Threat Hunting & Engenharia de Detecção

Quando Usar

• Caçar proativamente por atividade de adversários em telemetria.
• Escrever ou validar regras de detecção mapeadas para técnicas do ATT&CK.

Cenários de Aplicação

• Caça a ameaças (baseada em hipóteses)
• Engenharia de detecção Sigma / YARA
• Otimização de alertas, análise de falsos positivos
• E malware-analysis/: IOCs do lado do sample → implementação de detecção com esta habilidade
• E digital-forensics/: Artefatos de incidentes → caça lateral

Fluxo de Trabalho

1. Construir Hipótese

例：攻击者用 living-off-the-land 做横向
→ 数据源：Sysmon 1/3/10、Windows Security 4624/4648
→ 成功标准：发现异常父进程或罕见账户日志源

2. Consultar e Empilhar

□ 基线：正常管理员行为时段与主机
□ 异常：新服务、编码 PowerShell、异常出站
□ 关联：同账号多主机短时登录

3. Formalizar em Regra

# Sigma 骨架见 malware-analysis；本 skill 强调：
# - 误报面
# - 数据源字段映射
# - 响应 playbook 链接

4. Validar

□ 原子测试（Atomic Red Team）仅在授权实验室
□ 回放历史日志验证召回

Cadeia de Ferramentas

Referências

• references/hunting-loop.md
• ../malware-analysis/references/yara-sigma-rules.md
• ../digital-forensics/

Contexto de Roteamento

Upstream: MASTER R27
Downstream: Confirmação de invasão → forense; Sample malicioso → análise de malware
NÃO DEVE: Executar simulações de ataque em ambiente de produção sem autorização

Autoverificação de Conclusão de Tarefa

• Existe hipótese e conclusão claras?
• As regras indicam falsos positivos e fontes de dados?
• Checklist?

Limitações

• A qualidade da hipótese limita os resultados; telemetria fraca gera caças fracas.
• A sintonia de regras é contínua; espere falsos positivos inicialmente.

Adaptado de zhaoxuya520/reverse-skill (MIT).