Inteligência de ameaças e caça a ameaças

Uma conexão em um registro de eventos só se torna inteligência útil depois que alguém explica por que ela importa para uma decisão. Dado é uma observação isolada, informação acrescenta significado e inteligência acrescenta análise e relevância.

Comece pela decisão

“203.0.113.45 conectou-se pela porta 443” é um dado. “Esse endereço hospedou uma página de phishing na semana passada” é informação. “Um grupo que visa nosso setor usa esse endereço para comando e controle; procure conexões anteriores e considere bloqueá-lo” é inteligência. A última afirmação conecta evidências a uma ameaça, a um ambiente e a uma ação.

Um requisito de inteligência é uma pergunta ligada a uma decisão e a um responsável. Um requisito prioritário de inteligência (PIR) identifica o que a liderança mais precisa que seja respondido. “Quais grupos de ransomware atacam hospitais nesta região e como entram?” pode orientar uma decisão de financiamento. “Colete mais dados sobre ransomware” não dá ao analista um ponto claro de conclusão.

Acompanhe o ciclo de vida

1. Planejamento e direcionamento: defina em conjunto requisitos, usuários e prazos.
2. Coleta: reúna os relatórios e registros internos necessários para responder aos requisitos.
3. Processamento: traduza, normalize, deduplique e estruture os dados.
4. Análise: conecte observações, avalie explicações e declare a confiança.
5. Disseminação: envie um produto utilizável à pessoa que deve agir.
6. Retorno: pergunte se o produto respondeu à pergunta e o que precisa mudar.

Alguns diagramas do ciclo de vida combinam o processamento com outra etapa e mostram cinco fases. O trabalho continua partindo de uma pergunta, passando por evidências e análise e chegando à entrega e ao retorno. Comprar uma fonte de atualizações fornece a coleta; o restante do trabalho fica a cargo da organização.

Analise uma decisão de financiamento

A pessoa responsável pela segurança de um hospital precisa decidir se financiará a autenticação multifator (MFA) para acesso remoto neste trimestre. O analista coleta um aviso de uma agência nacional, dois relatórios do setor de saúde e os registros da rede privada virtual (VPN) do hospital. O processamento extrai as técnicas relatadas e coloca os horários dos registros em um formato comum.

A análise identifica que três dos quatro grupos descritos entraram usando credenciais de VPN roubadas. Os registros mostram 1.200 tentativas malsucedidas de login na VPN a partir de países desconhecidos em 30 dias. Os relatórios sustentam a avaliação do risco de acesso; as tentativas malsucedidas mostram tentativas de acesso, não entradas bem-sucedidas. Um informe de uma página recomenda implementar primeiro a MFA na VPN, enquanto o centro de operações de segurança (SOC) recebe os indicadores. A pessoa responsável pede os custos no próximo informe: esse é um retorno que orienta o próximo requisito.

Separe observações de julgamentos

“O arquivo contatou este servidor” é uma observação. “O agente está preparando ransomware” é uma avaliação que precisa de evidências e de um nível de confiança. Escreva as duas separadamente para que o leitor possa questionar o raciocínio sem perder os fatos.

O viés de confirmação favorece evidências que se encaixam em uma teoria inicial. A ancoragem mantém a primeira estimativa apesar de novas evidências. O espelhamento analítico presume que o adversário pensa como o analista. Use a análise de hipóteses concorrentes: liste explicações plausíveis, registre suposições e busque evidências contrárias a cada explicação. Um colega pode então revisar como o julgamento foi formulado.

Um relatório de ameaças pode apoiar várias decisões. Um executivo precisa entender a exposição do negócio, enquanto um engenheiro de detecção precisa conhecer o comportamento que uma regra deve reconhecer. Os tipos de inteligência descrevem esses diferentes usos.

Compare os quatro tipos

Um sistema de gerenciamento de informações e eventos de segurança (SIEM) pesquisa e correlaciona registros de segurança. Ferramentas de detecção e resposta em endpoints (EDR) coletam dados sobre atividades em endpoints e atuam com base neles. A inteligência técnica pode alimentar essas ferramentas diretamente após a validação.

Detalhes técnicos muitas vezes duram de horas a semanas porque atacantes podem substituí-los a baixo custo. Um julgamento estratégico pode orientar decisões por meses ou anos. Essas são expectativas úteis sobre duração, não regras de expiração para cada informação. O hash de um arquivo conhecido como malicioso continua identificando o mesmo arquivo depois que uma campanha termina.

Transforme um relatório em quatro produtos

Suponha que um relatório descreva ataques de ransomware contra fabricantes. O conselho recebe um parágrafo estratégico sobre interrupções na produção e o investimento necessário para reduzir esse risco. Ele deve poder tomar uma decisão sem interpretar linhas de comando.

O gestor de segurança recebe uma nota operacional: um afiliado está explorando uma fraqueza específica de VPN na região neste mês. A nota informa os prováveis alvos e a urgência da campanha atual.

Engenheiros de detecção recebem detalhes táticos: o grupo desativa cópias de segurança e usa PowerShell para execução remota. Esses comportamentos indicam quais registros de eventos, controles e lógica de detecção precisam de atenção. O SIEM e o firewall recebem o apêndice técnico: três hashes SHA-256, dois domínios e um endereço IP, com o contexto e as informações de tratamento correspondentes.

Os produtos compartilham evidências, mas respondem a perguntas diferentes. Enviar todo o apêndice bruto ao conselho transfere o trabalho do analista a um leitor que não pode usá-lo. Entregar apenas uma tendência de longo prazo a um analista deixa sem resposta a tarefa imediata de detecção.

Facilite a ação com base no relatório

Comece um relatório interno com os principais julgamentos. Em seguida, apresente as evidências que os sustentam, a confiança, as ações recomendadas e um apêndice de indicadores, quando útil. Indique quem deve agir e quando; uma campanha que termina amanhã exige um prazo diferente daquele de uma decisão orçamentária para o próximo trimestre. Inclua um rótulo de compartilhamento, como TLP:AMBER, do Protocolo de semáforo, para informar aos leitores até onde o relatório pode circular.

Algumas organizações usam três níveis de inteligência e incluem indicadores técnicos na inteligência tática. Examine o público e o conteúdo antes de classificar o produto. Uma mudança de nomenclatura não altera o que um executivo ou uma ferramenta de detecção precisa.

Um perfil de ameaça útil explica quais agentes são relevantes para a organização e por quê. Comece pela intenção, o que um agente deseja; pela capacidade, os recursos e habilidades que ele pode usar; e pela oportunidade, o acesso ou a fraqueza disponível para ele.

Compare motivações e acesso dos agentes

Uma ameaça persistente avançada (APT) tem habilidades e recursos significativos, mantém acesso e retorna após ser removida. O termo descreve um comportamento organizado e sustentado. O patrocínio estatal é comum, mas grupos criminosos capacitados também podem operar nesse nível. Considere o comportamento e o acesso do agente como evidências, não o quanto o nome dele impressiona.

Operações criminosas frequentemente dividem o trabalho. Corretores de acesso inicial vendem pontos de acesso a redes comprometidas. No ransomware como serviço, desenvolvedores fornecem ransomware a afiliados que executam ataques e dividem a receita. Portanto, defender-se do método de entrada de um afiliado pode importar mais do que reconhecer uma única marca de malware.

