Realizando Caça a Ameaças com Elastic SIEM

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisam procurar proativamente por ameaças que não foram detectadas por regras de detecção existentes
• Relatórios de inteligência de ameaças descrevem novas TTPs que exigem validação contra dados históricos
• Exercícios de equipe vermelha revelam lacunas de detecção que necessitam de desenvolvimento de consultas de caça
• Cadência de caça periódica requer investigações estruturadas baseadas em hipóteses

Não use para triagem de alertas em tempo real — isso pertence à fila de Alertas de Segurança do Elastic com regras de detecção automatizadas.

Pré-requisitos

• Elastic Security 8.x+ com o aplicativo Security habilitado no Kibana
• Ingestão de dados via Elastic Agent (integração Endpoint Security) ou Beats (Winlogbeat, Filebeat, Packetbeat)
• Dados normalizados para mapeamentos de campos do Elastic Common Schema (ECS)
• Papel de usuário com acesso kibana_security_solution e read aos índices relevantes
• Conhecimento do framework MITRE ATT&CK para geração de hipóteses

Fluxo de Trabalho

Etapa 1: Desenvolver Hipótese de Caça

Comece com uma hipótese baseada em inteligência de ameaças, técnica ATT&CK ou anomalia:

Hipótese de Exemplo: "Atacantes estão usando binários 'living-off-the-land' (LOLBins) para execução, especificamente certutil.exe para download de arquivos (T1105 — Ingress Tool Transfer)."

Definir escopo:

• Fontes de dados: logs-endpoint.events.process-*, logs-windows.sysmon_operational-*
• Intervalo de tempo: Últimos 30 dias
• Indicadores esperados: certutil.exe com flags -urlcache, -split ou -decode

Etapa 2: Caçar Usando KQL no Discover

Abra o Kibana Discover e consulte com KQL (Kibana Query Language):

process.name: "certutil.exe" and process.args: ("-urlcache" or "-split" or "-decode" or "-encode" or "-verifyctl")

Refinar para excluir uso legítimo conhecido:

process.name: "certutil.exe"
  and process.args: ("-urlcache" or "-split" or "-decode")
  and not process.parent.name: ("sccm*.exe" or "ccmexec.exe")
  and not user.name: "SYSTEM"

Para caça baseada em PowerShell com comandos codificados (T1059.001):

process.name: "powershell.exe"
  and process.args: ("-enc" or "-encodedcommand" or "-e " or "frombase64string" or "iex" or "invoke-expression")
  and not process.parent.executable: "C:\\Windows\\System32\\svchost.exe"

Etapa 3: Usar EQL para Detecção de Sequência

Elastic Event Query Language (EQL) permite caçar sequências de ataque com múltiplos passos:

Detectar anomalias de processos pai-filho (T1055 — Process Injection):

sequence by host.name with maxspan=5m
  [process where event.type == "start" and process.name == "explorer.exe"]
  [process where event.type == "start" and process.parent.name == "explorer.exe"
    and process.name in ("cmd.exe", "powershell.exe", "rundll32.exe", "regsvr32.exe")]

Detectar sequência de roubo de credenciais (T1003):

sequence by host.name with maxspan=2m
  [process where event.type == "start"
    and process.name in ("procdump.exe", "procdump64.exe", "rundll32.exe", "taskmgr.exe")
    and process.args : "*lsass*"]
  [file where event.type == "creation"
    and file.extension in ("dmp", "dump", "bin")]

Detectar movimento lateral via PsExec (T1021.002):

sequence by source.ip with maxspan=1m
  [authentication where event.outcome == "success" and winlog.logon.type == "Network"]
  [process where event.type == "start"
    and process.name == "psexesvc.exe"]

Etapa 4: Investigar com a Linha do Tempo de Segurança do Elastic

Crie uma investigação de Linha do Tempo no Elastic Security para análise colaborativa:

1. Navegue para Security > Timelines > Create new timeline
2. Adicione eventos de consultas de caça usando "Add to timeline" do Discover
3. Fixe eventos críticos e adicione notas de investigação
4. Use a barra de consulta da Linha do Tempo para filtragem adicional:

host.name: "WORKSTATION-042" and event.category: ("process" or "network" or "file")

Adicione colunas para campos chave: @timestamp, event.action, process.name, process.args, user.name, source.ip, destination.ip

Etapa 5: Construir Regras de Detecção a Partir de Descobertas

Converta consultas de caça bem-sucedidas em regras de detecção do Elastic:

{
  "name": "Atividade de Download com Certutil",
  "description": "Detecta o uso de certutil.exe para download de arquivos, uma técnica comum de LOLBin",
  "risk_score": 73,
  "severity": "high",
  "type": "eql",

…