Em uma manhã de terça-feira em março, um threat hunter de um sistema regional de saúde notou algo estranho. Três endpoints diferentes haviam consultado o mesmo domínio externo dentro de uma janela de quatro horas. Nenhuma das consultas disparou regras de detecção existentes. O domínio não estava em nenhuma blocklist de inteligência de ameaças. As consultas usavam DNS padrão pela porta 53. Da perspectiva do SIEM, a atividade era irrelevante.
O hunter discordou. Os três endpoints pertenciam a departamentos diferentes — radiologia, recursos humanos e gestão de instalações. Não havia razão de negócio para contatarem o mesmo host externo. O domínio havia sido registrado onze dias antes. O padrão era consistente com beaconing de comando e controle, mas o volume de tráfego era baixo demais e irregular demais para que qualquer detecção automatizada o sinalizasse.
Ao longo das seis horas seguintes, o hunter rastreou a atividade até um portal de gestão de fornecedores comprometido. Um atacante havia usado credenciais roubadas para acessar o portal, plantou um web shell e o usava para enumerar a rede e preparar dados para exfiltração. Se o hunter não tivesse perseguido a anomalia inicial, a exfiltração provavelmente teria se completado dentro de 48 horas.
Isto é threat hunting: a busca proativa e orientada por hipóteses por ameaças que a detecção automatizada deixou passar. É a função mais intelectualmente exigente de um centro de operações de segurança, e está se tornando a mais crítica.
O Que Realmente É o Threat Hunting
O SANS Institute define o threat hunting como “uma abordagem proativa e iterativa para detectar, isolar e derrotar adversários que operam dentro do ambiente de uma empresa”. As palavras-chave são proativa e iterativa. Threat hunting não é triagem de alertas. Não é resposta a incidentes. Não é varredura de vulnerabilidades. É um processo estruturado que começa com uma hipótese sobre o comportamento do adversário e termina com uma ameaça confirmada, uma nova regra de detecção ou a compreensão documentada de uma atividade benigna.
A NIST Special Publication 800-150 faz referência ao threat hunting indiretamente, por meio de sua discussão sobre a utilização proativa de inteligência. O documento descreve um modelo de maturidade para inteligência de ameaças que vai do consumo reativo de indicadores de comprometimento até a geração e o teste proativos de hipóteses. O threat hunting opera na extremidade mais alta desse espectro de maturidade.
O framework MITRE ATT&CK tornou-se a estrutura organizadora das operações de threat hunting. Como o ATT&CK cataloga táticas, técnicas e procedimentos de adversários em uma taxonomia padronizada, os hunters podem usá-lo para formular hipóteses precisas. Em vez de procurar amplamente por “atividade suspeita”, um hunter pode formular a hipótese de que “um adversário está usando tarefas agendadas para persistência, mapeada para o ATT&CK T1053.005”. Essa especificidade permite ao hunter consultar fontes de dados relevantes diretamente — logs de eventos do Windows para criação de tarefas agendadas, registros de execução de processos para comandos de tarefa incomuns — em vez de vasculhar telemetria indiferenciada.
A Metodologia de Hunting
O threat hunting eficaz segue uma metodologia estruturada. O curso SEC530 do SANS, “Threat Hunting and Incident Response”, ensina um processo de quatro fases: gatilho, investigação, resolução e documentação.
O gatilho é a hipótese que inicia a caçada. Os gatilhos vêm de três fontes. Os gatilhos orientados por inteligência originam-se de inteligência de ameaças externa — um relatório sobre uma nova técnica de adversário, uma advisory da CISA sobre exploração ativa ou um boletim de ISAC sobre campanhas que visam a indústria da organização. Os gatilhos situacionais vêm de observações internas — uma anomalia no tráfego de rede, um padrão de autenticação incomum ou uma lacuna na cobertura de detecção que um hunter identifica durante o trabalho rotineiro. Os gatilhos analíticos vêm da análise estruturada de dados existentes — modelagem estatística que identifica outliers, clustering que revela padrões inesperados ou detecção de anomalias que revela pontos de dados fora das distribuições normais.
