Unidade 3 / 11

Caça a ameaças: estabelecendo hipóteses e buscando sinais com inteligência artificial

Ganhos:

  • Entenda como a caça às ameaças começa com uma hipótese testável, não com um alarme, e como a inteligência artificial ajuda na geração de hipóteses e na elaboração de consultas.
  • Capacidade de aplicar que o sinal contrário/raro destacado pela inteligência artificial não significa automaticamente intenção maliciosa, e que a hipótese deve ser confirmada com evidências brutas.
  • Capacidade de verificar os números técnicos MITRE ATT&CK e IDs de eventos fornecidos pela inteligência artificial com a fonte oficial e eliminar detalhes técnicos fabricados

O monitoramento de segurança clássico funciona com a lógica de “esperar o alarme, ver quando ele chega”. Mas os invasores mais perigosos tentam não disparar alarmes: eles usam ferramentas legítimas (isso é chamado de “exploração” — ou seja, abusam de ferramentas que já existem no sistema, como PowerShell, WMI), movem-se lentamente e interferem no tráfego normal. É por isso que nasceu a caça às ameaças: sem esperar por um alarme, “se houvesse um invasor não detectado na minha organização, onde ele estaria?” Pesquisa proativa de rastros com a pergunta: a caça a ameaças começa com uma hipótese, não com um alarme.

A inteligência artificial é muito útil em dois locais na caça a ameaças. A primeira é a geração de hipóteses: forneça uma técnica de ataque e pergunte "Se essa técnica fosse usada na minha instituição, em quais logs e em que padrão ela deixaria rastros?" você pode perguntar. A segunda é a extração de sinal: pode destacar o que é raro, atípico e “diferente do normal” no big data. Mas a IA não sabe o que é normal para a sua organização e pode cair na armadilha de pensar que uma hipótese está “comprovada”. Na caça a ameaças, a IA é uma parceira e scanner mental; O caçador (analista) decide se a presa encontra uma ameaça real e se isso será relatado.

Etapas da caça às ameaças

  1. Hipotese. Uma frase concreta e testável: “Um invasor pode estar verificando a rede interna fora do horário comercial com uma conta comprometida”. Você pode usar IA para brainstorming aqui.
  2. Identifique a fonte de dados. Qual log prova/refuta a hipótese? (Por exemplo, logs de firewall e DNS para verificação de rede, logs de identidade para escalonamento de privilégios.)
  3. Projete a consulta. A consulta que procurará o padrão de destino (linguagem de consulta SIEM, KQL, semelhante a SQL). IA ajuda na elaboração de consultas; mas você revisa a consulta e a executa.
  4. Extraia o resultado. Filtre o sinal real de centenas de linhas de saída. Aqui a IA faz agrupamento e resumo.
  5. Confirme ou refute. Confirme com evidências brutas e contexto se o rastreamento encontrado é realmente malicioso ou inocente.
  6. Documente o resultado e transforme-o em uma determinação. Converta o padrão real encontrado em uma regra de detecção permanente; Se a hipótese falhar, registe-a também (um resultado negativo também é informação).

Termos: TTP (Táticas, Técnicas, Procedimentos — padrão comportamental do atacante). MITRE ATT&CK é uma biblioteca enumerada e documentada de técnicas de invasores (por exemplo, T1078 “Contas válidas”); Ele fornece uma linguagem comum na caça a ameaças. IOC (Indicador de Infração – IP, hash, domínio inválidos). O ruído branco (lista de permissões/em bom estado) é um comportamento normal conhecido por sacrificar presas.

Tabela de abordagens de caça a ameaças

Abordagem

ponto de partida

Contribuição da IA

Atenção

Caça baseada em hipóteses

“Se existisse tal agressor...”

Geração de hipóteses, descrição do padrão

Hipótese não é evidência

Caça baseada no COI

Indicador ruim conhecido

Correspondendo IOCs a registros

COI antigo/incorreto engana

Caça baseada em TTP/ATT&CK

Uma técnica (número T)

Convertendo a técnica em padrão de log

Técnica ≠ padrão único

Caça baseada em anomalias

Desvio estatístico

Destaque o outlier

Contrário ≠ má-fé

Análise de frequência de pilha

"Qual é o mais raro?"

