Microaula em Método CELULA • Prévia Aberta

Esperar passivamente que o antivírus ou SIEM apite não basta. Threat Hunting é a busca proativa e orientada por hipóteses por ameaças que conseguiram contornar os sistemas tradicionais de alerta. Com ferramentas como osquery, regras Sigma e assinaturas YARA, o analista busca o intruso em sua própria casa.

1. Threat Hunting Orientado por Hipóteses e MITRE ATT&CK

Metodologias e ferramentas de caça ativa a ameaças:

• MITRE ATT&CK para Linux: Mapeamento estruturado de Táticas, Técnicas e Procedimentos (TTPs) utilizadas por grupos adversários avançados (APTs);
• Formulação de Hipóteses de Caça: Exemplo: 'Atacantes podem estar abusando do cron ou serviços systemd para persistência não autorizada';
• Consultas com osquery: O sistema operacional tratado como um banco de dados relacional SQL (SELECT * FROM crontab; ou SELECT * FROM processes WHERE on_disk = 0;);
• Regras Sigma Universais: Criação de assinaturas em YAML que podem ser convertidas automaticamente para regras do auditd, Wazuh ou Splunk;
• Assinaturas YARA: Escrita de regras baseadas em padrões de strings, expressões regulares e bytes para identificar binários suspeitos e webshells em di...