O que é caça a ameaças?

Por que a caça a ameaças é importante?

À medida que as violações de dados se tornam mais frequentes e caras, um programa de caça a ameaças é uma peça fundamental de uma estratégia de segurança empresarial moderna, oferecendo às organizações os benefícios de:

• Defesa proativa contra riscos potenciais e ameaças ocultas, melhorando a postura geral de segurança e ajudando a mitigar os riscos antes que eles aumentem, prevenindo possíveis violações
• Permitir uma resposta acelerada a incidentes e tempo de permanência de ameaças reduzido , combinando ferramentas automatizadas e experiência humana para detecção de ameaças mais precisa
• Redução de riscos de danos financeiros e de reputação, perda de dados e mais em face de ataques cada vez mais frequentes e consequências mais caras

Como funciona a caça a ameaças?

A caça eficaz a ameaças envolve investigação prática, prevenção e redução de riscos, mas essas coisas não podem acontecer isoladamente. Em vez disso, é uma corrida armamentista com criminosos que estão sempre trabalhando para tornar seus ataques mais rápidos, mais numerosos e mais difíceis de detectar. Você pode pensar no processo básico de caça a ameaças em quatro partes:

1. Coletar e analisar dados

Os caçadores de ameaças coletam grandes quantidades de dados de dentro e de fora da rede da organização, incluindo logs, dados de tráfego e terminais, além de feeds de inteligência de ameaças. A análise comportamental e o aprendizado de máquina ajudam a estabelecer uma base de referência do comportamento normal a partir desses dados, e qualquer desvio pode indicar uma possível ameaça.

2. Desenvolver uma hipótese

Com base nos insights obtidos na análise de dados, os caçadores de ameaças formulam hipóteses sobre possíveis ameaças, concentrando-se na identificação de anomalias ou atividades suspeitas que possam indicar a presença de malware ou outro incidente de segurança iminente.

3. Investigar e validar

Os caçadores de ameaças procuram por IOCs, sinais de atividade maliciosa ou padrões incomuns nos dados examinando o tráfego de rede, revisando logs, inspecionando a atividade dos terminais, entre outros. O objetivo é validar se os indicadores apontam para ameaças genuínas ou se são apenas falsos positivos. A validação é fundamental para permitir que as organizações respondam às ameaças de forma mais rápida e eficiente.

4. Melhorar continuamente

Para se adaptar continuamente às ameaças em evolução, o processo de caça é cíclico: os caçadores de ameaças aplicam as lições aprendidas para refinar suas técnicas, atualizar suas hipóteses, incorporar novas soluções de inteligência e segurança de ameaças para melhor embasar sua próxima análise.

Tipos de caça a ameaças

A abordagem que os caçadores de ameaças adotam depende das informações que eles têm antecipadamente. Por exemplo, um feed de ameaças forneceu novas informações específicas sobre uma variante de malware emergente, como dados de assinatura? A organização notou um aumento repentino no tráfego de saída?

A caça a ameaças orientada por pistas (também conhecida como caça estruturada) é orientada por hipóteses ou baseada em IOCs específicos que guiam a investigação. Por exemplo, se os caçadores receberem informações específicas sobre malware emergente, conforme mencionado acima, eles poderão procurar sinais conhecidos desse malware em seu ambiente.

A caça a ameaças sem orientação (também conhecida como caça não estruturada) não depende de pistas ou indicadores específicos. Em vez disso, os caçadores de ameaças usam técnicas de análise de dados e detecção de anomalias para descobrir coisas como o pico de tráfego de rede mencionado anteriormente e, a partir daí, investigar a causa da anomalia.

Essas abordagens não são mutuamente exclusivas: as equipes de caça a ameaças geralmente precisam contar com uma combinação de ambas como parte de uma metodologia de caça abrangente.