Encontrando o evento raro

Raro ≠ perigoso

três mini cases

Caso 1 — Encontrando o raro. Um caçador pode perguntar: "Qual processo na rede interna é executado no menor número de computadores, mas estabelece o maior número de conexões de rede?" estabelece sua hipótese. A IA destaca um padrão a partir dos dados anonimizados de conexão do processo: um processo chamado svchost32.exe, visto em apenas 2 máquinas, está se conectando a 340 endereços externos diferentes. O caçador examina isso; Ele encontra um malware que imita o svchost.exe legítimo. A IA filtrou o raro; O caçador fez o diagnóstico e a intervenção.

Caso 2 — A caça fracassada (mas valiosa). Um caçador perguntou "poderia haver download em massa de dados fora do horário comercial?" estabelece sua hipótese; AI escreve o rascunho de consulta relevante. Resultado: 3 usuários fizeram download à noite, mas todos os três são funcionários de escritório no exterior e trabalham em horário comercial devido a diferenças de fuso horário. A hipótese é refutada. O caçador documenta isso como um “resultado negativo” e aponta esses 3 usuários como exceções para caçadas futuras. Até a caçada mal sucedida nos permitiu conhecer melhor a instituição.

Caso 3 — Armadilha técnica inventada. Um caçador pergunta à IA “Como procuro a técnica T1055 na minha organização?” diz. A IA escreve uma consulta e afirmação convincente de que “T1055 gera o seguinte ID de evento”; mas o ID do evento que ele forneceu está errado e o modelo constituiu uma subtécnica ATT&CK. Avcı abre o registro MITRE ATT&CK, confirma a descrição técnica e as fontes reais de log e corrige o ID de evento incorreto. Lição: Verifique todos os detalhes técnicos fornecidos pela IA (ID do evento, número T, campo de log) com a fonte oficial.

Alerta fraco / Alerta forte

Alerta fraco:

Descubra se há um invasor na minha rede.

Esta afirmação é livre de hipóteses, de dados, ilimitada e inverificável. A IA produz uma lista geral ou inventada; não adianta.

Alerta poderoso:

Seu papel: assistente que dá ideias e esboços ao caçador de ameaças. Não decida, não diga “há uma ameaça”. Minha hipótese: "Uma conta comprometida pode estar verificando portas internas fora do horário comercial." Gere o seguinte: (1) liste as fontes de log que irão provar e DISFUSAR esta hipótese, (2) descreva o padrão concreto a ser pesquisado (quais campos, quais limites), (3) escreva um rascunho de uma consulta de exemplo e comente cada linha, (4) escreva quais explicações inocentes serão eliminadas no resultado resultante. Sugira a técnica MITRE ATT&CK relevante, mas marque o número T e o ID do evento como "[deve ser verificado pelo MITRE]", não invente.

A afirmação forte começa com uma hipótese concreta, estabelece o equilíbrio entre evidência/refutação, explica a questão e deixa os detalhes técnicos para verificação.

Modelos de prompt copiáveis

MODELO DE GERAÇÃO DE HIPÓTESEPara minha instituição [entidade: por ex. Gere hipóteses testáveis ​​de caça a ameaças no contexto de [Active Directory/nuvem/endpoint]5. Para cada hipótese: (1) qual comportamento do invasor ele visa, (2) qual fonte de log fornecerá evidência/refutação, (3) o padrão esperado. Faça frases testáveis, não gerais.

PADRÃO DE TÉCNICA PADRÃO Procurarei a seguinte técnica de ataque em minha instituição [nome da técnica]. Gerar: (1) áreas de registro onde a técnica normalmente deixa sua marca, (2) padrões concretos e limites a serem procurados, (3) situações inocentes (falso positivo) que poderiam desencadear esse padrão. Oferecer número T MITRE ATT&CK relevante, mas com sinalizador "[Deve ser verificado no MITRE]"; não forneça ID/número de evento fabricado.

