Threat Hunting Tenha um SOC em constante evolução e dimensione seu negócio

A caça a ameaças funciona a partir da premissa de que um invasor já está no ambiente. Normalmente, começa com uma hipótese de quais ameaças podem estar no ambiente, prossegue com uma investigação das possíveis ameaças e, caso a investigação confirme a hipótese, o processo é finalizado com a efetiva resposta e remediação das alterações ou danos causados.

É necessário ter conhecimento técnico daquilo que é considerado normal no ambiente para detectar comportamentos anormais e pontos fora da curva, como:

• Táticas, técnicas e procedimentos (TTPs) usados por invasores.
• Os pontos possivelmente mais vulneráveis em seu ambiente.
• Fluxos confiáveis de informações para indicadores recentes e comuns de comprometimento.

Confira estas seis dicas rápidas para começar a aplicar a caça a ameaças.

Os pré-requisitos da caça a ameaças são a visibilidade entre terminais, a inteligência de ameaças e habilidades de segurança. Enquanto este exige conhecimento e experiência, os dois primeiros podem ser adquiridos com ferramentas automatizadas.

Os caçadores de ameaças atuais usam ferramentas como Endpoint Detection and Response (EDR), Extended Detection and Response (XDR), gerenciamento de eventos e informações de segurança (SIEM), sistemas de detecção/prevenção de intrusões (IDS/IPS) e/ou ferramentas personalizadas que usam scripts, PowerShell etc., bem como análise de segurança com uso de inteligência artificial (IA) e aprendizado de máquina (ML).

Esses tipos de ferramentas de caça a ameaças podem ajudar a:

• estabelecer visibilidade ao capturar e centralizar dados de telemetria de terminais (por exemplo, uma ampla variedade de atividades e comportamentos abrangendo vários sistemas operacionais, incluindo padrões de tráfego de rede, atividades da rede, atividades de usuário, hashes de arquivos, operações de arquivos, logs de eventos e do sistema, conexões negadas, atividades de dispositivos periféricos e mais)
• correlacionar dados e diferentes eventos para entender o contexto da possível ameaça
• monitorar, analisar e alertar sobre eventos de segurança em tempo real
• rastrear ataques do início ao final e responder de modo adequado.

Os caçadores de ameaças também utilizam inteligência de ameaças de feeds de código aberto, fornecedores especializados de inteligência de ameaças ou feeds de seus próprios fornecedores de segurança para ter uma ideia de qual ameaça eles podem caçar ou para validar hipóteses.

A caça a ameaças complementa essas ferramentas com pesquisas em todo o ambiente em busca de indicadores de comprometimento (IOC) e comportamento e táticas utilizados pelos invasores.

O MITRE ATT&CK® é uma base de dados de conhecimento global e aberta para profissionais de segurança do setor privado, do governo e da comunidade de produtos e serviços de segurança cibernética. A estrutura ATT&CK, abreviação de “Adversarial Tactics, Techniques, and Common Knowledge”, serve como uma linguagem comum que descreve o comportamento do adversário dividido por táticas e técnicas baseadas em observações do mundo real.

A matriz MITRE ATT&CK de TTPs tornou-se uma fonte importante de informações e orientações para caçadores de ameaças, pois oferece insights sobre comportamentos e motivações típicos de invasores, as táticas e técnicas que compõem um ataque, a natureza da ameaça e a melhor forma de responder a ela de maneira eficaz.

O N‑able EDR com Threat Hunting, desenvolvido pelo SentinelOne®, mapeia os ataques para a estrutura MITRE ATT&CK, fornecendo aos analistas o contexto de ataque e os indicadores imediatos. Os analistas podem pesquisar táticas e técnicas do MITRE ATT&CK, bem como outros indicadores de comprometimento, para identificar comportamentos maliciosos ou suspeitos em terminais dentro de uma rede antes que os invasores possam executar um ataque ou cumprir seus objetivos.

A caça a ameaças proativa ajuda a obter tempos de resposta a incidentes mais rápidos, reduzir a carga de trabalho para equipes de segurança e reforçar as operações de segurança com maior visibilidade em relação às ameaças emergentes. Se você o responsável por uma SOC interna ou oferece suporte à segurança cibernética de terceiros, a caça a ameaças é um recurso importante para aprimorar seu arsenal de ferramentas de segurança. 

Caso a sua organização opere uma SOC, a caça a ameaças pode aprimorar a detecção e resposta. De forma semelhante, se você dá suporte a cliente oferecendo serviços de segurança, ela pode valorizar suas ofertas e auxiliar na proteção contra ameaças avançadas. 

Soluções como o N‑able EDR com Threat Hunting proporcionam os recursos necessários para desenvolver ou aprimorar o programa de caça a ameaças, seja você membro de uma equipe de TI interna ou um MSSP.