pular para o conteúdo
sec/atlas
todas as carreiras

carreiras

Threat Hunter

Assuma que já estão dentro e vá achar a evidência.

Um threat hunter vasculha a telemetria atrás de atividade de atacantes que as detecções automáticas não pegaram. Cada caçada parte de uma hipótese, usa dados e consultas para testá-la e termina com um achado ou uma lacuna documentada, e com uma nova detecção. É um trabalho investigativo e analítico.

ver este caminho no mapa da jornada

Um dia no cargo

  • Formular hipóteses a partir de threat intelligence, incidentes recentes e lacunas na cobertura de detecção.
  • Consultar grandes volumes de telemetria e estabelecer o que é normal antes de sinalizar o que é raro.
  • Escalar achados confirmados para a resposta a incidentes com a evidência coletada.
  • Transformar cada caçada em uma detecção automática e medir seus falsos positivos.
0 de 7 estudadosPróximo tópico: Inteligência de ameaças

  1. Etapa 1· Fundamentos

    Entender o comportamento dos adversários e o processo de resposta que as caçadas alimentam.

    Estude aqui

    Aprenda em outros lugares

    • Como sistemas operacionais e redes se comportam normalmente
    • O framework MITRE ATT&CK em profundidade

    Construa isto

    Mapeie cinco técnicas do ATT&CK para as fontes de log que as revelariam no seu ambiente e marque as lacunas.

  2. Etapa 2· Prática

    Montar linhas do tempo e fazer pivôs entre fontes de dados.

    Estude aqui

    Aprenda em outros lugares

    • SQL e a linguagem de consulta do seu SIEM
    • Estatística básica: baselines e outliers

    Construa isto

    Escreva três consultas que revelem comportamento suspeito em um conjunto de dados de exemplo e documente os falsos positivos.

  3. Etapa 3· Avançado

    Conduzir caçadas de ponta a ponta e medir o programa.

    Estude aqui

    Aprenda em outros lugares

    • Engenharia de dados para telemetria em escala
    • Notebooks e automação para caçadas repetíveis

    Construa isto

    Faça uma caçada contra uma técnica emulada, escreva a detecção que ela gerou e reporte a cobertura ganha.

O que mostrar

  • Um relatório de caçada: hipótese, dados, consultas, resultados e a detecção que você entregou.
  • Um mapa de cobertura de técnicas versus detecções, com as lacunas ordenadas.

Certificações (exemplos)

  • GCTI (GIAC)
  • GCFA (GIAC)
  • eCTHP (INE)

Exemplos, não recomendações nem requisitos. Confira os detalhes atuais com a entidade emissora.

Cargos relacionados