Benefícios da automação na caça às ameaças cibernéticas

A automação é essencial para uma caça eficaz a ameaças, aliada ao pensamento lateral e à criatividade humana. Agentes mal-intencionados explorarão qualquer vantagem que puderem, o que hoje significa que eles estão usando cada vez mais inteligência artificial e automação para realizar seus ataques. Em outras palavras, é um exemplo clássico de combater fogo com fogo.

A automação acelera a detecção e a resposta a ameaças ao coletar, correlacionar e identificar anomalias em grandes quantidades de dados em tempo real, com muito mais eficiência do que os humanos. Por sua vez, os analistas humanos têm mais tempo e atenção para se concentrar em incidentes que exigem tomada de decisão contextual diferenciada ou que carecem de dados históricos de segurança para que ferramentas automatizadas façam determinações.

Modelos e metodologias de caça a ameaças

Vários modelos e metodologias de caça a ameaças ajudam os caçadores a identificar, investigar e mitigar ameaças com foco em diferentes aspectos, com base no que se adequa à natureza de sua equipe ou à ameaça em si. Alguns modelos comuns são:

Estrutura MITRE ATT&CK

Uma base de conhecimento de TTPs adversários conhecidos, a estrutura MITRE ATT&ACK fornece uma maneira padronizada de categorizar e analisar comportamentos de ameaças em vários estágios de um ataque, ajudando os caçadores de ameaças a alinhar seus esforços de detecção e resposta.

Cadeia de destruição cibernética da Lockheed Martin

Esse modelo divide sete estágios de um ataque cibernético, do reconhecimento à exfiltração, para ajudar nos esforços proativos de caça a ameaças, identificando vulnerabilidades e possíveis estratégias de mitigação eficazes em diferentes pontos da cadeia de ataque.

Ciclo de vida da inteligência sobre ameaças cibernéticas

Esse processo contínuo de coleta, análise e disseminação de inteligência sobre ameaças ajuda os caçadores de ameaças a integrar informações relevantes e oportunas sobre ameaças em seus esforços de detecção e resposta, permitindo que as organizações fiquem à frente das ameaças emergentes.

Leia mais em nosso artigo dedicado, O que é inteligência sobre ameaças?

Ciclo Observar, Orientar, Decidir, Agir (OODA)

Essa estrutura de quatro etapas desenvolvida originalmente para a Força Aérea dos EUA ajuda os caçadores de ameaças a contextualizar informações sobre ameaças em evolução para se adaptarem mais rapidamente a situações de mudança, tomarem decisões embasadas e adotarem ações eficazes.

Modelo Diamante de Análise de Intrusão

Essa estrutura de atribuição de ameaças cibernéticas define as quatro principais características da atividade de intrusão (adversário, infraestrutura, vítima e capacidade) e seus relacionamentos para ajudar os caçadores de ameaças a entender quem, o quê, onde e como de um ataque.

Ferramentas de caça a ameaças

Assim como há muitas metodologias de caça, há muitas ferramentas no kit de ferramentas do caçador de ameaças cibernéticas. Algumas das tecnologias comuns:

