Uso de Registros e Telemetria

Uma caça só é tão boa quanto os dados que a sustentam. Os registros e a telemetria formam o rastro de evidências deixado pelos atacantes nos sistemas.

Esta lição aborda as principais fontes de dados e como realizar caças nelas.

Os dados dos dispositivos são a fonte mais rica. Ferramentas como EDR e Sysmon registram a criação de processos, as linhas de comando, as gravações de arquivos e as alterações no registro.

A maioria dos ataques modernos toca um dispositivo, por isso muitas caças começam aqui.

Os dados de rede mostram a quais máquinas os dispositivos se conectam. Registros de firewalls, proxies, DNS e Zeek revelam sinalização periódica, exfiltração e movimentação lateral.

Eles complementam os dados dos dispositivos ao mostrar o lado da comunicação.

Os registros de autenticação revelam como as contas são usadas. Procure autenticações em horários incomuns, de novos locais ou padrões de falha seguida de sucesso.

Os identificadores de eventos do Windows e os registros de diretório são fundamentais aqui.

Os ambientes modernos geram registros da nuvem: atividade de interfaces de programação de aplicações, autenticações de identidade e alterações de configuração.

Procure novas chaves de acesso, registro desativado ou chamadas administrativas incomuns às interfaces de programação de aplicações.

Um SIEM coleta registros de todos os lugares em um único local pesquisável. Fazer caças entre fontes só é viável quando os dados estão centralizados.

Splunk, Elastic e Sentinel são plataformas comuns.

Fontes diferentes dão nomes diferentes aos campos. A normalização os mapeia para um esquema comum, para que uma única consulta possa abranger muitas fontes.

Sem ela, você precisa escrever uma nova consulta para cada formato de registro.

O verdadeiro poder está na correlação: associe um processo em um dispositivo a uma conexão de rede e a um evento de autenticação da mesma máquina e no mesmo horário.

Uma fonte levanta suspeitas; três fontes juntas constroem um caso.

Saiba o que você não está registrando. Os atacantes prosperam em pontos cegos: máquinas sem registros, auditoria de linhas de comando desativada ou retenção curta de registros.

Identificar lacunas é, por si só, um resultado valioso de uma caça.

Os registros são enormes e o armazenamento é finito. Equilibre a retenção com o custo para que, quando você realizar uma caça, os dados ainda existam.

Um ataque descoberto hoje pode ter começado há meses; uma retenção curta o oculta.

Quando uma caça nos registros encontra uma técnica, codifique-a como uma regra de detecção para que o SIEM a identifique automaticamente na próxima vez.

É assim que a caça manual fortalece continuamente a defesa automatizada.

Teste sua compreensão dos registros e da telemetria.

Você aprendeu a realizar caças em registros e telemetria.

• Os dados dos dispositivos (processo, linha de comando) são a fonte mais rica.
• Os registros de rede, autenticação e nuvem acrescentam contexto.
• Um SIEM centraliza os dados; a normalização permite consultas entre fontes.
• Correlacione as fontes para construir pistas sólidas.
• Preste atenção às lacunas de registro e à retenção; transforme descobertas em detecções.

A seguir, você mapeará suas descobertas para o MITRE ATT&CK.