MODELO DE ESBOÇO DE CONSULTA Escreva um rascunho de consulta [SIEM/KQL/SQL] que procure o seguinte padrão: [descrição do padrão]. Comente cada linha, explique qual campo você está filtrando e por quê, e marque os riscos de desempenho. Vou revisar a consulta e executá-la; não presuma que você irá executá-lo. Deixe os nomes dos campos marcados como "[correto para o esquema]" de acordo com o esquema que conheço.

MODELO DE ELIMINAÇÃO DE RESULTADOO resultado da minha busca rendeu as seguintes linhas (anônimo): [paste]. Agrupe-os e, para cada grupo, escreva (1) um cenário malicioso, (2) pelo menos 2 explicações inocentes e (3) evidências adicionais a serem procuradas para diferenciar. Tomando uma decisão; Não me deixe separar você. Marque "[sem base]" para uma afirmação que não possui evidências.

Erros comuns

  • Caça sem hipóteses. Dizer “encontre algo” leva a IA a adivinhar e inventar; A caçada começa com uma frase concreta e testável.
  • Confundir uma hipótese com evidência. A caça testa uma possibilidade; O rastro encontrado não é uma “ameaça” até que seja confirmado por evidências brutas.
  • Considerando automaticamente o contrário como ruim. O raro/atípico é muitas vezes inocente (manutenção, novo software, trabalho único); Peneire o contexto.
  • Não verificando detalhes técnicos. A IA pode combinar o ID do evento, o número T e o campo de registro; Confirme com MITRE ATT&CK e documentação do produto.
  • Jogando fora a captura desperdiçada. O resultado negativo também é o conhecimento: conhece melhor a organização, reduzindo futuros falsos positivos; documento.
Dica: Uma boa hipótese de caça a ameaças deve ser “testável”: uma afirmação concreta que pode ser verdadeira ou falsa. "Há algo ruim na minha rede?" não pode ser testado; “A conta X conectou-se a mais de 50 IPs internos fora do horário comercial?” pode ser testado.
Atenção: A caça a ameaças só é feita em sistemas que você está autorizado a fazer. Pedir à IA para “sondar” outra organização, pessoa ou rede para a qual você não tem permissão é uma tentativa de obter acesso não autorizado e está fora deste módulo.

Resumindo

A caça a ameaças busca proativamente vestígios de um invasor oculto, sem esperar por um alarme, e começa com uma hipótese, não com um alarme. A IA oferece duas contribuições poderosas nesse processo: gerar hipóteses testáveis ​​e rascunhos de consulta e filtrar sinais raros/atípicos de big data. Mas a IA não sabe o que é normal para a sua organização, ela pode inventar detalhes técnicos e cair na armadilha de confundir uma hipótese com uma evidência. Assim a caça tem seis etapas (hipótese, dados, consulta, extração, verificação, documentação) e em cada etapa a decisão cabe ao caçador. Contrário ≠ ruim, hipótese ≠ evidência, detalhe técnico fornecido pela IA ≠ correto; tudo confirmado por evidências brutas e MITRE ATT&CK.

Tarefa de aplicativo

Obtenha 5 hipóteses de caça a ameaças da IA com o modelo “Geração de hipóteses” para sua própria organização (ou um ambiente de amostra). Escolha o mais testável, elabore uma consulta com os modelos “Técnica de padrão” e “Rascunho de consulta”, valide cada linha da consulta e cada número T sugerido no MITRE ATT&CK. Anote o resultado (a hipótese foi confirmada, refutada, o que você aprendeu) em uma breve nota de busca.

lista de verificação

  • [] Comecei minha busca com uma hipótese concreta e testável.
  • [] Identifiquei fontes de log que irão provar e refutar a hipótese.
  • [] Revisei cada linha do rascunho da consulta e adaptei-o ao meu próprio esquema.
  • [] Verifiquei a técnica MITRE ATT&CK proposta e os IDs de evento com a fonte oficial.
  • [ ] Confirmei cada sinal com evidências brutas e contexto; Não considerei automaticamente o contrário como ruim.
  • [ ] Também documentei a hipótese que falhou (o resultado negativo é informação).
  • [] Eu só cacei em sistemas que estava autorizado a caçar.