Blue Team · Sênior
Threat hunting com hipótese
Hunting sênior é hipótese falsificável, telemetria mínima e critério de sucesso. Sem hipótese você só passeia em log. Com hipótese, o achado vira use case.
Passear em log às 23h parece produtividade. Não é. Sem pergunta, qualquer pico vira história.
Threat hunting proativo parte de uma hipótese falsificável. Exemplo: se houver C2 over DNS, veremos subdomínios com entropia alta e poucas visitas humanas no proxy. Aí você define telemetria mínima (DNS, proxy, EDR process create) e o que conta como sucesso ou fracasso.
Hipótese da semana na NimbusCorp: contas de serviço não deveriam autenticar de forma interativa (logon type 2/10). Achado vira detecção permanente.
As perguntas pedem o nome dessa afirmação testável e os dois tipos de logon citados.
Responda as questões abaixo
Hunting proativo parte de uma afirmação que pode ser provada falsa. Isso se chama:
Qual tipo de logon Windows o material diz que conta de serviço não deveria usar de forma interativa (dois números)?
Hipótese refutada com telemetria boa vira nota: não vimos X no período Y. Isso mata ticket fantasma.
Hipótese confirmada vira use case no SIEM, com dono, limiar e data de revisão. Sênior não deixa regra órfã.
A pergunta pede o artefato no SIEM quando a hipótese se confirma.
Responda as questões abaixo
Quando a hipótese se confirma, o material diz para transformá-la em qual artefato no SIEM?