O que você vai desenvolver
Definir uma detecção com fontes, lógica, casos de teste, limites e processo de melhoria.
Para quem: Detection engineers, analistas de hunting e SOC N3.
Pré-requisitos
- Leitura de logs e eventos estruturados
- Conhecimentos de queries e filtros
- Conceitos de falso positivo e falso negativo
Roteiro técnico de estudo
ETAPA 01
Formule a hipótese e a estratégia
Comece por comportamento adversário, não por uma string suspeita. Especifique precondições, sequência ou contexto temporal, evento esperado, quais campos identificam ator e ativo e quais observações refutam a hipótese. Mapeamentos ATT&CK precisam refletir comportamento, não somente rótulos.
Atividades recomendadas
- Escreva uma hipótese em linguagem simples.
- Liste condições necessárias e alternativas benignas.
- Identifique técnica ATT&CK e versão de referência.
ETAPA 02
Valide o contrato de dados
Confirme que os eventos estão habilitados, normalizados, timestamp íntegro, campos acessíveis e latência aceitável. Controle perdas, mudanças de schema e variações de versão. Uma regra correta em laboratório não é eficaz se produção não coleta o evento ou transforma campos de maneira diferente.
Atividades recomendadas
- Registre host, origem, eventID e campos necessários.
- Crie teste que falhe quando um campo obrigatório estiver ausente.
- Documente custo de ingestão e retenção.
ETAPA 03
Teste detecção e ruído
Execute casos positivos e negativos autorizados e repetíveis. Registre evidências produzidas, consultas, resultados esperados, falsos positivos conhecidos e tuning aprovado. Diferencie validação de sintaxe de validação comportamental; ambas são necessárias, mas nenhuma isoladamente comprova cobertura.
Atividades recomendadas
- Monte um caso benigno e um suspeito em laboratório.
- Teste correspondência e não correspondência.
- Registre versão, data e resultado do teste.
ETAPA 04
Operacionalize e mantenha
Produza saída legível para o analista com hipótese, contexto, pivôs e ação recomendada. Defina proprietário da regra, critérios de revisão, mudanças de dados e medição de precisão. Hunting produz evidência e perguntas mesmo quando nenhuma detecção permanente é implantada.
Atividades recomendadas
- Crie um runbook curto para o alerta.
- Defina indicadores de saúde da regra.
- Registre gatilhos para revisão por alterações na fonte.
Enciclopédia desta especialidade
Consulte fichas detalhadas para eventos, protocolos, componentes e conceitos operacionais antes de avançar aos artigos.
Leituras técnicas relacionadas
Links liberados apenas quando o material foi aprovado e publicado no CMS.
- Como criar e validar uma hipótese de detecção no SOC — em preparação editorial
- MITRE ATT&CK aplicado à engenharia de detecção — em preparação editorial
- Do log ao alerta: ingestão, normalização, correlação e investigação — em preparação editorial