• Ferramentas de gerenciamento de eventos e informações de segurança (SIEM) coletam e analisam dados de logs da rede de uma organização e fornecem uma plataforma central de monitoramento e alerta.
• Ferramentas de análise de tráfego de rede (NTA) analisam padrões e comportamentos de tráfego de rede para detectar atividades suspeitas e identificar ameaças potenciais.
• Ferramentas de detecção e resposta de terminais (EDR) monitoram e detectam atividades suspeitas em terminais em tempo real, ao mesmo tempo em que fornecem investigação, busca de ameaças, triagem e correção.
• Plataformas de inteligência sobre ameaças (TIPs) agregam, correlacionam, analisam e detalham a inteligência sobre ameaças de várias fontes para ajudar analistas e suas ferramentas a tomar decisões embasadas.
• As plataformas de orquestração, automação e resposta de segurança (SOAR) automatizam e orquestram tarefas de resposta a incidentes, permitindo uma mitigação de ameaças mais rápida e eficiente.
• Ferramentas de verificação de vulnerabilidades oferecem suporte ao gerenciamento de correções e à avaliação de riscos, examinando os ambientes e aplicativos de uma organização para identificar vulnerabilidades que os invasores podem explorar.
• As ferramentas de gerenciamento da superfície de ataque (ASM) fornecem visibilidade à superfície de ataque de uma organização, ajudando a reduzi-la por meio da identificação, monitoramento e mitigação de vulnerabilidades e possíveis vetores de ataque.
• Sandboxes de malware isolam e analisam arquivos e programas suspeitos em um ambiente controlado. Elas são usadas para identificar o comportamento de malwares e avaliar ameaças potenciais.
• Ferramentas de emulação de ameaças e Red-Teaming simulam ataques cibernéticos do mundo real para ajudar organizações a avaliar sua postura de segurança e identificar vulnerabilidades.
• A tecnologia de deception implementa iscas em uma rede junto com ativos reais para atrair invasores e gerar alertas de alta fidelidade que reduzem o tempo de permanência e aceleram a resposta a incidentes.

Quem deve estar envolvido na caça a ameaças?

Analistas de segurança experientes em ferramentas de detecção e caça a ameaças são os participantes mais essenciais em seus esforços de caça a ameaças, liderando o monitoramento e a análise de alertas, rastreando comportamentos suspeitos, identificando indicadores de ataque (IOAs) e muito mais. Organizações menores podem empregar apenas um analista em tempo integral, enquanto as maiores podem ter equipes consideráveis de centro de operações de segurança (SOC) ou serviços gerenciados.

Outros profissionais de suporte importantes geralmente incluem:

• Analistas de inteligência sobre ameaças para destilar inteligência sobre ameaças em contexto crítico e indicadores de comprometimento.
• Equipes jurídicas e de conformidade para ajudar na adesão aos requisitos legais e regulatórios.
• Executivos e membros do conselho tomam decisões de alto nível sobre estratégia, recursos humanos e orçamento.

O que você precisa para começar a caçar ameaças?

Sua organização precisa de quatro coisas essenciais para caçar ameaças de forma eficaz:

1. Uma equipe de caçadores e analistas qualificados. Se você tem uma equipe de segurança interna, invista em treinamento e desenvolvimento contínuos para ajudá-los a proteger sua organização contra ameaças sofisticadas e em evolução.
2. A combinação certa de tecnologias de caça a ameaças e ferramentas automatizadas, incluindo plataformas de SIEM, soluções de EDR, ferramentas de NTA e plataformas de inteligência sobre ameaças.
3. Acesso a logs, dados de tráfego de rede, dados de comportamento e outros para garantir que seus caçadores de ameaças tenham uma visão completa do cenário de ameaças.
4. Uma estrutura estratégica clara para caça a ameaças, com objetivos e estratégias definidos que se alinham com sua tolerância a riscos e postura de segurança.

O papel da Zscaler na caça a ameaças

Os especialistas em caça a ameaças da Zscaler ThreatLabz buscam anomalias nos 500 trilhões de pontos de dados que atravessam a maior nuvem de segurança do mundo, identificando e detectando atividades maliciosas, bem como ameaças emergentes.

A Zscaler ThreatLabz utiliza inteligência sobre ameaças e ferramentas proprietárias para caçar proativamente táticas, ferramentas e procedimentos (TTPs) reveladores de ameaças que vão desde os grupos adversários mais sofisticados até malware comum, permitindo uma cobertura abrangente das ameaças atuais.

Esses pontos de dados também são usados para treinar modelos de aprendizado de máquina para detecções mais rápidas e amplas. Essa abordagem proativa contribui para identificar e bloquear 9 bilhões de possíveis ameaças diariamente, antes que elas possam afetar nossos clientes ou causar danos.