Threat Hunting no SOC: Como Encontrar Ameaças Ocultas

Threat hunting no SOC é a busca proativa por adversários que já contornaram os controles de detecção, antes que um alerta dispare. O hunter assume que um invasor avançado já opera dentro da rede e transforma essa premissa em hipóteses testáveis com telemetria e inteligência de ameaças. A base desse trabalho é o MITRE ATT&CK, uma base de conhecimento globalmente acessível de táticas e técnicas de adversários baseada em observações do mundo real.

Esperar pelo alerta custa caro: o relatório Cost of a Data Breach 2025, da IBM, mostra que o custo médio global de um vazamento caiu para USD 4,44 milhões, uma queda de 9% impulsionada por identificação e contenção mais rápidas. Na mesma direção, quem investe pesadamente em IA e automação de segurança economiza em média USD 1,9 milhão por incidente em relação a quem não adota essas soluções.

O ATT&CK é aberto e disponível a qualquer pessoa ou organização sem custo. Por isso virou a linguagem comum entre times de SOC. Com breakout cada vez menor e o volume que alimenta a fadiga de alertas, reagir depois do fato já é tarde.

Hipóteses e ATT&CK na prática

A caça inverte o fluxo do SOC: em vez de reagir a alertas, o hunter formula uma hipótese e varre a telemetria em busca de evidência. O ATT&CK cataloga técnicas em táticas que cobrem todo o ciclo de vida do ataque, do acesso inicial ao impacto. O framework é usado como fundação para o desenvolvimento de modelos de ameaça e metodologias no setor privado, no governo e na comunidade de produtos e serviços de cibersegurança. O mesmo framework sustenta a engenharia de detecção, a caça proativa, o mapeamento de inteligência e o purple teaming.

Enquanto indicadores como hashes e endereços IP expiram rápido, o comportamento do adversário persiste, e a detecção orientada por TTPs resiste melhor a evasão. Um hunter que sabe que um grupo usa PowerShell para baixar um payload e criar uma tarefa agendada detecta a técnica mesmo quando o atacante troca toda a infraestrutura. Por isso, mapear a inteligência à técnica certa importa mais do que acumular indicadores.

O resultado de uma caça bem-sucedida vira regra de detecção permanente, escrita em Sigma — um padrão aberto e genérico que descreve eventos de log relevantes de forma direta e aplicável a qualquer arquivo de log.

Sigma e engenharia de detecção

A engenharia de detecção transforma o conhecimento do hunter em lógica acionável e reutilizável pelo SIEM. Em vez de regras proprietárias amarradas a um fabricante, times maduros adotam Sigma. Em termos práticos, Sigma é para arquivos de log o que o Snort é para tráfego de rede e o YARA é para arquivos.

Tipos de regras no repositório SigmaHQ
Tipo de regra	Função	Quando usar
Detecção genérica	Detecta comportamento ou técnica, independente do atacante	Base da cobertura permanente do SIEM
Threat hunting	Dá ao analista um ponto de partida para buscar atividade suspeita	Investigações proativas e hipóteses
Ameaças emergentes	Cobre campanhas e vulnerabilidades de janela curta	Resposta a Zero-Day e APT ativos
Conformidade	Identifica violações de CIS, NIST e ISO 27001	Auditorias e controle de baselines

Uma detecção escrita uma vez pode ser convertida para múltiplos SIEMs sem reescrita manual. O repositório principal do Sigma, mantido pela SigmaHQ no GitHub, oferece mais de 3.000 regras de detecção e tem como objetivo tornar detecções confiáveis acessíveis a todos sem custo, com regras revisadas por uma comunidade de engenheiros de detecção profissionais e independentes de fabricante. As regras de detecção genérica são agnósticas à ameaça e visam detectar um comportamento ou a implementação de uma técnica, enquanto as regras de threat hunting têm escopo mais amplo e servem para dar ao analista um ponto de partida na busca por atividade suspeita ou maliciosa.

Ciclo de resposta e NIST 800-61

O threat hunting não substitui a resposta a incidentes: ele a antecede e a alimenta. A publicação NIST SP 800-61, Computer Security Incident Handling Guide, fornece diretrizes para tratamento de incidentes, em especial para analisar dados relacionados a incidentes e determinar a resposta apropriada a cada um. As diretrizes podem ser seguidas independentemente de plataformas de hardware, sistemas operacionais, protocolos ou aplicações específicas, o que as torna aplicáveis a qualquer ambiente. Isso importa porque um hunter trabalha em ambientes híbridos, com Windows, Linux, contêineres e nuvem, e precisa de um referencial estável.

O ciclo de vida clássico — preparação, identificação, contenção, erradicação, recuperação e lições aprendidas — organiza as atividades da equipe e não é estritamente sequencial: a identificação segue durante todo o incidente e contenção e erradicação costumam se sobrepor.

Métricas e resiliência do SOC

Sem métricas, a caça vira atividade sem retorno. Os indicadores que importam são MTTD, MTTR e o tempo de residência do atacante. Reduzir esse tempo tem retorno direto: a própria IBM liga a queda do custo médio de vazamento à rapidez na detecção e na contenção. Construir resiliência, segundo o mesmo relatório, significa detecção e contenção rápidas, testar regularmente os planos de resposta a incidentes e os backups, definir papéis claros em caso de vazamento e realizar simulações de crise.