Olhe além do perímetro

Um agente interno já tem acesso, portanto um firewall na borda da rede não consegue tratar todo o risco. O princípio do menor privilégio reduz o que pode ser alcançado com esse acesso. A prevenção contra perda de dados e a análise do comportamento de usuários podem ajudar a identificar uso indevido e erros, considerando o contexto do trabalho normal da pessoa.

Uma ameaça à cadeia de suprimentos usa um terceiro confiável para alcançar clientes: uma atualização, um provedor de serviços gerenciados ou uma biblioteca. No comprometimento do SolarWinds Orion em 2020, atacantes inseriram uma porta dos fundos em atualizações de software assinadas. A SolarWinds informou inicialmente que menos de 18.000 clientes poderiam ter instalado produtos afetados. A instalação de um produto afetado e a exploração posterior confirmada são alegações diferentes.

Parta do negócio

Uma varejista on-line com 80 funcionários depende da loja pública e lida com dados de clientes. Criminosos motivados financeiramente importam porque roubo de pagamentos e interrupções ameaçam a receita. Atacantes oportunistas importam porque a loja está exposta à internet. Agentes internos não intencionais importam porque funcionários podem expor registros de clientes. Um grupo estatal focado em pesquisas de defesa tem pouca relevância para o perfil atual dessa varejista.

Registre a motivação, os métodos observados e a oportunidade de cada agente relevante. Use esse perfil para selecionar relatórios, comportamentos do ATT&CK e temas de caça a ameaças. Revise-o quando o negócio mudar seus serviços ou sua tecnologia.

Atribuição é a associação de uma atividade a um agente. Malware compartilhado, hospedagem alugada e pistas falsas deliberadas dificultam esse julgamento. Fornecedores também usam nomes diferentes: o MITRE ATT&CK acompanha o APT28 (G0007), também chamado de Fancy Bear e Forest Blizzard. Declare as evidências e a confiança que fundamentam a atribuição; o trabalho de detecção pode prosseguir enquanto o agente permanece desconhecido.

Uma fonte pode ser conhecida e ainda assim irrelevante para a decisão. Outra pode ser muito relevante, mas ter sustentação insuficiente para justificar um bloqueio. Avalie acesso, utilidade e evidências como questões separadas.

Encontre as fontes adequadas

A inteligência de fontes abertas (OSINT) vem de materiais que podem ser obtidos publicamente: avisos governamentais, relatórios de pesquisa, código público, registros de vulnerabilidades e publicações de pesquisadores. O que a define é a disponibilidade pública; um relatório vendido ao público ainda pode ser uma fonte aberta. Um CERT (equipe de resposta a emergências em computadores) ou uma CSIRT (equipe de resposta a incidentes de segurança em computadores) coordena incidentes e frequentemente publica avisos.

Fontes fechadas restringem os destinatários. Elas incluem grupos de compartilhamento exclusivos para membros, relatórios privados de fornecedores e fontes licenciadas de atualizações com limites de redistribuição. Registros internos de SIEM, EDR, central de suporte e incidentes também são fontes restritas e descrevem diretamente a atividade da organização. Uma plataforma de inteligência de ameaças (TIP), como MISP, OpenCTI ou Open Threat Exchange, pode deduplicar, enriquecer, associar e distribuir inteligência. Ela ainda precisa de requisitos e do julgamento de analistas.

A web profunda é conteúdo não indexado, incluindo portais privados comuns. A web obscura exige redes especiais, como a Tor. O monitoramento especializado pode identificar credenciais vazadas ou menções a vítimas. Organize essa coleta por meio de provedores aprovados e com orientação jurídica; não compre dados roubados nem negocie com criminosos.

Avalie utilidade e fundamentação

Os objetivos do exame chamam esses fatores de “níveis de confiança”. Eles ajudam a decidir se uma informação é adequada para orientar uma ação. A confiança analítica descreve separadamente a força das evidências e do raciocínio que sustentam um julgamento. A relevância mede utilidade; ela não torna uma alegação mais verdadeira.

Um relatório da manhã sobre malware direcionado ao ERP da organização, corroborado por um segundo fornecedor, é oportuno e relevante. Uma alegação sobre um código ou técnica de exploração de firewall para um produto que a organização não possui é irrelevante para os controles imediatos. Uma lista de IPs de 2023 sem explicação precisa de validação antes de se tornar uma lista de bloqueio.

Mantenha distintos dois tipos de avaliação

O sistema do Almirantado classifica a confiabilidade da fonte de A a E, com F para confiabilidade desconhecida, e a credibilidade da informação de 1 a 5, com 6 para credibilidade desconhecida. A significa completamente confiável; E significa não confiável. Uma informação classificada como 1 é confirmada por outras fontes; 5 significa improvável. B2 significa uma fonte geralmente confiável que relata uma informação provavelmente verdadeira. Uma fonte confiável pode repetir uma alegação falsa, por isso as duas avaliações permanecem separadas.

Probabilidade diz respeito à possibilidade de um evento acontecer. Confiança diz respeito à fundamentação dessa estimativa. A escala de estimativa da Diretiva da Comunidade de Inteligência dos Estados Unidos (ICD) 203 usa “improvável” para 20–45%, “provável” para 55–80% e “muito provável” para 80–95%. “O portal de pagamentos provavelmente será atacado. Temos confiança moderada nesse julgamento” apresenta os dois julgamentos separadamente. Registre a escala usada e as evidências independentes, suposições e lacunas que fundamentam o nível de confiança.

Um indicador de comprometimento (IoC) é um artefato observável que sugere um ataque com algum grau de confiança. Seu valor vem de sua função, das evidências e do tempo decorrido, além do próprio valor. Um indicador de ataque (IoA) enfatiza o comportamento em um ataque em andamento, como um processo que lê a memória do repositório de credenciais.

Reconheça os tipos de indicadores

Outros artefatos úteis incluem URLs, assuntos, caminhos de arquivos, chaves de registro, nomes de mutexes e strings de agente de usuário. Um hash de arquivo identifica um conteúdo exato. Os hashes SHA-256 de “invoice_4471” e “invoice_4472” começam com 207b0dad e 60072dc4; mudar um caractere altera o resultado. O SHA-256 é preferido para identificação porque colisões práticas já foram demonstradas para MD5 e SHA-1.

Colete, analise e aplique

A coleta reúne artefatos de incidentes, ambientes isolados de análise, fontes de atualizações e parceiros. Preserve onde e quando cada um foi observado. Durante a análise, valide o formato e enriqueça o valor: use registros de domínio, histórico de DNS passivo, reputação, geolocalização, scanners com vários mecanismos e resultados de ambientes isolados. O WHOIS pode fornecer informações de registro; o DNS passivo fornece resoluções observadas anteriormente. Registre se o recurso entregou phishing, hospedou uma carga maliciosa ou serviu para comando e controle.

A aplicação coloca a inteligência validada em uso. Um filtro DNS pode bloquear um domínio; o EDR pode bloquear o hash de um arquivo comprovadamente malicioso; uma lista de observação do SIEM pode revelar correspondências. Pesquise também registros históricos, pois um novo relatório pode explicar uma atividade que já aconteceu.

