- Início
- Soluções
- MDR – Managed Detection and Response
- Threat hunting
MDR – Managed Detection and Response · Recurso
Caça ativa a ameaças (threat hunting)
Nem todo ataque gera alerta. No threat hunting, analistas vão atrás dos sinais que as ferramentas não destacaram.
O que é
Caça ativa a ameaças (threat hunting), sem complicação
Threat hunting, ou caça a ameaças, é a busca ativa por atividade maliciosa que passou pelas defesas sem disparar alerta. Em vez de esperar a ferramenta avisar, o analista parte de uma hipótese: como um atacante agiria neste ambiente? Que rastros deixaria?
Atacantes experientes evitam o que chama atenção. Usam contas válidas obtidas por phishing, ferramentas administrativas do próprio sistema e se movimentam devagar. Cada ação isolada parece normal. O caçador procura padrões que, juntos, revelam a intrusão: uma ferramenta de acesso remoto instalada fora do processo de TI, um login de horário incomum seguido de acesso a muitos servidores, comandos de reconhecimento da rede.
A caça usa os dados coletados pelas tecnologias monitoradas, inteligência sobre técnicas usadas por grupos criminosos e a experiência dos analistas. Quando encontra algo, o caso segue para investigação e resposta. Quando não encontra, o resultado também tem valor: a hipótese vira, sempre que possível, uma nova regra de detecção.
Como funciona
Passo a passo
- 01
Formulação da hipótese
Com base em técnicas de ataque conhecidas e em ameaças recentes, o analista define o que procurar.
- 02
Busca nos dados
Os eventos coletados no ambiente são consultados para encontrar sinais que confirmem ou descartem a hipótese.
- 03
Análise do contexto
Achados são avaliados com o contexto da empresa, para separar comportamento legítimo de atividade maliciosa.
- 04
Resposta e nova detecção
Ameaças encontradas seguem para resposta, e o padrão identificado pode virar regra de detecção automática.
Por que importa
O que muda para a sua empresa
Atacantes evitam alertas
Uso de credenciais válidas e de ferramentas legítimas é feito justamente para não disparar detecções. Só uma busca ativa encontra esse tipo de rastro.
Intrusões silenciosas causam mais dano
Um invasor que passa despercebido tem tempo para mapear a rede, roubar dados e preparar um ataque maior.
Resposta a ameaças novas
Quando uma nova técnica ou falha passa a ser explorada, a caça verifica se ela já foi usada no seu ambiente.
Detecção que melhora com o tempo
Cada caça gera aprendizado sobre o ambiente e pode resultar em novas regras de detecção.
Na prática
Situações do dia a dia
Escritório com ferramenta de acesso remoto
A caça encontra um software de acesso remoto instalado em uma estação sem chamado aberto no TI. A investigação confirma uso indevido e a resposta é acionada.
Empresa após divulgação de falha grave
Uma falha amplamente explorada é publicada. Os analistas procuram nos dados sinais de exploração nos servidores da empresa antes mesmo da correção.
Indústria com conta de serviço
A busca revela uma conta de serviço sendo usada de forma interativa em estações de trabalho, sinal comum de credencial comprometida.
Na Strema
Como entregamos Threat hunting
No MDR, a caça a ameaças é feita por analistas especializados sobre os dados do seu ambiente, como parte do serviço gerenciado. Achados relevantes são comunicados ao seu time com contexto e recomendação.
Para reduzir de antemão as brechas que atacantes procuram, a Strema também oferece análise de vulnerabilidades e pentest.
Threat hunting é diferente de monitoramento?
Sim. O monitoramento reage aos alertas gerados pelas ferramentas. O threat hunting procura ativamente o que não gerou alerta.
A caça é automática?
Não totalmente. A tecnologia ajuda a consultar grandes volumes de dados, mas a hipótese, a análise e a conclusão dependem de analistas experientes.
Preciso fornecer algo para a caça acontecer?
É preciso que as fontes de dados estejam integradas ao serviço. Informações sobre o ambiente, como sistemas críticos e contas de serviço, também melhoram a análise.
Se nada for encontrado, a caça foi inútil?
Não. Descartar uma hipótese aumenta a confiança no ambiente e, muitas vezes, gera uma nova regra de detecção.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de MDR – Managed Detection and Response
Fale conosco
Quer Threat hunting protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP