Mentalidade de Caça a Ameaças

A busca por ameaças é a procura proativa por invasores que escaparam das defesas automatizadas. Em vez de esperar um alerta, o analista vai atrás deles.

O analista parte do princípio de que uma invasão pode já existir e se empenha em comprová-la ou refutá-la.

A segurança tradicional é reativa: as ferramentas geram alertas e os analistas respondem. A busca é proativa: as pessoas procuram ameaças que nenhum alerta detectou.

• Reativa: o alerta chega e então você investiga.
• Proativa: você investiga e talvez encontre uma ameaça.

A mudança central de mentalidade é presumir que houve uma invasão. Em vez de perguntar "estamos seguros?", quem faz a busca pergunta "onde o invasor está escondido agora?".

Essa mentalidade leva você a investigar onde as defesas são mais fracas.

A detecção automatizada identifica padrões conhecidos. Invasores habilidosos usam técnicas novas, ferramentas nativas do sistema e ações lentas e discretas que nenhuma assinatura sinaliza.

Os analistas encontram aquilo que as máquinas nunca foram instruídas a procurar.

Quem busca ameaças procura indicadores de comprometimento (ICs): artefatos que sugerem uma invasão.

• Conexões de saída incomuns.
• Novas tarefas agendadas ou serviços.
• Cadeias suspeitas de processos pai e filho.
• Criação inesperada de contas.

Indicadores de comprometimento (um resumo criptográfico malicioso ou um IP conhecido como malicioso) são fáceis de contornar quando são alterados. Comportamentos (táticas, técnicas e procedimentos) são mais difíceis de modificar para um atacante.

Uma caça madura concentra-se no comportamento, não apenas em indicadores que podem ser substituídos.

A pirâmide da dor classifica os indicadores pelo quanto a detecção deles prejudica um atacante.

Valores de hash são triviais de alterar; táticas, técnicas e procedimentos são dolorosos para o atacante. Mire o topo da pirâmide.

Bons caçadores são curiosos e céticos. Eles perguntam por que um processo se comporta de modo estranho e se recusam a aceitar que 'provavelmente não é nada' sem verificar.

Esse questionamento persistente é o que revela intrusões furtivas.

Você não pode caçar aquilo que não entende. Primeiro, mapeie seus ativos, os processos normais e os fluxos de rede esperados.

Uma referência do que é normal permite notar imediatamente o que é anormal, assim como na análise de tráfego.

A caça é iterativa: formule uma ideia, colete dados, analise-os e incorpore o que aprendeu às detecções.

Até mesmo uma caça que não encontra nada melhora sua visibilidade e cria novas regras automatizadas.

Uma caça bem-sucedida não exige encontrar um atacante. Resultados válidos incluem uma intrusão confirmada, uma nova regra de detecção ou uma visibilidade melhor de um ponto cego.

Uma caça sem descobertas ainda agrega valor.

Você aprendeu a mentalidade de caça a ameaças.

• A caça é proativa; ela parte do princípio de que houve uma invasão e sai em busca de sinais.
• A automação não detecta técnicas novas e furtivas.
• Concentre-se em comportamentos e em táticas, técnicas e procedimentos, não apenas em indicadores de comprometimento substituíveis.
• A pirâmide da dor: mire o topo para prejudicar o atacante.
• Conheça seu ambiente; até mesmo uma caça sem descobertas agrega valor.

A seguir, você aprenderá a realizar caças orientadas por hipóteses.