A advisory da CISA “Hunt and Incident Response for Critical Infrastructure”, publicada em fevereiro de 2024 como AA24-054A, recomenda que as organizações estabeleçam uma cadência regular de hunting de pelo menos uma caçada estruturada por semana. A advisory observa que “os adversários empregam cada vez mais técnicas projetadas para evadir a detecção automatizada, tornando o hunting proativo essencial para identificar o acesso persistente que foi estabelecido dentro do ambiente”.
A fase de investigação é onde o hunter testa a hipótese contra os dados disponíveis. Essa fase exige profunda familiaridade com as fontes de telemetria da organização. Um hunter que investiga uma hipótese sobre credential dumping precisa saber quais endpoints registram eventos de acesso ao LSASS, se esses logs estão sendo encaminhados ao SIEM e como é o padrão de baseline de acesso ao LSASS no ambiente. Esse conhecimento contextual é a razão pela qual o threat hunting não pode ser efetivamente terceirizado ou realizado por analistas que não têm familiaridade com o ambiente específico.
A fase de resolução determina se a hipótese foi confirmada. Se uma ameaça é encontrada, o hunter inicia o processo de resposta a incidentes. Se nenhuma ameaça é encontrada, a caçada produz um de dois resultados: a compreensão documentada de por que o comportamento é benigno ou uma nova regra de detecção que fecha a lacuna que a caçada identificou. Ambos os resultados têm valor duradouro. Baselines benignas documentadas evitam que futuros analistas investiguem a mesma atividade. Novas regras de detecção ampliam a capacidade de detecção automatizada, reduzindo a superfície que os futuros hunters precisam cobrir.
A fase de documentação garante que a metodologia, os achados e os resultados da caçada sejam registrados para referência institucional. Essa documentação realimenta o programa de hunting ao identificar padrões em múltiplas caçadas, refinar hipóteses e construir uma base de conhecimento que acelera investigações futuras.
Ferramentas e Fontes de Dados
O threat hunting exige acesso a uma telemetria que vai além do que os dashboards padrão de SIEM fornecem. A telemetria de endpoint é a fonte de dados mais crítica. Logs de execução de processos, modificações de registro, conexões de rede, eventos de criação de arquivos e padrões de acesso à memória fornecem a visibilidade granular de que os hunters precisam para identificar comportamentos sofisticados de adversários. Plataformas EDR como CrowdStrike Falcon, SentinelOne e Microsoft Defender for Endpoint coletam esses dados, mas o hunter precisa da capacidade de consultá-los de forma flexível, em vez de depender de regras de detecção pré-construídas.
A telemetria de rede complementa os dados de endpoint. A captura completa de pacotes é ideal, mas impraticável para a maioria das organizações devido aos custos de armazenamento. Dados de NetFlow, logs de consultas DNS, logs de proxy e informações de certificados TLS fornecem visibilidade suficiente para a maioria das hipóteses de hunting quando correlacionados com dados de endpoint. Plataformas de network detection and response como Vectra AI, ExtraHop e Darktrace complementam a telemetria de rede tradicional com analytics comportamentais que conseguem revelar padrões de tráfego anômalos.
As plataformas de inteligência de ameaças fornecem o contexto externo que informa as hipóteses de hunting. Recorded Future, CrowdStrike Falcon Intelligence, Mandiant Advantage e plataformas open-source como MISP e OpenCTI dão aos hunters acesso a perfis de adversários, indicadores de comprometimento e relatórios táticos que podem ser mapeados para o ambiente da organização.
O Elastic Security ganhou adoção significativa como plataforma de hunting porque sua linguagem de consulta, KQL, fornece acesso flexível à telemetria indexada sem exigir que os analistas escrevam SQL complexo ou aprendam uma sintaxe de consulta proprietária. O Elastic Common Schema normaliza dados de fontes diversas em um formato unificado, viabilizando a correlação entre fontes que seria difícil em um SIEM tradicional.
