Detecção e análise: identificação de incidentes reais

A fase de detecção e análise começa quando um possível incidente de segurança é identificado pela primeira vez e termina quando o Scope e o impacto são compreendidos o suficiente para iniciar a contenção. O principal desafio dessa fase é distinguir verdadeiros positivos de falsos positivos — um alerta gerado por atividade maliciosa de um alerta acionado por um comportamento normal, porém incomum. Uma detecção eficaz exige ferramentas configuradas corretamente, analistas treinados e linhas de base documentadas da atividade normal.

Os incidentes são detectados por vários canais: alertas de SIEM gerados por regras de correlação, detecções de EDR provenientes da análise comportamental nos endpoints, relatos de User (a detecção inicial mais comum de Phishing), notificação de terceiros (autoridades policiais, fornecedores de inteligência sobre ameaças e serviços de notificação de violações), verificação automatizada (scanners de vulnerabilidades ou CSPM que identificam anomalias) e caça a ameaças (investigação proativa). Cada fonte tem um nível de confiabilidade diferente e fornece tipos distintos de Evidence.

Uma detecção eficaz exige a coleta de registros de fontes diversas. Os principais tipos de registros incluem: registros de autenticação (Windows Security Event Log, /var/log/auth.log) para Logons Failed ou Successful, registros de rede (firewall, VPC Flow Logs, proxy) para conexões incomuns, registros de DNS para consultas a domínios maliciosos conhecidos, registros de endpoints (EDR, Sysmon) para criação de processos e atividade de arquivos e registros de auditoria da Cloud (CloudTrail, Azure Monitor) para chamadas de API. Um SIEM agrega e correlaciona essas fontes distintas.

Os analistas do SOC fazem a triagem de centenas ou milhares de alertas diariamente, a maioria dos quais são falsos positivos — atividades legítimas que acionaram uma regra de detecção. Um falso positivo desperdiça o tempo do analista e causa fadiga de alertas, levando ameaças reais a serem descartadas. Um verdadeiro positivo representa uma atividade maliciosa real. Um falso negativo é o resultado mais perigoso — uma atividade maliciosa que não gerou nenhum alerta. Ajustar as regras de detecção para reduzir falsos positivos sem aumentar falsos negativos é uma competência essencial de SOC.

As regras de correlação do SIEM combinam vários eventos de registro individuais para identificar padrões que indicam ataques. Exemplo: um Logon Failed é normal; 100 Logons Failed do mesmo IP em 60 segundos indicam força bruta. Outro exemplo: um User autenticando-se nos US às 9h e depois na China às 11h está realizando uma viagem impossível — provavelmente a conta foi comprometida. Regras de correlação eficazes equilibram sensibilidade (capturar ataques reais) com especificidade (não sobrecarregar os analistas com ruído).

Durante a análise, os responsáveis pela Response coletam Indicators of Compromise (IoCs) que caracterizam o ataque: endereços IP suspeitos, nomes de domínios maliciosos, hashes de arquivos de malware, chaves do registro modificadas pelo invasor, nomes de processos incomuns ou relações entre processos pai e filho e conexões de rede anômalas. Os IoCs são usados para: determinar o Scope (esse IoC está presente em outros sistemas?), enriquecer a inteligência sobre ameaças, bloquear novos acessos do invasor e desenvolver regras de SIEM para detectar atividades semelhantes no futuro.

A análise do Scope responde: What sistemas foram afetados? What dados foram acessados ou exfiltrados? Como o invasor entrou e quando? Os responsáveis pela Response usam a análise de registros para reconstruir a linha do tempo do ataque, identificar o vetor de acesso inicial, listar todos os sistemas tocados pelo invasor (movimentação lateral) e determinar se houve exfiltração de dados (picos de transferência de saída e diretórios de preparação de dados). A avaliação do Scope orienta as decisões de contenção — não é possível conter aquilo que não foi mapeado.

As plataformas EDR (Endpoint Detection and Response) são a principal ferramenta técnica para a análise de incidentes no nível dos endpoints. A telemetria do EDR fornece: árvores de execução de processos (o que iniciou o quê), atividade do sistema de arquivos, conexões de rede por processo, modificações no registro e detecção de injeção na memória. Durante um incidente, o EDR permite que os analistas pesquisem simultaneamente em todos os endpoints por um IoC (caça em toda a empresa), isolem um endpoint comprometido da rede e obtenham artefatos Forensic sem tocar fisicamente no sistema.

As Evidence de rede frequentemente são a fonte mais confiável durante a análise de incidentes. NetFlow e VPC Flow Logs revelam conexões entre sistemas sem mostrar o conteúdo da carga útil — algo útil para mapear a movimentação lateral. A captura completa de pacotes (PCAP) mostra o conteúdo completo da comunicação, incluindo credentials, dados exfiltrados e comandos C2 (se o tráfego não estiver criptografado). Os registros de consultas DNS revelam sinais de malware comunicando-se periodicamente com domínios C2. Os responsáveis pela Response procuram: grandes transferências de dados de saída, conexões em portas incomuns, padrões de comunicação periódica (conexões regulares a cada N segundos) e comportamento de varredura interna.

Reconstruir a linha do tempo do ataque é essencial para entender o tempo de permanência (por quanto tempo o invasor esteve presente antes da detecção), identificar o vetor de acesso inicial (para corrigir a vulnerabilidade) e preservar as Evidence em ordem cronológica para processos judiciais. As linhas do tempo são construídas correlacionando carimbos de data e hora de várias fontes de registros. A sincronização de horário (usando NTP) é crítica — registros com relógios incorretos nos sistemas criam lacunas e contradições nas linhas do tempo que comprometem as conclusões Forensic.

Nem todo alerta exige a ativação completa do CSIRT. Os analistas usam critérios documentados para determinar os gatilhos de escalonamento: a descoberta de uma violação de dados confirmada aciona notificações regulatórias obrigatórias e o escalonamento para a diretoria. A descoberta de malware que se espalhou para além de um sistema aciona o envolvimento completo do CSIRT. Um único e-mail de phishing (sem clique) permanece no nível do analista de nível 1. Limiares de escalonamento bem definidos evitam tanto reações exageradas (desperdício de recursos em eventos menores) quanto reações insuficientes (grandes violações se agravando enquanto são tratadas como alertas menores).

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: a Detection depende de diversas fontes de registros agregadas por um SIEM, com regras de correlação que identificam padrões de ataque compostos por vários eventos, os IoCs coletados durante a análise são usados para delimitar o incidente em todos os sistemas e desenvolver regras de bloqueio e os falsos negativos são o resultado mais perigoso, pois permitem que os invasores operem sem serem detectados. A seguir, exploraremos Containment, Eradication e Recovery.