Threat Detection

Detecção de Ameaças

Skill de detecção de ameaças para descoberta proativa de atividade de atacante por meio de hunting orientado a hipóteses, análise de IOC e detecção estatística de anomalias. Esta skill NÃO é resposta a incidentes (veja incident-response) nem operações de red team (veja red-team) — trata-se de encontrar ameaças que escaparam dos controles automatizados.

Sumário

• Visão Geral
• Analisador de Sinal de Ameaça
• Metodologia de Threat Hunting
• Análise de IOC
• Detecção de Anomalias
• Priorização de Sinal MITRE ATT&CK
• Integração de Decepção e Honeypot
• Workflows
• Anti-Padrões
• Cross-Referências

Visão Geral

O que Esta Skill Faz

Esta skill fornece a metodologia e as ferramentas para detecção proativa de ameaças — encontrar atividade de atacante por meio de hipóteses de hunting estruturadas, análise de IOC e detecção estatística de anomalias antes que os alertas disparem.

Distinção de Outras Skills de Segurança

Pré-requisitos

Acesso de leitura à telemetria SIEM/EDR, logs de endpoint e dados de fluxo de rede. Feeds de IOC requerem atualização dentro de 30 dias para evitar falsos positivos. Hipóteses de hunting devem ser escopadas ao ambiente antes da execução.

Analisador de Sinal de Ameaça

A ferramenta threat_signal_analyzer.py suporta três modos: hunt (pontuação de hipótese), ioc (geração de varredura) e anomaly (detecção estatística).

# Modo hunt: pontuar uma hipótese contra cobertura MITRE ATT&CK
python3 scripts/threat_signal_analyzer.py --mode hunt \
  --hypothesis "Lateral movement via PtH using compromised service account" \
  --actor-relevance 3 --control-gap 2 --data-availability 2 --json

# Modo ioc: gerar alvos de varredura a partir de um arquivo de feed IOC
python3 scripts/threat_signal_analyzer.py --mode ioc \
  --ioc-file iocs.json --json

# Modo anomaly: detectar outliers estatísticos em eventos de telemetria
python3 scripts/threat_signal_analyzer.py --mode anomaly \
  --events-file telemetry.json \
  --baseline-mean 100 --baseline-std 25 --json

# Listar todas as técnicas MITRE ATT&CK suportadas
python3 scripts/threat_signal_analyzer.py --list-techniques

Formato do arquivo IOC

{
  "ips": ["1.2.3.4", "5.6.7.8"],
  "domains": ["malicious.example.com"],
  "hashes": ["abc123def456..."]
}

Formato do arquivo de eventos de telemetria

[
  {"timestamp": "2024-01-15T14:32:00Z", "entity": "host-01", "action": "dns_query", "volume": 450},
  {"timestamp": "2024-01-15T14:33:00Z", "entity": "host-02", "action": "dns_query", "volume": 95}
]

Códigos de saída

Metodologia de Threat Hunting

O threat hunting estruturado segue um loop de cinco etapas: hipótese → identificação de fonte de dados → execução de query → triagem de achados → feedback para engenharia de detecção.

Pontuação de Hipótese

Score de prioridade = (actor_relevance × 3) + (control_gap × 2) + (data_availability × 1)

Hipóteses de Hunt de Alto Valor por Tática

Análise de IOC

A análise de IOC determina se os indicadores são frescos, mapeia-os para alvos de varredura necessários e filtra dados obsoletos que geram falsos positivos.

Tipos de IOC e Prioridade de Varredura

Tratamento de Obsolescência de IOC

IOCs mais antigos que seu threshold são sinalizados como stale e excluídos da geração de alvos de varredura. Executar varreduras contra IOCs obsoletos infla taxas de falso positivo e reduz a credibilidade do SOC. Atualize feeds de IOC de plataformas de inteligência de ameaças (MISP, OpenCTI, TI comercial) antes de cada ciclo de hunt.

Detecção de Anomalias

A detecção estatística de anomalias identifica comportamento que desvia das baselines estabelecidas sem depender de assinaturas conhecidas como más.

Thresholds de Z-Score

Requisitos de Baseline

A detecção eficaz de anomalias requer pelo menos 14 dias de telemetria histórica para estabelecer uma baseline válida. Baselines devem ser recomputadas após:

• Incidentes de segurança (mudança de comportamento pós-incidente)
• Grandes mudanças de infraestrutura (migrações cloud, novas implantações SaaS)
• Mudanças sazonais de padrão de uso (fim de trimestre, períodos de férias)

Metas de Anomalia de Alto Valor

Priorização de Sinal MITRE ATT&CK

Cada hipótese de hunting mapeia para uma ou mais técnicas ATT&CK. Técnicas com múltiplos sinais confirmados no seu ambiente têm prioridade mais alta.

