Threat hunting no SOC é a busca proativa por comportamento de invasor que ainda não disparou nenhuma detecção automatizada. O ciclo começa com uma hipótese derivada do MITRE ATT&CK, a base de conhecimento global de táticas e técnicas de adversário baseada em observações do mundo real. O framework é aberto e disponível sem custo para qualquer pessoa ou organização. O analista testa a hipótese contra telemetria bruta de endpoints e rede, confirma a evidência e codifica o achado como regra Sigma, fechando o ciclo entre detecção, hunt e resposta.
Por que caçar além do alerta
Detecção reativa dispara quando um padrão conhecido aparece; a caçada procura o que ela ainda não vê. Equipes de hunt e de resposta a incidentes conduzem engajamentos proativos e reativos em redes organizacionais para identificar e detectar ameaças cibernéticas. A falta de segmentação de rede figura entre as más configurações mais comuns em avaliações de segurança de agências. O monitoramento interno insuficiente também aparece nessa lista recorrente. O gerenciamento precário de patches integra o mesmo conjunto de falhas sistêmicas. Métodos de autenticação multifator fracos ou mal configurados também figuram entre as configurações mais exploradas. O bypass de controles de acesso ao sistema e a higiene precária de credenciais completam o conjunto de falhas que a caçada deve fechar. Nessas lacunas, movimento lateral, roubo de credenciais e beaconing de comando e controle ficam invisíveis até virarem incidente grave, o padrão visto em investigações de ransomware. Por isso, dedicar turno à caçada reduz a dependência da triagem reativa de alertas.
Hipótese com o MITRE ATT&CK
Toda caçada começa com uma hipótese falsificável sobre o comportamento do invasor. O ATT&CK serve de fundação para o desenvolvimento de modelos de ameaça e metodologias específicas usadas no setor privado, no governo e na comunidade de produtos e serviços de cibersegurança. O analista pega uma técnica — como T1003, OS Credential Dumping — e pergunta se existe evidência desse comportamento na telemetria. A separação imprópria entre privilégios de usuário e de administrador integra as más configurações que a hunt deve procurar neutralizar. Avaliações de red team e de hunt mapeiam a atividade de atores de ameaça ao framework MITRE ATT&CK para Enterprise, e o mesmo mapeamento orienta a formulação de hipóteses de caçada. Configurações padrão de software e aplicativos também figuram entre as falhas mais exploradas, dando ao hunter um roteiro concreto de onde procurar anomalias.
Telemetria e ferramentas da caçada
A hipótese vira busca em linguagens de consulta como KQL e SPL. O Sigma é um formato genérico e aberto de assinaturas, neutro em relação a fornecedor, que permite descrever eventos de log relevantes de forma portável entre SIEMs. O repositório principal do Sigma oferece mais de três mil regras de detecção mantidas pela comunidade de engenheiros de detecção.
- Consulta e detecção: Sigma, YARA, KQL e SPL traduzem hipótese em busca e achado em regra.
- Endpoint: Sysmon, osquery e Velociraptor dão visibilidade de processo, arquivo e evento.
- Rede: Zeek, Suricata e Arkime revelam movimento lateral e beaconing.
- Inteligência: MISP e feeds de IOC enriquecem indicadores.
Codificando achados em Sigma
O Sigma organiza as regras em tipos distintos: detecção genérica, caçada de ameaças, ameaças emergentes e conformidade, cada um com escopo e finalidade próprios. Para os arquivos de log, o Sigma cumpre o papel que o Snort cumpre para o tráfego de rede e o YARA para arquivos. O achado de uma caçada só vira defesa permanente quando vira detecção reutilizável, e por isso o passo final do ciclo é codificar. Como o Sigma é neutro em relação a fornecedor, conversores oficiais e comunitários traduzem a regra para a linguagem do seu SIEM, e o próximo evento dispara alerta automaticamente, integrando a hunt ao pipeline de XDR.
- Formule a hipótese a partir de uma técnica do ATT&CK.
- Teste a hipótese contra telemetria de endpoint e rede.
- Confirme a evidência e enriqueça com inteligência.
- Codifique o achado como regra Sigma e converta para o SIEM.
Checklist de uma boa hipótese
Antes de abrir o SIEM, confirme quatro pontos. Primeiro, a técnica mapeia a uma entrada concreta da base de conhecimento do ATT&CK, o que mantém a hunt ancorada em comportamento real de adversário. Segundo, a telemetria necessária existe e está sendo coletada pelo SOC. Terceiro, o resultado pode ser confirmado ou refutado em uma única sessão. Quarto, o achado pode ser codificado como regra Sigma ao final, transformando esforço manual em detecção automática.
- Técnica mapeada a uma entrada do ATT&CK.
- Telemetria necessária disponível e coletada.
- Resultado confirmável em uma sessão.
- Achado codificável como regra Sigma.
Maturidade do programa de hunt
O Hunting Maturity Model, criado por David Bianco, é um modelo simples para avaliar a capacidade de caçada de uma organização, oferecendo tanto uma métrica de onde se está quanto um roteiro de evolução. Equipes no nível mais baixo dependem só de alertas; no mais alto, criam análises e dados próprios que alimentam detecções novas. As regras genéricas de detecção do Sigma, neutras em relação à ameaça, têm como objetivo detectar um comportamento ou a implementação de uma técnica, exatamente o produto mensurável de um programa maduro. Quanto mais hipóteses uma equipe codifica como regra, menor fica a lacuna entre o que o invasor faz e o que o SOC vê.