Analise um e-mail relatado

Um usuário relata “Fatura 4471 vencida” com invoice_4471.zip. Registre o remetente, o assunto e o hash do anexo. A análise em ambiente isolado encontra um script que contata hxxps://update-portal[.]example/load. O enriquecimento mostra que o registro ocorreu três dias antes e que o domínio é resolvido para 203.0.113.45, endereço também usado por dois domínios semelhantes.

O analista bloqueia o domínio no resolvedor DNS, adiciona o hash ao EDR e pesquisa 30 dias de registros do proxy. Quatro estações de trabalho contataram o domínio. Esses hosts tornam-se pistas para a investigação; examinar o contexto das conexões estabelece o que aconteceu em cada um. O bloqueio impede correspondências futuras por meio desse controle, mas deixa a atividade passada para investigação.

Trate a apresentação e o envelhecimento

Relatórios neutralizam valores para impedir aberturas acidentais: https torna-se hxxps, e pontos tornam-se [.]. Restaure a forma funcional antes de carregar um indicador em uma ferramenta que espera um endereço comum.

Defina datas de revisão ou expiração conforme o tipo e as evidências. Um endereço IP pode ser revisado após 30 dias; domínios e hashes de arquivos podem permanecer úteis por mais tempo. Hospedagem compartilhada e redes de distribuição de conteúdo exigem cuidado, pois bloquear um IP pode afetar muitos serviços legítimos. Uma correspondência exige contexto, e uma busca sem resultados significa apenas que os valores pesquisados não foram encontrados nos registros disponíveis.

Táticas, técnicas e procedimentos (TTPs) descrevem comportamentos em três níveis. Uma tática é o objetivo, uma técnica é o método geral e um procedimento é a implementação específica de um agente. Essa distinção explica por que algumas detecções resistem a mudanças no malware e nos servidores.

Separe objetivo, método e implementação

No caso da persistência, a tática é manter um ponto de acesso. Tarefa agendada/trabalho: tarefa agendada (T1053.005) é uma técnica que pode alcançar esse objetivo. Um procedimento inclui o nome exato da tarefa, o caminho do arquivo, o comando e o gatilho.

Em um procedimento observado, um agente com direitos de administrador registra uma tarefa chamada “OneDriveSync”. Ela executa C:\Users\Public\sync.exe a cada logon como SYSTEM. O nome da tarefa pode mudar enquanto a técnica de tarefa agendada permanece a mesma. O caminho e o nome da tarefa descrevem evidências a inspecionar; o gatilho recorrente explica a finalidade de persistência.

Leia a Pirâmide da Dor

A Pirâmide da Dor de David Bianco, publicada em 2013, classifica aquilo que o adversário deve mudar depois que um defensor detecta e impede seu uso. Do menor para o maior custo:

1. Valores de hash: trivial; gerar uma nova versão do arquivo ou reempacotá-lo.
2. Endereços IP: fácil; obter outro endereço de servidor.
3. Nomes de domínio: simples; registrar e configurar outro nome.
4. Artefatos de rede e de host: incômodo; mudar caminhos, nomes ou detalhes de protocolo característicos.
5. Ferramentas: desafiador; substituir e testar capacidades funcionais.
6. TTPs: difícil; aprender e implementar uma maneira diferente de operar.

A pirâmide mede o custo de adaptação do adversário. Ela não classifica a gravidade de uma intrusão nem orienta o defensor a descartar todos os indicadores dos níveis inferiores.

Compare detecções durante uma mudança de campanha

Uma intrusão produz um hash do carregador, o endereço de comando e controle (C2) 198.51.100.77 e o domínio update-portal.example. Ela também deixa a tarefa “OneDriveSync”, usa uma ferramenta de extração de credenciais e inicia, a partir de uma aplicação do Office, um interpretador de scripts conectado à internet.

Se o agente gerar uma nova versão do carregador e mudar tanto o endereço do servidor quanto o domínio, as três detecções por valor exato deixam de encontrar correspondências. Uma detecção pelo nome da tarefa ainda funciona até que o nome mude. Uma detecção focada na ferramenta pode resistir até que ela mude. Uma regra para o comportamento de uma aplicação do Office iniciar um script que acessa a rede pode resistir a todas essas substituições porque observa o método.

Forneça os dados de que o comportamento precisa

Uma regra comportamental gera um alerta quando winword.exe ou excel.exe inicia powershell.exe, wscript.exe ou mshta.exe, e o processo filho faz uma conexão de saída em até 60 segundos. Isso exige a relação de origem entre processos, marcas temporais e eventos de rede associados ao processo. Uma lista de domínios, por si só, não pode sustentar essa regra.

Detecções comportamentais exigem ajuste fino porque softwares legítimos e administradores também usam scripts e tarefas agendadas. Examine os usos normais antes de escolher exceções. Excluir amplamente todos os administradores eliminaria visibilidade útil sobre contas privilegiadas comprometidas.

Um hash comprovadamente malicioso identifica com precisão um arquivo e é rápido de implantar. Valores de infraestrutura exigem verificações de compartilhamento e tempo de existência. Combine bloqueio rápido de indicadores e buscas retrospectivas com detecções comportamentais testadas para obter cobertura mais duradoura.

MITRE ATT&CK significa Adversarial Tactics, Techniques, and Common Knowledge. É uma base de conhecimento compartilhada, criada a partir de intrusões observadas. A MITRE iniciou o projeto em 2013 e o lançou publicamente em 2015. Ele fornece ao analista um vocabulário para comportamentos e evidências de como esses comportamentos apareceram.

Escolha o domínio e a versão

O ATT&CK tem os domínios Enterprise, Mobile e ICS (sistemas de controle industrial). Enterprise abrange sistemas como Windows, macOS, Linux, serviços de nuvem, provedores de identidade, dispositivos de rede, contêineres e ESXi. Mobile trata de Android e iOS; ICS trata de sistemas de controle industrial.

A versão Enterprise v20, lançada em outubro de 2026, tem 15 colunas de táticas: Reconhecimento, Desenvolvimento de recursos, Acesso inicial, Execução, Persistência, Escalonamento de privilégios, Furtividade, Comprometimento das defesas, Acesso a credenciais, Descoberta, Movimentação lateral, Coleta, Comando e controle, Exfiltração e Impacto.

Uma tática explica o objetivo de um adversário. Essas colunas não são uma linha do tempo obrigatória: um intruso pode repetir a descoberta depois de avançar para outro sistema, pular uma tática ou buscar vários objetivos em uma única ação.

Na v19, lançada em abril de 2026, a antiga tática Evasão de defesas da Enterprise foi dividida em Furtividade (TA0005) e Comprometimento das defesas (TA0112). Furtividade oculta a atividade; Comprometimento das defesas danifica ou desativa a visibilidade e os controles defensivos. Por isso, camadas Enterprise mais antigas, com 14 colunas, precisam ser interpretadas considerando a versão. Os nomes das táticas em outros domínios podem diferir.

