A primeira coisa a registrar em um servidor Linux é a autenticação: quem entrou, de onde, quando e com qual método. Quase toda intrusão passa por uma credencial antes de […]
Arquivos
Timesketch na prática: linha do tempo de um incidente
O Timesketch monta a linha do tempo de um incidente a partir dos artefatos que o SOC já coleta — logs de endpoint, registros do Windows, arquivos e saídas de […]
Suricata ou Zeek: escolhendo o motor de detecção do SOC
Suricata ou Zeek não é uma escolha de marca: é uma escolha de papel dentro do SOC pequeno. O Suricata é um motor de detecção por assinaturas: ele casa padrões […]
Wazuh em laboratório: primeiro SIEM com logs sintéticos
Montar um laboratório de SIEM open source com Wazuh começa por uma decisão prática: instalar os componentes centrais em um único host e alimentar o pipeline exclusivamente com logs sintéticos […]
Ransomware em fase inicial: detecte antes da criptografia
Ransomware em fase inicial é a janela em que o adversário já tem acesso, mas ainda não criptografou nada: utilitários nativos do próprio Windows aparecem para deletar cópias de sombra […]
Comandos que entregam um servidor ao ransomware
Um ataque de ransomware quase sempre ensaia o golpe antes de executá-lo: minutos ou horas antes de criptografar arquivos, o invasor executa comandos administrativos nativos do Windows para destruir cópias […]
Sinais precoces de ransomware no SOC: o que priorizar
Detectar ransomware no SOC antes do estágio de cifra exige olhar para os comandos de preparação que precedem a encriptação em minutos ou horas. A janela entre a interferência na […]
Casos de uso de detecção para Active Directory no SOC
Os casos de uso de detecção para Active Directory que mais reduzem risco em um SOC são aqueles que vigiam o abuso de funções legítimas do domínio: replicação de diretório, […]
Monitorização de acessos privilegiados no SOC
Monitorização de acessos privilegiados é o processo de vigiar continuamente contas com poderes administrativos — root, sudoers, administradores de domínio, papéis de cloud e tokens de API — porque elas […]
Purple team no SOC: o método que melhora as detecções
Purple team melhora detecções porque elimina o intervalo entre o ataque simulado e o feedback ao defensor: red team e blue team executam e observam ao mesmo tempo, na mesma […]