Threat Hunting com MITRE ATT&CK: Hipóteses, não Alertas

Threat hunting não é esperar um alerta disparar — é assumir que o adversário já pode estar dentro e ir procurar evidências disso proativamente. O MITRE ATT&CK é o mapa que torna essa busca sistemática em vez de aleatória.

Por que alertas não bastam

Um SIEM bem configurado deteta o que já foi ensinado a detetar. Técnicas novas, “living off the land” (uso de ferramentas legítimas do sistema para fins maliciosos) e movimentos lentos e discretos frequentemente não geram alerta nenhum. É aí que entra a caça: partir de uma hipótese — “se um atacante tivesse acesso a uma estação, como tentaria persistência?” — e ir validar essa hipótese nos dados.

Do ATT&CK à query

O framework organiza táticas (o “porquê”, como Persistência ou Movimento Lateral) e técnicas (o “como”, como T1053 – Scheduled Task/Job). Uma caça típica parte de uma técnica específica: verificar criação recente de tarefas agendadas fora do padrão normal do ambiente, cruzando logs de criação de processo com o utilizador e horário.

Um ciclo prático

• Hipótese: escolher uma técnica relevante ao perfil de ameaça do ambiente.
• Dados: confirmar que existe telemetria suficiente para essa técnica (logs de processo, rede, autenticação).
• Investigação: procurar anomalias — não assinaturas, mas comportamento fora da baseline.
• Resultado: se encontrar algo, vira caso de resposta a incidente; se não encontrar, a ausência de evidência já valida (ou reforça a necessidade de melhorar) a cobertura de deteção.

Com o tempo, cada caça que não encontra nada ainda gera valor: aponta lacunas de visibilidade e vira uma nova regra de deteção — fechando o ciclo entre threat hunting e engenharia de deteção.