Leia os identificadores

O sufixo após o ponto no ID de uma subtécnica acrescenta especificidade. LSASS é o Serviço de Subsistema da Autoridade de Segurança Local do Windows. A leitura da memória do LSASS sustenta T1003.001; um relatório que diga apenas “extração de credenciais” sustenta a técnica mais ampla T1003. Uma técnica pode servir a várias táticas: Tarefa agendada (T1053.005) pode apoiar execução, persistência ou escalonamento de privilégios.

Transforme uma página em um plano de defesa

Leia primeiro a descrição e as plataformas compatíveis. Exemplos de procedimentos mostram como grupos ou softwares identificados pelo nome executaram a técnica, com referências. Mitigações sugerem controles. Desde a v18, em outubro de 2025, as estratégias de detecção apontam para análises específicas por plataforma e para os componentes de dados exigidos por elas, como eventos de criação de processo ou de conexão de rede.

Isso permite que um engenheiro pergunte se os registros necessários existem antes de criar uma regra. Uma página de grupo também lista técnicas observadas, apoiando a criação de uma camada de ameaças para agentes relevantes.

Registre a versão do ATT&CK em mapeamentos, relatórios e mapas de calor. Novas versões geralmente chegam em abril e outubro. Técnicas podem mudar ou ser revogadas: a v19 revogou Comprometer defesas (T1562), redistribuindo o conteúdo em técnicas como Desativar ou modificar ferramentas (T1685). Um identificador antigo precisa de revisão, mesmo que o comportamento descrito continue relevante.

Um mapeamento para o ATT&CK conecta um comportamento a uma técnica identificada pelo nome, com evidências. Um nome de arquivo, uma classificação de fornecedor ou uma família de malware pode orientar a pesquisa, mas o mapeamento descreve o que aconteceu. Comece com um relato da ação em linguagem simples.

Siga as evidências em cinco etapas

1. Encontre o comportamento. Extraia a ação, o objeto e o resultado do registro.
2. Pesquise-o. Entenda o que a ação faz e o que as evidências podem estabelecer.
3. Identifique a tática. Pergunte a que objetivo a ação serve nesse caso.
4. Identifique a técnica. Encontre o método geral que se encaixa.
5. Identifique a subtécnica. Use-a quando as evidências sustentarem esse detalhe.

Compare o rascunho com a interpretação de outro analista. Preserve o trecho do registro ou relatório que fundamenta cada linha para que outra pessoa possa examinar o mapeamento.

Analise uma intrusão

Uma observação pode sustentar vários mapeamentos porque método e objetivo se sobrepõem. Mantenha explícitas as evidências de cada alegação. Encontrar o Mimikatz identifica um software (S0002); isso não estabelece que o LSASS foi lido, a menos que evidências de execução sustentem essa ação.

Escolha o nível de detalhe

Se um relatório disser apenas “phishing”, mapeie Phishing (T1566). Anexo e link são subtécnicas distintas, e o relatório não escolheu entre elas. Registre uma lacuna quando faltarem evidências. Um identificador mais específico só é útil quando está justificado.

O mesmo mecanismo de tarefa pode ter objetivos diferentes. Uma tarefa que inicia um programa uma vez sustenta Execução. Uma tarefa configurada para cada logon sustenta Persistência. Registre várias táticas quando as evidências sustentarem vários objetivos.

Evite o mapeamento por palavras-chave. Uma frase sobre “credenciais” pode descrever o uso de uma conta roubada, não o roubo de credenciais. Um identificador de Vulnerabilidades e exposições comuns (CVE) nomeia uma vulnerabilidade; explorar uma falha em um servidor exposto ao público é Explorar aplicação exposta ao público (T1190). Trate a falha e o comportamento como campos separados.

Torne o resultado revisável

Use uma tabela com comportamento, evidências, tática, técnica ou subtécnica, versão do ATT&CK e confiança. Esse resultado pode alimentar um relatório de incidente, uma camada do Navigator ou um plano de caça a ameaças. Mantenha visivelmente incertos os mapeamentos incertos para que um leitor posterior não confunda uma inferência do analista com uma ação registrada.

Um mapa de calor do ATT&CK torna uma pergunta visível: quais comportamentos relevantes a organização consegue detectar e onde estão as lacunas? Comece pelas ameaças relevantes para o negócio e depois compare-as com a cobertura defensiva demonstrada.

Crie duas camadas diferentes

O ATT&CK Navigator permite anotar a matriz em camadas salvas como JSON. Uma camada de ameaças pontua técnicas usadas por agentes no perfil de ameaça. Uma camada de cobertura registra as detecções ou os controles da organização. Dê a cada camada um nome, uma versão do ATT&CK e uma legenda para que uma célula escura tenha um significado claro.

Para obter uma pontuação simples de ameaça, conte quantos grupos relevantes usaram cada técnica. Uma pontuação de quatro significa quatro grupos nesse perfil, não quatro ataques ou uma probabilidade quatro vezes maior de comprometimento. A cobertura pode ser registrada como inexistente, parcial ou testada. Especifique na legenda se ela descreve a existência de uma regra, resultados de testes ou prevenção.

Analise dez técnicas relevantes

Quatro grupos relevantes produzem esta camada de ameaças:

Quatro das dez técnicas têm detecções testadas: 40% desta camada de ameaças. Esse denominador corresponde às dez técnicas selecionadas. Não são 40% de todo o ATT&CK, de todos os procedimentos ou de todos os ataques possíveis.

Entre as técnicas sem cobertura, PowerShell tem a pontuação mais alta. Tarefa agendada e RDP vêm em seguida. A equipe primeiro planeja o registro de blocos de script do PowerShell e uma regra para comandos PowerShell codificados. Uma lacuna com pontuação menor ainda pode ser urgente quando afeta um ativo crítico; mantenha esse contexto de negócio visível ao lado da pontuação.

Elimine a lacuna dos dados ao teste

Leia a estratégia de detecção e as análises da técnica para identificar os registros necessários. Uma regra proposta para comandos codificados não pode funcionar se o conteúdo do comando estiver ausente. Habilite a coleta, confirme que os registros chegam com campos utilizáveis e prazo de retenção adequado e depois crie e ajuste a regra.

Teste com simulações autorizadas e seguras e verifique se o alerta esperado é disparado. O teste estabelece cobertura para o procedimento e as condições exercitados. Uma técnica pode conter muitos procedimentos, portanto registre qual foi testado e o que continua parcial.

As mitigações tratam diferentes partes do mesmo comportamento. Para Memória do LSASS (T1003.001), a proteção da LSA ou o Credential Guard e privilégios de depuração mais restritos podem reduzir a exposição junto com a detecção. Uma célula colorida deve indicar que tipo de cobertura representa.

Mantenha o mapa útil ao longo do tempo

Compare camadas entre trimestres para mostrar melhorias concluídas e riscos em aberto. Revise o perfil de ameaça e o escopo das plataformas antes de ampliar a cobertura: uma organização que usa apenas Windows ganha pouco ao preencher células não relacionadas ao macOS. Células com ameaça alta e cobertura fraca também fornecem temas de caça a ameaças enquanto o trabalho de engenharia está em andamento.