Matriz de Cobertura de Tática

| Tática | Técnicas Principais | Fonte de Dados Primária | |--------|---------------|--------------------|-| | Acesso Inicial | T1190, T1566, T1078 | Logs de acesso web, gateway de email, logs de auth | | Execução | T1059, T1047, T1218 | Criação de processo, linha de comando, execução de script | | Persistência | T1053, T1543, T1098 | Tarefas agendadas, serviços, mudanças de conta | | Evasão de Defesa | T1027, T1562, T1070 | Process hollowing, limpeza de log, codificação | | Acesso a Credenciais | T1003, T1558, T1110 | LSASS, Kerberos, falhas de auth | | Movimento Lateral | T1550, T1021, T1534 | Auth NTLM, serviços remotos, spearphish interno | | Coleta | T1074, T1560, T1114 | Diretórios de staging, criação de arquivo, acesso a email | | Exfiltração | T1048, T1041, T1567 | Volume de saída incomum, DNS tunneling, armazenamento cloud | | Comando e Controle | T1071, T1572, T1568 | Beaconing, protocol tunneling, DNS C2 |

Integração de Decepção e Honeypot

Ativos de decepção geram alertas de alta fidelidade — qualquer interação com um honeypot é um sinal inequívoco que requer investigação.

Tipos de Ativos de Decepção e Posicionamento

Alertas de honeypot contornam o pipeline de pontuação padrão — qualquer hit é automaticamente SEV2 até prova em contrário.

Workflows

Workflow 1: Hunt Rápido (30 Minutos)

Para responder a um novo relatório de inteligência de ameaças ou alerta de CVE:

# 1. Pontuar hipótese contra contexto do ambiente
python3 scripts/threat_signal_analyzer.py --mode hunt \
  --hypothesis "Exploitation of CVE-YYYY-NNNNN in Apache" \
  --actor-relevance 2 --control-gap 3 --data-availability 2 --json

# 2. Construir lista de varredura de IOC a partir de threat intel
echo '{"ips": ["1.2.3.4"], "domains": ["malicious.tld"], "hashes": []}' > iocs.json
python3 scripts/threat_signal_analyzer.py --mode ioc --ioc-file iocs.json --json

# 3. Verificar anomalias na telemetria de servidor web das últimas 24h
python3 scripts/threat_signal_analyzer.py --mode anomaly \
  --events-file web_events_24h.json --baseline-mean 80 --baseline-std 20 --json

Decisão: Se prioridade de hunt ≥ 7 ou qualquer hit de varredura IOC, escalar para hunt completo.

Workflow 2: Hunt Completo de Ameaças (Vários Dias)

Dia 1 — Geração de Hipóteses:

1. Revisar feeds de inteligência de ameaças para TTPs relevantes ao setor
2. Mapear últimos 30 dias de alertas de segurança para táticas ATT&CK para identificar lacunas
3. Pontuar as 5 principais hipóteses com o modo hunt do threat_signal_analyzer.py
4. Priorizar por score — começar pelo mais alto

Dia 2 — Coleta de Dados e Execução de Queries:

1. Puxar telemetria relevante do SIEM (intervalo de datas: últimos 14 dias)
2. Executar detecção de anomalias nas baselines de entidade
3. Executar varreduras de IOC para todos os feeds frescos dentro de 30 dias
4. Revisar playbooks de hunt em references/hunt-playbooks.md

Dia 3 — Triagem e Relatórios:

1. Triar todos os achados de anomalia — confirmar ou descartar
2. Escalar atividade confirmada para incident-response
3. Documentar novas regras de detecção a partir dos achados do hunt
4. Enviar IOCs falso-positivos de volta ao provedor de TI

Workflow 3: Monitoramento Contínuo (Automatizado)

Configure detecção de anomalias recorrente contra baselines de entidades-chave em cadência de 6 horas:

# Executar como cron job a cada 6 horas — auto-escalar no código de saída 2
python3 scripts/threat_signal_analyzer.py --mode anomaly \
  --events-file /var/log/telemetry/events_6h.json \
  --baseline-mean "${BASELINE_MEAN}" \
  --baseline-std "${BASELINE_STD}" \
  --json > /var/log/threat-detection/$(date +%Y%m%d_%H%M%S).json

# Alertar no código de saída 2 (anomalia forte)
if [ $? -eq 2 ]; then
  send_alert "Anomalia forte detectada — threat_signal_analyzer"
fi

Anti-Padrões

1. Caçar sem hipótese — Executar queries amplas em toda a telemetria sem uma questão focada gera ruído, não sinal. Todo hunt deve começar com uma hipótese testável escopada para uma ou duas técnicas ATT&CK.
2. Usar IOCs obsoletos — IOCs com mais de 30 dias geram falsos positivos que treinam analistas a ignorar alertas. Sempre verifique a atualidade dos IOCs antes de varrer; exclua indicadores obsoletos de varreduras automatizadas.
3. Pular estabelecimento de baseline — Detecção de anomalias sem uma baseline válida produz alertas em dias normais de alto volume. Exija 14+ dias de dados de baseline antes de habilitar alertas estatísticos em qualquer tipo de entidade.
4. Caçar apenas técnicas conhecidas — Caçar exclusivamente contra técnicas ATT&CK documentadas perde comportamento adversário novo. Inclua regularmente análise de anomalias em aberto que pode identificar TTPs desconhecidas.
5. Não fechar o loop de feedback para engenharia de detecção — Achados de hunt que confirmam atividade maliciosa devem produzir novas regras de detecção. Hunting que não melhora a cobertura de detecção não tem valor duradouro.
6. Tratar toda anomalia como ameaça confirmada — Scores z altos indicam desvio da baseline, não malícia confirmada. Todas as anomalias requerem triagem humana para confirmar ou descartar antes da escalação.
7. Ignorar alertas de honeypot — Qualquer interação com um ativo de decepção é um sinal de alta fidelidade. Tratar alertas de honeypot como ruído invalida todo o investimento em decepção.

Cross-Referências