Threat hunting

O que é

O ciclo da caça

• Hipótese: uma afirmação específica e testável, por exemplo "um atacante que roubou uma chave de nuvem chamaria a API de segredos a partir de uma rede nova".
• Dados: identifique quais logs poderiam confirmá-la ou refutá-la, e se você os coleta. A falta de dados já é, por si só, um achado.
• Consultar e analisar: execute buscas, estabeleça a linha de base do normal e investigue os pontos fora da curva.
• Concluir: atividade confirmada vira um incidente; padrões benignos são documentados; lacunas viram tarefas.
• Operacionalizar: converta a caça em uma detecção automatizada e acompanhe sua taxa de falsos positivos.

De onde vêm as hipóteses

• Técnicas do ATT&CK que importam para o seu ambiente e têm pouca cobertura de detecção.
• Inteligência de ameaças sobre grupos que miram o seu setor e as técnicas que usam.
• Incidentes recentes (seus e públicos) e o que revelaram sobre pontos cegos.
• Anomalias: pares raros de processo pai e filho, horários de logon incomuns, ferramentas e destinos vistos pela primeira vez.

Exemplos de caças

-- Hipótese: um documento malicioso inicia um interpretador de scripts
SELECT ts, host, user, parent_image, image, command_line
FROM process_events
WHERE lower(parent_image) LIKE '%\winword.exe'
  AND (lower(image) LIKE '%\cmd.exe' OR lower(image) LIKE '%\powershell.exe'
       OR lower(image) LIKE '%\wscript.exe' OR lower(image) LIKE '%\mshta.exe')
  AND ts > now() - interval '30 days'
ORDER BY ts DESC;

-- Hipótese: beaconing para um destino que poucos hosts contatam
SELECT dest_domain, count(DISTINCT host) AS hosts, count(*) AS connections
FROM proxy_events
WHERE ts > now() - interval '14 days'
GROUP BY dest_domain
HAVING count(DISTINCT host) <= 2 AND count(*) > 200
ORDER BY connections DESC;

Fazendo bem feito

• Documente cada caça: hipótese, dados, consultas, resultado. As caças são conhecimento reutilizável.
• Meça o programa: caças concluídas, detecções criadas, lacunas encontradas. Não encontrar nada é um resultado válido.
• Estabeleça a linha de base antes de sinalizar: raro não é o mesmo que malicioso.
• Colabore com engenheiros de detecção e respondedores; a saída de uma caça é a entrada deles.
• Permaneça dentro das regras de autorização e privacidade ao consultar a atividade de usuários.