Threat Hunting & Detection Engineering

AÇÃO NECESSÁRIA (Execute imediatamente após a leitura)

1. NOW: Confirme a autorização de Blue Team/Hunting e o escopo das fontes de dados (SIEM, exportações de EDR)
2. NOW: Defina a hipótese antes de consultar dados, evite gerar alertas sem sentido
3. NEXT: Ferramentas e métodos de acesso a dados
4. ACT: Hipótese → Consulta → Validação → Regra

Cenários de Aplicação

• Threat Hunting (baseado em hipóteses)
• Engenharia de Detecção Sigma / YARA
• Otimização de alertas, análise de falsos positivos
• Com malware-analysis/: IOCs de amostras → Implementação de detecção com esta habilidade
• Com digital-forensics/: Artefatos de incidentes → Hunting lateral

Fluxo de Trabalho

1. Construir Hipóteses

例：攻击者用 living-off-the-land 做横向
→ 数据源：Sysmon 1/3/10、Windows Security 4624/4648
→ 成功标准：发现异常父进程或罕见账户日志源

2. Consultar e Empilhar

□ 基线：正常管理员行为时段与主机
□ 异常：新服务、编码 PowerShell、异常出站
□ 关联：同账号多主机短时登录

3. Criar Regras

# Sigma 骨架见 malware-analysis；本 skill 强调：
# - 误报面
# - 数据源字段映射
# - 响应 playbook 链接

4. Validar

□ 原子测试（Atomic Red Team）仅在授权实验室
□ 回放历史日志验证召回

Cadeia de Ferramentas

Referências

• references/hunting-loop.md
• ../malware-analysis/references/yara-sigma-rules.md
• ../digital-forensics/

Contexto de Roteamento

Upstream: MASTER R27
Downstream: Confirmação de invasão → forensics; Amostras maliciosas → malware-analysis
NÃO DEVE: Executar simulações de ataque em ambientes de produção sem autorização

Autoverificação de Conclusão de Tarefa

• Existe uma hipótese e conclusão claras?
• As regras indicam falsos positivos e fontes de dados?
• Checklist?