A procura proativa de ameaças consiste na procura de ameaças que conseguiram contornar as defesas existentes. Não se trata de esperar por um alerta. Parte-se do pressuposto de que um invasor já está infiltrado e procura-se evidência. O profissional responsável pela pesquisa formula uma hipótese. Talvez o atacante esteja a utilizar o PowerShell para movimentação lateral. Talvez esteja a exfiltrar dados via DNS. Em seguida, consulta os registos e os dados dos endpoints para confirmar ou refutar a hipótese. A maioria das pesquisas não encontra nada. Isso não significa fracasso. Significa que as defesas estão a funcionar.

A procura de ameaças exige dados e habilidade. O caçador necessita de ter acesso à telemetria de endpoints, aos registos de rede e aos eventos de autenticação. Ele precisa de saber o que é normal para poder identificar o anormal. Necessita de compreender as técnicas dos atacantes, muitas vezes extraídas de frameworks como o MITRE ATT&CK. A procura de ameaças é diferente da resposta a incidentes. A resposta a incidentes reage a um evento confirmado. A pesquisa de ameaças procura eventos que nunca foram confirmados. Preenche a lacuna entre a deteção automatizada e a investigação humana. Uma boa pesquisa de ameaças gera novas regras de deteção. A hipótese que não encontrou nada ainda ensina algo sobre o ambiente. Com o tempo, a pesquisa de ameaças melhora a cobertura da deteção e reduz o tempo de permanência da ameaça. Os atacantes contam com a capacidade de reação dos defesas. A procura de ameaças quebra esta premissa.

Processo de procura de ameaças

• Formule uma hipótese com base em informações sobre ameaças ou comportamento do atacante.
• Reúna dados de fontes relevantes.
• Consultar e analisar em busca de evidências
• Investigar anomalias
• Documente as descobertas e crie novas deteções.

A busca de ameaças é um trabalho de detetive. O crime pode não ter acontecido. O objetivo é provar se aconteceu ou não.