A cadeia de ataque cibernético descreve uma intrusão em sete fases. Os analistas da Lockheed Martin Eric Hutchins, Michael Cloppert e Rohan Amin apresentaram o modelo em 2011 para conectar o conhecimento sobre a operação de um adversário à ação defensiva.

Acompanhe as sete fases

1. Reconhecimento: pesquisar pessoas e sistemas expostos.
2. Preparação de recursos de ataque: preparar código malicioso ou um código ou técnica de exploração com um meio de entrega.
3. Entrega: enviá-lo por e-mail, web, USB ou outra via.
4. Exploração: acionar código por meio de uma vulnerabilidade ou ação do usuário.
5. Instalação: instalar malware ou outro mecanismo que mantenha o acesso.
6. Comando e controle (C2): estabelecer um canal para comandar o sistema comprometido.
7. Ações sobre os objetivos: buscar a finalidade do ataque, como roubo, criptografia ou movimentação adicional.

A preparação de recursos de ataque acontece do lado do atacante. Os defensores geralmente observam pouco dessa fase diretamente. Outras fases podem deixar evidências em registros de e-mail, endpoint, rede ou identidade.

Analise uma intrusão completa

Um atacante estuda anúncios de emprego e perfis de funcionários para encontrar profissionais do setor financeiro: reconhecimento. Ele cria uma planilha com uma macro maliciosa: preparação de recursos de ataque. Enviá-la como uma fatura de fornecedor é entrega. Um usuário habilita o conteúdo e a macro é executada: exploração.

Uma porta dos fundos que inicia no logon corresponde à instalação. Os contatos por HTTPS a cada cinco minutos correspondem ao C2. Copiar registros de clientes para um servidor externo corresponde às ações sobre os objetivos. Cada classificação descreve a atividade sustentada pelas evidências; se a coleta terminar antes de uma fase ser observada, registre a ausência de evidências.

A ideia defensiva da cadeia é interromper a operação antes que ela alcance o objetivo. Um bloqueio bem-sucedido na entrega pode impedir as fases posteriores daquela tentativa. Em geral, custa menos do que responder após um roubo de dados, e a tentativa malsucedida ainda fornece inteligência sobre a próxima.

Escolha uma linha de ação

O modelo de 2011 associa as fases a detectar, negar, interromper, degradar, enganar e destruir. “Detectar” identifica uma ação. “Negar” impede a ação. “Interromper” interrompe seu funcionamento. “Degradar” reduz sua eficácia. “Enganar” fornece ao adversário informações ou respostas que o induzem ao erro.

“Destruir” descreve uma ação ofensiva contra recursos do adversário. A análise defensiva não autoriza o acesso a esses recursos. Mantenha as ações dentro da autoridade da organização e do processo de resposta aprovado.

Reconheça os limites do modelo

A cadeia original se aplica melhor a malware entregue de fora do que a uma intrusão por agente interno ou por conta de nuvem roubada. Ela coloca grande parte da atividade após o comprometimento em ações sobre os objetivos, ocultando distinções como escalonamento de privilégios e coleta. A Cadeia de ataque unificada de Paul Pols, publicada em 2017, amplia a descrição para 18 fases.

Operações reais podem retornar a fases anteriores: um intruso pode fazer mais reconhecimento depois de entrar. Compare várias intrusões fase por fase para identificar métodos de entrega e configurações de C2 recorrentes e depois combine essa visão da campanha com evidências mais detalhadas de comportamento. Um bloqueio antecipado é um resultado útil, mas tentativas relacionadas e hosts já expostos ainda merecem investigação.

O Modelo Diamante de Análise de Intrusão, publicado por Sergio Caltagirone, Andrew Pendergast e Christopher Betz em 2013, descreve um evento de intrusão. Nesse evento, um adversário usa uma capacidade por meio de uma infraestrutura contra uma vítima para produzir um resultado.

Coloque as evidências no vértice correto

Um endereço IP de C2 é infraestrutura. O código que usa esse endereço é capacidade. Registre as pessoas ou a organização e os sistemas afetados no vértice da vítima; “um notebook” pode ocultar por que esse ativo foi escolhido.

A infraestrutura de tipo 1 pertence ao adversário ou é totalmente controlada por ele, como um servidor alugado. A infraestrutura de tipo 2 é controlada por um intermediário, como um site comprometido. O intermediário pode ser outra vítima. Empresas de hospedagem e registradores são provedores de serviços que podem ajudar a investigar ou remover a infraestrutura.

Acrescente as circunstâncias do evento

As metacaracterísticas do modelo descrevem marca temporal, fase, resultado, direção, metodologia e recursos. A marca temporal informa quando; a fase situa a atividade em uma operação mais ampla; o resultado registra sucesso, fracasso ou desconhecido. A direção pode mostrar uma entrega da infraestrutura para a vítima ou C2 da vítima para a infraestrutura. A metodologia identifica a classe da atividade, enquanto os recursos descrevem o software, o conhecimento ou o dinheiro necessários.

O modelo ampliado acrescenta um eixo sociopolítico entre adversário e vítima: a motivação para a escolha desse alvo. O eixo tecnológico conecta capacidade e infraestrutura: por exemplo, a resolução DNS e a comunicação HTTPS que permitem a uma porta dos fundos alcançar o servidor de controle.

Faça o pivoteamento de uma relação por vez

Um alerta de EDR em um notebook do setor financeiro identifica uma porta dos fundos que contata cdn-sync.example. Comece com o notebook como vítima, a porta dos fundos como capacidade e o domínio como infraestrutura. Mantenha o adversário como desconhecido.

O DNS passivo conecta o domínio a 203.0.113.45 e mostra update-portal.example nesse endereço. Isso fornece uma segunda pista de infraestrutura. Um repositório de malware associa outra amostra de porta dos fundos ao segundo domínio, acrescentando uma capacidade. Um parceiro relata o domínio em incidentes em duas empresas de logística, acrescentando pistas sobre vítimas.

Cada pivoteamento produz uma relação a verificar. Hospedagem compartilhada, por si só, é uma evidência fraca de controle comum, portanto preserve informações temporais e corroboração antes de agrupar clientes não relacionados. O resultado útil é uma trilha crescente de evidências, não a identificação rápida de um agente.

Conecte eventos sem fazer alegações excessivas

Eventos ordenados no tempo para uma vítima formam um encadeamento de atividades. Encadeamentos e eventos relacionados formam um grupo de atividades quando compartilham características relevantes, como infraestrutura, capacidade ou escolha de alvos. O grupo se aproxima de um adversário ou campanha e continua sendo um agrupamento analítico até que evidências mais fortes sustentem a atribuição.

Vértices vazios mostram ao analista onde faltam evidências. Deixe-os como desconhecidos e use as arestas conhecidas para planejar a próxima busca. Um diamante aparentemente completo, preenchido com suposições, é menos útil do que um incompleto cujas relações podem ser verificadas.

Um único incidente pode exigir um informe de progresso, um plano de detecção e uma investigação de infraestrutura. A cadeia de ataque cibernético, o ATT&CK e o Modelo Diamante organizam as mesmas evidências para essas diferentes perguntas.

Escolha primeiro a pergunta

Analise uma intrusão de três maneiras

Um e-mail de phishing entrega uma planilha a uma equipe financeira. Um usuário habilita a macro. A macro instala uma porta dos fundos, registra uma tarefa agendada para o logon e contata cdn-sync.example por HTTPS. O SOC isola o notebook antes de observar qualquer outra atividade.

A descrição pela cadeia de ataque identifica entrega, exploração, instalação e C2. Ela informa que ações sobre os objetivos não foram observadas. O isolamento é uma ação defensiva; a ausência de observações posteriores ainda depende dos dados que foram coletados.

O ATT&CK separa os comportamentos: Anexo de phishing direcionado (T1566.001) para o anexo, Execução pelo usuário: arquivo malicioso (T1204.002) para a habilitação, Tarefa agendada (T1053.005) para a inicialização recorrente e Protocolos web (T1071.001) para o C2 por HTTPS. Cada mapeamento remete a um fato do incidente.

O evento no Modelo Diamante registra um adversário desconhecido, a macro e a porta dos fundos como capacidade, o endereço do remetente e o domínio contatado como infraestrutura e a equipe financeira junto com o notebook afetado como vítima. Ele sugere verificar outras mensagens do remetente e outros hosts que contatem o domínio.

Conecte fases e comportamentos com cuidado

Reconhecimento corresponde de perto entre o ATT&CK e a cadeia de ataque. Desenvolvimento de recursos se sobrepõe à preparação de recursos de ataque. Acesso inicial e Execução podem descrever entrega e exploração; Persistência se sobrepõe à instalação; Comando e controle se sobrepõe ao C2. Muitas das demais táticas do ATT&CK se encaixam nas ações sobre os objetivos.

A relação é aproximada. O ATT&CK fornece distinções detalhadas posteriores ao comprometimento que a cadeia original reúne. Forçar uma tática do ATT&CK a se encaixar em exatamente uma fase da cadeia de ataque pode ocultar o objetivo ou a sequência mostrados pelas evidências.

Diferencie descrições de ataques de planos de teste

O Manual de metodologia aberta de testes de segurança (OSSTMM) do ISECOM e o Guia de testes de segurança web da OWASP organizam testes autorizados: planejamento, execução de verificações e apresentação dos resultados. Eles são metodologias de teste. Os três modelos de referência de ataques descrevem atividades de adversários para análise.

Um plano de teste pode usar um comportamento do ATT&CK para escolher uma simulação autorizada e depois usar os resultados para atualizar a cobertura. O plano e o vocabulário de comportamentos cumprem funções diferentes. Nenhum modelo estabelece a identidade do agente por si só; a atribuição ainda exige evidências separadas e um nível de confiança.

A caça a ameaças é uma busca proativa, iterativa e conduzida por pessoas por atividades de adversários que as detecções automatizadas não identificaram. O profissional considera que uma violação pode já existir e depois procura evidências em endpoints, redes, identidades e serviços de nuvem.

Diferencie as atividades relacionadas

Um alerta anterior pode fornecer uma pista para uma busca. Uma busca que encontra um incidente o encaminha para a resposta a incidentes. Esses limites descrevem o objetivo do trabalho; as equipes podem trocar evidências durante todo o processo.

Atacantes podem se misturar às atividades normais por meio do uso de recursos legítimos do sistema em ataques, usando ferramentas integradas como PowerShell ou Windows Management Instrumentation. Ferramentas que administradores usam diariamente precisam de análise contextual. O tempo de permanência sem detecção é o período em que um intruso permanece sem ser detectado. As buscas procuram reduzi-lo; algumas intrusões ficam ocultas por meses ou anos.

Associe o tipo de busca ao ponto de partida

Uma busca orientada por hipótese testa uma afirmação específica sobre comportamento. Uma busca orientada por inteligência parte de indicadores ou TTPs de um novo relatório e pode pesquisar registros antigos. Uma caça a ameaças baseada em linha de base estabelece a atividade normal e examina desvios. Uma caça a ameaças assistida por modelo usa aprendizado de máquina para destacar padrões incomuns para exame humano.

Esses tipos podem funcionar juntos. Um relatório sobre persistência por tarefa agendada pode levar a uma hipótese, a uma comparação de frequência com a linha de base e ao agrupamento assistido por modelo de ações incomuns de tarefas. O profissional ainda interpreta as evidências.

Escolha locais relevantes para a busca

Configurações e configurações incorretas oferecem pistas: novas contas de administrador, registros de eventos desativados, alterações em políticas de grupo e serviços recém-expostos. Ativos críticos, como controladores de domínio, sistemas de pagamento, servidores de cópias de segurança e o ERP, merecem atenção porque o comprometimento tem alto custo.

Redes segmentadas ou desconectadas fisicamente podem ter visibilidade mais fraca. Em ambientes industriais, prefira a coleta passiva, pois a varredura ativa pode interromper equipamentos sensíveis. Escolha um método adequado tanto ao ativo quanto à ameaça.

Verifique a visibilidade antes de prometer uma resposta

Uma busca precisa de registros relevantes de endpoint, rede, identidade ou nuvem, prazo de retenção suficiente e ferramentas para consultá-los. A retenção frequentemente chega a 90 dias ou mais, mas a janela necessária depende da pergunta. Verifique quais hosts e campos estão realmente presentes e como a atividade normal será reconhecida.

O Modelo de maturidade de caça a ameaças vai de HM0 Inicial, dependência de alertas automatizados, passando por HM1 Mínimo, buscas de indicadores, HM2 Procedimental, uso de procedimentos escritos por terceiros, e HM3 Inovador, criação de procedimentos, até HM4 Líder, automatização de buscas bem-sucedidas na forma de detecções. A busca de indicadores é útil, mas deixa de encontrar correspondências quando a infraestrutura muda.

Se nenhuma evidência que sustente a hipótese for encontrada, relate o comportamento testado, o escopo, os métodos e os limites de visibilidade. Registros ausentes tornam-se um achado de visibilidade. Um valor atípico benigno documentado melhora a linha de base. Ambos são resultados acionáveis, mesmo quando a busca não identifica um incidente.

Uma hipótese de caça a ameaças afirma que um comportamento específico de um adversário pode estar presente em um ambiente definido. Ela dá ao profissional uma direção de busca e um ponto de parada. Uma acusação como “há uma APT aqui” não fornece nenhum dos dois.

Construa as quatro partes

Uma hipótese útil identifica comportamento, escopo, evidências observáveis e fonte de dados. O escopo inclui sistemas e tempo. Experimente: “Se este comportamento ocorrer nestes sistemas durante este período, estes registros deverão conter estas evidências.”

As fontes incluem relatórios sobre agentes relevantes, lacunas do ATT&CK com alta pontuação de ameaça, incidentes anteriores, novos serviços de nuvem, fusões, anomalias diárias e achados de equipes ofensivas. Comece com uma dessas pistas e depois descreva o comportamento com detalhes suficientes para procurá-lo.

Delimite uma busca por tarefas agendadas

“Atacantes estão usando PowerShell” produz atividade legítima demais. Uma hipótese mais delimitada é: “Um adversário criou tarefas agendadas, Tarefa agendada (T1053.005), nas estações de trabalho do setor financeiro nos últimos 30 dias que executam programas de pastas nas quais usuários podem gravar, como C:\Users\Public ou AppData.”

