Skip to main content
Lanterna Home

Splunk Lantern

Caça a ameaças

  1. Last updated
  2. Save as PDF

Ameaças avançadas e sofisticadas podem ultrapassar as defesas tradicionais e automatizadas de cibersegurança, ou podem ser ignoradas pelos analistas de nível 1 e 2. O estabelecimento de um programa de caça de ameaças bem-sucedido baseia-se na qualidade dos dados do seu ambiente e na sua capacidade de revelar insights geralmente não encontrados através da atividade de correlação do dia-a-dia. As equipas de segurança precisam conduzir investigações e caça a ameaças em toda a superfície de ataque e a partir de uma única ferramenta. Devia ter uma ferramenta como Splunk Enterprise Security no local, recolha de dados. Quando os dados são facilmente recolhidos, normalizados, acedidos e analisados, isso fornece pistas valiosas para os caçadores de ameaças da sua equipa perseguirem ameaças. Além disso, esta ferramenta deve analisar, enriquecer e validar alertas automaticamente, eliminar falsos positivos, agrupar eventos relacionados em incidentes, e priorizá-los por risco organizacional para facilitar investigações rápidas e eficazes e atividades de caça a ameaças.

Quais são os benefícios de um programa eficaz de caça às ameaças?

Um programa eficaz de caça a ameaças reduz o tempo entre a intrusão e a descoberta e, na maioria dos casos, limita a quantidade de dano que pode ser causado pelos atacantes. Ataques sofisticados muitas vezes ficam à espreita durante semanas, ou mesmo meses, antes da descoberta. Em média, são necessários mais de 200 dias até que a maioria das organizações descubra que ocorreu uma violação de dados. Os atacantes aguardam pacientemente para desviarem dados e descobrir informações confidenciais suficientes ou obterem credenciais privilegiadas para desbloquear mais acessos, preparando o terreno para uma violação significativa de dados e um lugar do qual nenhuma organização quer fazer parte.

A caça a ameaças está rapidamente a tornar-se um papel vital e favorito em muitos programas de cibersegurança organizacionais, uma vez que garante um nível de consciência situacional que outros métodos podem não alcançar tão rapidamente. Os benefícios de habilitar um programa de caça a ameaças são:

  • Descubra ameaças de forma proativa . Fique a par das ameaças ocultas e, utilizando pesquisas flexíveis, identifique de forma proativa as recomendações que possam ter encontrado formas de estabelecer uma posição de apoio na rede da sua organização.
  • Melhorar a velocidade de identificação das causas profundas e pesquisar evidências adicionais de potenciais incidentes. A investigação ad hoc pode muitas vezes identificar atividades ou padrões que podem já estar presentes no seu ambiente.
  • Auxiliar os analistas de cibersegurança na compreensão da organização. Obtenha uma melhor compreensão do estado de segurança atual e da postura da sua organização e como pode defender-se contra ataques.
  • Ajudar a alcançar a mitigação adequada das ameaças através de uma defesa adequada. Informações mais aprofundadas sobre as suas redes e sistemas e as ameaças que podem enfrentar auxiliam no estabelecimento de controlos em camadas.
  • Reduz os falsos positivos e melhora a eficiência do SOC. Crie processos orientados a hipóteses, proativos e repetíveis. A aplicação de técnicas de investigação humana a par da implementação de ferramentas eficazes significa falsos positivos e reduzidos e a eficiência na detecção e resolução aumentada.
  • Utilize a análise preditiva dentro Splunk User Behavior Analytics para identificar ameaças desconhecidas com a aprendizagem automática
  • Iniciar e otimizar atividades de caça com inteligência integrada contra ameaças (Splunk Threat Intelligence Management)

Quais são as melhores práticas de caça às ameaças?

O trabalho de um caçador de ameaças é encontrar as incógnitas. Os caçadores de ameaças conduzem análises através de vastas quantidades de dados de segurança, procurando por malware oculto ou sinais de invasores, procurando padrões de atividade suspeita que podem não ter sido descobertos por ferramentas. Também ajudam a desenvolver abordagens de defesa aprofundadas, compreendendo as táticas e técnicas dos atacantes para que possam ajudar a prevenir esse tipo de ataque cibernético. Utilizam frameworks comuns como MITRE ATT&CK ou Kill-Chain para ajudar a adaptá-los ao ambiente local.

Tipos de caça às ameaças

Os caçadores começam com uma hipótese baseada em dados de segurança, indicadores de inteligência de ameaças ou ações de eventos. A sua hipótese orienta-os para uma investigação mais aprofundada dos riscos potenciais. Estas investigações mais profundas podem ser estruturadas, não estruturadas ou ad-hoc.

Investigação estruturada

Uma investigação estruturada baseia-se em dados de inteligência de ameaças, como um indicador de compromisso (IoC) ou através de táticas, técnicas e procedimentos (TTPs) de um atacante. Os agentes da ameaça podem ser identificados antes mesmo que o atacante possa causar danos ao ambiente, compreendendo os TTPs que empregam. O MITRE ATT&CK é uma estrutura popular a partir da qual os caçadores de ameaças realizam investigações estruturadas.

Investigação não estruturada

A investigação não estruturada é muitas vezes iniciada através de uma ação ou evento que ocorre onde um ou mais indicadores de comprometimento (IOC) são detectados. Este tipo de evento leva um caçador de ameaças a focar-se nos padrões de pré-evento e pós-detecção. Eles agrupam pesquisas em conjunto com outros incidentes conectados para construir uma imagem holística.

Investigação ad-hoc

A investigação ad-hoc pode ocorrer por uma variedade de razões. Tendências de ameaças, análise ativa de vulnerabilidades, avaliação de risco ou leads externos. Os leads podem ser descobertos a partir de dados de ataques de origem coletiva que revelam os TTPs mais recentes das ameaças cibernéticas atuais. Um caçador de ameaças usa estas pequenas pistas para depois procurar esses comportamentos específicos dentro do seu ambiente.

Como é Splunk Enterprise Security ajuda na caça às ameaças?

Que ameaça a caça processos posso pôr em prática ?

A Splunk recomenda seguir as Moção de Adoção Prescritiva: Caça às ameaças . Este guia o orienta passo a passo através dos tipos de inteligência de ameaças, contextualização de dados e enriquecimento.