Conceito e funcionamento
Uma hipótese de hunting descreve comportamento, ativos possivelmente afetados, fontes, janelas e resultados que poderiam refutá-la. A metodologia exige documentar evidências e limites, mesmo quando nada é encontrado. Diferencie coleta orientada a investigação de detecção contínua e de varredura automatizada.
Como investigar e correlacionar
Comece por TTP específico, formule consulta reproduzível e escolha amostras de atividade normal para comparação. Teste falsos positivos, campos ausentes, timezone e volume. Registre descobertas, melhorias de telemetria e quando uma hipótese merece converter-se em regra operacional.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma hipótese de hunting por autenticação atípica retorna zero achados durante indisponibilidade do coletor principal.
Procedimento orientado
Cheque saúde do pipeline, janela, esquema e fontes alternativas antes de declarar resultado negativo.
Resultado esperado
O relatório registra investigação inconclusiva por lacuna de dados e orienta instrumentação e repetição do teste.
Cuidados adicionais
Resultado vazio em consulta não comprova inexistência de adversário, especialmente quando a telemetria é parcial.
Limitações e interpretações incorretas
Não encontrar evento não prova ausência de comportamento se a coleta é parcial. Consultas amplas podem ter custo elevado e expor dados pessoais. Não apresente resultados sintéticos como incidentes reais.
Checklist de validação
- Explicitar hipótese
- Definir campos e janela
- Testar caso benigno
- Registrar achados e lacunas
Referências técnicas
Guias para aprofundar
- hipoteses deteccao efetivas — aguardando publicação editorial