A evidência esperada é um registro de criação de tarefa que mostre esse destino. O evento 4698 de Segurança do Windows registra a criação de tarefas quando a auditoria pertinente está habilitada. Verifique a política e a coleta antes da busca. Leia a ação da tarefa, o criador, o host e o horário e investigue as correspondências independentemente da conta que as criou. Credenciais de administrador também podem ser usadas indevidamente.

A condição da pasta delimita deliberadamente a hipótese. Tarefas executadas de pastas protegidas ficam fora dessa busca, portanto mantenha esse limite no relatório.

Decida o que contaria contra a hipótese

Registre um resultado de refutação antes da busca. Por exemplo, pode ser que toda tarefa correspondente esteja associada a software conhecido, registros de implantação aprovados e comportamento esperado de processos. Esse achado conta contra a hipótese delimitada quando os registros necessários estão completos. Resultados vazios de hosts que nunca enviaram o evento 4698 deixam a pergunta sem resposta.

Busque evidências de explicações comuns com o mesmo empenho dedicado às explicações maliciosas. Registre mudanças na hipótese e no escopo durante o trabalho; caso contrário, a alegação final pode se referir a uma pergunta que nunca foi realmente testada.

Classifique o trabalho e revele lacunas de dados

Uma classificação simples pontua probabilidade, impacto e disponibilidade dos dados de 1 a 3 e depois multiplica as pontuações. Neste exemplo:

A vem primeiro por esse método. B afeta ativos importantes, mas faltam dados utilizáveis, portanto habilitar a coleta é a primeira tarefa. A pontuação classifica o trabalho; não é uma probabilidade nem substitui o tratamento urgente de incidentes.

Uma busca cria valor quando suas evidências mudam a resposta, a linha de base, a coleta ou a detecção. O PEAK, apresentado pela equipe SURGe da Splunk em 2023, organiza o trabalho em Preparar, Executar e Agir, com o Conhecimento orientando cada fase.

Execute o processo

Durante Preparar, pesquise o comportamento, formule a hipótese e defina escopo, dados e plano. Durante Executar, colete e analise registros, aperfeiçoe buscas e escalone achados críticos imediatamente. Durante Agir, preserve o trabalho, comunique os achados e implemente melhorias. O conhecimento inclui contexto de negócio, inteligência de ameaças, experiência e o que essa busca descobre.

Uma busca precisa encontra valores ou padrões conhecidos. A análise de frequência de valores conta valores e examina os raros. O agrupamento e o agrupamento por similaridade revelam eventos relacionados. O estabelecimento de linha de base compara a atividade com o comportamento normal ao longo do tempo. Uma linha do tempo pode então conectar valores atípicos a outras ações no host.

Analise a frequência dos nomes de tarefas e depois examine o contexto

Um profissional conta nomes em 2.000 hosts Windows:

“SysHealthCheck” é a mais rara e executa C:\Users\Public\svc.exe, não assinado, em três hosts do setor financeiro. Esse contexto justifica uma investigação. “BackupAgentDaily” também é rara no conjunto de hosts, mas corresponde a um software instalado apenas em servidores. Agrupar por função do host explica a frequência dessa tarefa.

A raridade ordena a inspeção; a classificação precisa de mais evidências. Verifique a relação de origem entre processos, o usuário, a assinatura do arquivo, a reputação do hash, os contatos de rede e o horário de criação. Classifique um resultado como benigno, suspeito ou malicioso conforme o que essas verificações estabelecerem. Documente valores atípicos legítimos na linha de base.

Examine os intervalos como outra pista

Um host contata 198.51.100.77 com intervalos de 300, 302, 298, 301, 299, 300, 303 e 297 segundos. A média é de 300 segundos e o desvio padrão de cerca de 1,9 segundo: uma dispersão pequena. A navegação humana frequentemente apresenta intervalos muito menos regulares.

Malware pode fazer comunicações recorrentes com o C2, acrescentando variação dos intervalos de comunicação aleatória para que os intervalos fiquem próximos de um valor típico sem serem idênticos. Serviços legítimos de atualização e de horário também contatam destinos regularmente. Verifique o processo que iniciou a conexão, o histórico do destino e a prevalência em hosts comparáveis antes de classificar uma conexão periódica.

Aja preservando as evidências

Encaminhe atividades maliciosas para a resposta a incidentes conforme o processo da organização. Coordene ações com a equipe de resposta; evite excluir o arquivo ou fazer login interativo de maneiras que alterem evidências ou alertem o intruso.

Transforme a busca em uma regra nova ou ajustada, uma correção de visibilidade, uma mudança de configuração, inteligência compartilhada ou uma linha de base melhorada. O registro de blocos de script do PowerShell, por exemplo, registra o evento 4104 e pode corrigir uma lacuna para análises posteriores.

O relatório preserva a hipótese, o escopo, as fontes, as consultas, os achados, os falsos positivos e as tarefas de acompanhamento atribuídas. Meça detecções criadas, lacunas eliminadas, técnicas investigadas e tempo até o resultado, junto com os incidentes encontrados. Consultas e anotações salvas permitem que o próximo analista repita ou automatize o trabalho útil.

A defesa ativa envolve, retarda ou estuda um adversário por meio de ações defensivas no próprio ambiente da organização. Dissimulação, bloqueio dinâmico e contenção rápida podem apoiá-la. A dissimulação cibernética cria recursos com os quais usuários legítimos não têm motivo de trabalho para interagir.

Escolha a isca conforme a finalidade

Um sistema-isca não tem finalidade de produção. Um dado-isca pode ficar em um ambiente que, no restante, é real: uma conta de administrador nunca usada, uma chave falsa de nuvem, um registro de banco de dados usado como isca ou um documento canário que informa quando é acessado. Ele precisa de um caminho de alerta que registre o que foi acessado e de onde veio o contato.

Deixe o posicionamento definir a inferência

Um servidor de arquivos falso próximo aos ativos do setor financeiro pode revelar descoberta interna ou movimentação lateral. Um sistema-isca exposto à internet recebe principalmente varreduras amplas e ataques automatizados. Ambos podem coletar inteligência útil, mas uma varredura externa, por si só, fornece pouca evidência de que uma empresa específica foi escolhida como alvo.

A linha de base esperada é essencial. Se usuários reais abrirem rotineiramente um arquivo-isca, os alertas misturarão atividades comuns com o comportamento de interesse. Faça as iscas parecerem plausíveis para um intruso e mantenha-as fora dos fluxos de trabalho legítimos. Considere os scanners de segurança conhecidos ao revisar contatos.

Parta de um contato para uma busca

Uma empresa posiciona FIN-BACKUP-02 na rede do setor financeiro. Ele não tem usuários legítimos e a expectativa é de zero conexões. Às 02:14, recebe uma tentativa de conexão SMB de uma estação de trabalho do setor financeiro.

O alerta fornece uma pista precisa: host de origem, destino, serviço e horário. O profissional examina a atividade dessa estação em torno do contato e encontra um programa desconhecido executado por tarefa agendada e logins por área de trabalho remota usando uma conta que deveria estar inativa. As evidências combinadas orientam a investigação; a isca tornou mais fácil perceber um caminho oculto.