O Problema das Pessoas
Os threat hunters são o papel de SOC mais difícil de recrutar e reter. A posição exige uma combinação de habilidades que é rara: conhecimento técnico profundo de sistemas operacionais, redes e tradecraft de adversários; pensamento analítico capaz de gerar e testar hipóteses; e a paciência para perseguir pistas que podem não render resultados.
O SANS 2024 SOC Survey constatou que apenas 12 por cento das organizações pesquisadas tinham uma equipe dedicada de threat hunting. A maioria das organizações que faz hunting de alguma forma atribui a função a seus analistas mais seniores como uma atividade periódica, junto com outras responsabilidades. Essa abordagem de tempo parcial limita o volume e a sofisticação das operações de hunting.
A certificação GIAC Certified Threat Hunter, oferecida pelo SANS, tornou-se a credencial padrão para validar habilidades de hunting. A certificação exige a capacidade demonstrada de formular hipóteses, selecionar fontes de dados apropriadas, executar investigações estruturadas e documentar os achados. Em 2024, aproximadamente 2.800 profissionais detinham a certificação globalmente — uma pequena fração da necessidade estimada.
O Retorno do Investimento
Medir o valor do threat hunting é difícil porque os resultados mais importantes são negativos — ameaças que foram detectadas e neutralizadas antes de causar danos. Mas várias métricas fornecem indicadores úteis.
O tempo médio de detecção para incidentes detectados por hunting é normalmente mais longo do que para incidentes detectados por alertas, porque o hunting identifica ameaças que já evadiram a detecção automatizada e estão operando dentro do ambiente. Isso soa contraintuitivo, mas reflete a natureza das ameaças que o hunting aborda: adversários avançados que estabeleceram acesso persistente e estão operando de forma lenta e cuidadosa. Sem o hunting, essas ameaças permanecem indetectadas indefinidamente.
O número de novas regras de detecção geradas pelas operações de hunting é uma métrica prospectiva. Cada nova regra amplia a capacidade de detecção automatizada, reduzindo o ônus sobre os futuros hunters e melhorando a postura de segurança de base da organização. Organizações com programas de hunting maduros normalmente geram de cinco a quinze novas regras de detecção por mês a partir de atividades de hunting.
O framework MITRE Engage, publicado como complemento ao ATT&CK, fornece uma estrutura para medir o impacto de atividades de defesa proativa, incluindo o threat hunting. O framework categoriza as ações defensivas em três grupos: negar, interromper e degradar. O hunting contribui principalmente para a categoria de negar — identificar e eliminar o acesso do adversário antes que ele possa ser usado para fins ofensivos.
Hunting em 2026 e Além
O cenário de ameaças continua a evoluir de maneiras que tornam o hunting mais necessário. As técnicas de living-off-the-land — em que os adversários usam ferramentas administrativas legítimas em vez de malware personalizado — geram telemetria que se mistura à atividade normal. A detecção automatizada tem dificuldade para distinguir um script legítimo de PowerShell de um malicioso quando ambos usam o mesmo interpretador, os mesmos comandos e os mesmos caminhos de rede.
A advisory da CISA “Top Routinely Exploited Vulnerabilities”, atualizada anualmente, mostra consistentemente que os adversários exploram vulnerabilidades conhecidas por meses ou anos após os patches estarem disponíveis. Essa persistência significa que mesmo organizações com fortes programas de gestão de patches enfrentam adversários que estabeleceram pontos de apoio por meio de sistemas anteriormente não corrigidos. O hunting é o mecanismo para encontrar esses pontos de apoio.
As organizações que investem em programas de threat hunting estruturados e bem dotados de recursos não estão desperdiçando dinheiro em atividade especulativa. Elas estão construindo a capacidade de detecção que identificará a próxima intrusão que seus sistemas automatizados deixarem passar. A questão não é se o ambiente delas contém ameaças não detectadas. A questão é se elas as encontrarão antes que o adversário termine o serviço.
