Caça a Ameaças & Engenharia de Detecção
AÇÃO REQUERIDA (leia e execute imediatamente)
NOW: Confirme a autorização de blue-team/caça e o escopo das fontes de dados (SIEM, exportações do EDR)NOW: Defina uma hipótese antes de consultar dados, evitando disparos cegos de alertasNEXT: Ferramentas e método de acesso aos dadosACT: Hipótese → Consulta → Validação → Criação de regras
Cenários de Uso
- Caça a ameaças (orientada por hipótese)
- Engenharia de detecção com Sigma / YARA
- Ajuste de alertas e análise de falsos positivos
- Com
malware-analysis/: IOC de amostras → implementação de detecção nesta skill - Com
digital-forensics/: artefatos de incidentes → caça lateral
Fluxo de Trabalho
1. Definir Hipótese
Exemplo: Atacante usando living-off-the-land para movimento lateral
→ Fonte de dados: Sysmon 1/3/10, Windows Security 4624/4648
→ Critério de sucesso: Identificar processo pai anômalo ou fonte de log de conta rara
2. Consulta e Empilhamento
□ Linha de base: Períodos e hosts de atividade normal de administradores
□ Anomalia: Novo serviço, PowerShell codificado, saída incomum
□ Correlação: Múltiplos hosts com login da mesma conta em curto período
3. Criação de Regras
# Esqueleto Sigma em malware-analysis; esta skill enfatiza:
# - Superfície de falsos positivos
# - Mapeamento de campos de fonte de dados
# - Link para playbook de resposta
4. Validação
□ Testes atômicos (Atomic Red Team) apenas em laboratório autorizado
□ Replay de logs históricos para validar recall
Cadeia de Ferramentas
| Ferramenta | Uso |
|---|---|
| Sigma CLI / sigmac | Conversão de regras |
| YARA | Arquivos/memória |
| SIEM (ELK/Splunk etc.) | Consultas |
| osquery | Caça em endpoints |
| Atomic Red Team | Validação de detecção (laboratório) |
Referências
references/hunting-loop.md../malware-analysis/references/yara-sigma-rules.md../digital-forensics/
Contexto de Roteamento
Upstream: MASTER R27
Downstream: Confirmar invasão → forensics; amostras maliciosas → malware-analysis
MUST NOT: Executar simulações de ataque em ambiente de produção sem autorização
Autoavaliação de Conclusão
- Hipótese e conclusão claras?
- Regras incluem falsos positivos e fonte de dados?
- Checklist presente?