Mapeie ações observadas para o ATT&CK quando as evidências as sustentarem. Mantenha o contato em si separado das suposições sobre o que aconteceu antes ou qual grupo o causou. O sistema-isca pode se tornar uma fonte interna de inteligência, e a busca pode identificar uma regra comportamental que valha a pena automatizar.

Contenha o risco da isca

Isole sistemas-isca, limite a capacidade deles de alcançar o ambiente de produção e monitore-os de perto para que uma isca comprometida não se torne um ponto de partida para ataques. Sistemas de alta interação precisam especialmente desse cuidado porque executam software real. Obtenha revisão jurídica e de privacidade para a coleta que registra a atividade e os dados dos visitantes. Mantenha a interação dentro dos sistemas e das ações autorizados.

O Engage da MITRE ajuda a planejar a dissimulação e a interação com adversários em torno de objetivos definidos. A dissimulação atua junto com o monitoramento do SOC, os profissionais de caça a ameaças e a equipe de resposta. Seu valor específico é um recurso com uma linha de base de uso legítimo próxima de zero, não uma visão completa de todas as vias de intrusão.

O compartilhamento permite que o incidente de uma organização se torne um alerta antecipado para outra. Trocas úteis incluem contexto, confiança e regras de tratamento, além de indicadores. A Publicação Especial 800-150 do NIST recomenda definir em conjunto objetivos, escopo e tratamento do compartilhamento antes de começar uma troca urgente.

Escolha a comunidade e a plataforma

Um centro de compartilhamento e análise de informações (ISAC) atende a um setor, como finanças, saúde ou energia. Uma organização de compartilhamento e análise de informações (ISAO) pode se formar em torno de outro interesse comum, como uma região. CERTs e CSIRTs nacionais coordenam incidentes e publicam alertas. Exemplos incluem a CISA nos Estados Unidos, o NCSC do Reino Unido e o CERT-EU para instituições da União Europeia.

Contribua com achados relevantes e também os utilize. O MISP organiza eventos compartilhados e etiquetas e pode sincronizar servidores dos membros. O OpenCTI armazena inteligência conectada em um grafo de conhecimento baseado em STIX. O Open Threat Exchange (OTX) agrupa indicadores relacionados em “pulsos” da comunidade. A plataforma apoia a troca; as regras da comunidade determinam o conteúdo e o público dessa troca.

Separe conteúdo de transporte

O STIX 2.1 é a linguagem de inteligência da OASIS baseada em JSON. Objetos de domínio descrevem indicadores, malware, agentes de ameaça, conjuntos de intrusões, padrões de ataque, campanhas, vulnerabilidades e linhas de ação. Objetos de relacionamento conectam esses conceitos; um registro de observação informa que algo foi visto.

Um indicador STIX inclui um padrão e uma data de início de validade. Por exemplo, [domain-name:value = 'update-portal.example'] expressa uma correspondência de domínio. O padrão identifica o que procurar; o objeto que o contém fornece contexto e validade.

O TAXII 2.1 transporta STIX por HTTPS. Um servidor disponibiliza coleções que clientes autorizados leem e às quais, quando permitido, acrescentam objetos. O STIX descreve a inteligência; o TAXII a transporta. Nenhuma das duas escolhas de formato, por si só, concede permissão para redistribuir um relatório.

Aplique o TLP 2.0

O Protocolo de semáforo (TLP) do FIRST comunica a divulgação permitida:

O TLP 2.0, lançado em 2022, substituiu TLP:WHITE por TLP:CLEAR. O TLP é uma convenção de compartilhamento, não criptografia nem um sistema de classificação de segurança.

Para um relatório TLP:AMBER de um ISAC, o destinatário pode informar o SOC de sua organização e os clientes que precisam de proteção. Ele não pode publicar o relatório nem encaminhá-lo a toda a comunidade. Uma divulgação mais ampla exige permissão da fonte.

Prepare o relatório para o público permitido

Antes da divulgação, remova dados pessoais desnecessários, nomes internos de hosts e detalhes que identifiquem a vítima. Verifique os requisitos aplicáveis de proteção de dados, contratos, acordos de confidencialidade e consentimento. Mantenha indicadores úteis e descrições de comportamento sem expor a identidade da vítima quando possível. Sanitizar um relatório e respeitar seu rótulo TLP são tarefas separadas: remover um nome de host não amplia a permissão original de compartilhamento.

A defesa orientada por inteligência direciona esforços para adversários e comportamentos relevantes para a organização. As mesmas evidências podem mudar prioridades de resposta, correções, estimativas de risco para o negócio, arquitetura e detecção.

Conecte a inteligência a cinco funções

Para a engenharia, credenciais de VPN roubadas sugerem MFA resistente a phishing. A extração da memória do LSASS sugere Credential Guard e privilégios limitados de administrador e depuração. A movimentação baseada em RDP sugere acesso mais restrito ao RDP e segmentação. O controle acompanha o método observado e o ambiente que ele pode afetar.

Diferencie severidade de exploração

O Sistema comum de pontuação de vulnerabilidades (CVSS) descreve a severidade técnica em uma escala de 0–10. O Catálogo de vulnerabilidades comprovadamente exploradas (KEV) da CISA identifica falhas com evidências confiáveis de exploração em ambientes reais. O Sistema de pontuação de previsão de exploração (EPSS) do FIRST estima a probabilidade, de 0 a 1, de exploração nos próximos 30 dias. Nenhum desses elementos descreve sozinho todo o risco para o negócio associado ao ativo afetado.

Compare dois achados. A tem CVSS 9,8, EPSS 0,03, não tem entrada no KEV e está em um servidor interno de teste. B tem CVSS 7,5, EPSS 0,92, tem entrada no KEV e afeta o gateway VPN crítico exposto à internet. B vem primeiro porque combina exploração atual, exposição e importância para o negócio. Classificar apenas pelo CVSS deixaria esses fatos de fora. A ausência no KEV ainda deixa incerteza sobre a exploração; ela não estabelece que o ambiente está seguro.

Use STRIDE para examinar um projeto

A modelagem de ameaças examina o projeto de um sistema antes de um ataque. O STRIDE da Microsoft agrupa ameaças pela propriedade de segurança em risco:

A inteligência acrescenta quais ameaças os adversários relevantes estão usando agora. Ela ajuda a priorizar a revisão do projeto sem reduzir a modelagem de ameaças a uma lista de nomes de malware atuais.

Transforme decisões em resultados mensuráveis

Indicadores podem alimentar listas de observação do SIEM, listas de bloqueio do EDR e filtros DNS. O Sigma normalmente expressa regras de detecção para registros de eventos; o YARA expressa regras para padrões de arquivos. Regras baseadas em comportamento ainda precisam dos dados corretos, de testes e de ajuste fino.

Meça detecções criadas, tempo entre o recebimento de um indicador e sua aplicação, incidentes encontrados com inteligência e requisitos respondidos. Pergunte aos usuários se o produto mudou uma decisão. O retorno deles atualiza os requisitos, enquanto os achados de incidentes e buscas acrescentam a próxima rodada de evidências.