gaps]
print(f"Priority gaps: {priority_gaps}")

Etapa 2: Projetar Especificação do Caso de Uso

Documente cada caso de uso com um modelo padronizado:

use_case_id: UC-2024-015
name: Credential Dumping via LSASS Access
description: Detects tools accessing LSASS process memory for credential extraction
mitre_attack:
  tactic: Credential Access (TA0006)
  technique: T1003.001 - LSASS Memory
  data_sources:
    - Process: OS API Execution (Sysmon EventCode 10)
    - Process: Process Access (Windows Security 4663)
log_sources:
  - index: sysmon, sourcetype: XmlWinEventLog:Microsoft-Windows-Sysmon/Operational
  - index: wineventlog, sourcetype: WinEventLog:Security
severity: High
confidence: Medium-High
false_positive_sources:
  - Antivirus products scanning LSASS
  - CrowdStrike Falcon sensor
  - Windows Defender ATP
  - SCCM client
tuning_notes: >
  Maintain exclusion list for known security tools that legitimately access LSASS.
  Review exclusions quarterly for newly deployed security products.
sla: Alert within 5 minutes of detection
owner: detection_engineering_team
status: Production
created: 2024-03-15
last_tested: 2024-03-15

Etapa 3: Implementar Lógica de Detecção em Plataformas

Splunk ES Correlation Search:

| tstats summariesonly=true count from datamodel=Endpoint.Processes
  where Processes.process_name="lsass.exe"
  by Processes.dest, Processes.user, Processes.process_name,
     Processes.parent_process_name, Processes.parent_process
| `drop_dm_object_name(Processes)`
| lookup lsass_access_whitelist parent_process AS parent_process OUTPUT is_whitelisted
| where isnull(is_whitelisted) OR is_whitelisted!="true"
| `credential_dumping_lsass_filter`

Ou usando dados brutos do Sysmon:

index=sysmon EventCode=10 TargetImage="*\\lsass.exe"
GrantedAccess IN ("0x1010", "0x1038", "0x1fffff", "0x40")
NOT [| inputlookup lsass_whitelist.csv | fields SourceImage]
| stats count, values(GrantedAccess) AS access_flags by Computer, SourceImage, SourceUser
| where count > 0

Elastic Security EQL Rule:

process where event.type == "access" and
  process.name == "lsass.exe" and
  not process.executable : (
    "?:\\Windows\\System32\\svchost.exe",
    "?:\\Windows\\System32\\csrss.exe",

…