Ameaças do Windows

Compatível com:

Neste documento, apresentamos uma visão geral dos conjuntos de regras na categoria Ameaças do Windows, as fontes de dados necessárias e a configuração que pode ser usada para ajustar os alertas gerados por esses conjuntos de regras.

Esses conjuntos de regras fornecem um contexto imediatamente acionável, por meio de detecções e alertas, indicando o que deve ser investigado mais a fundo com base nos dados de alerta do endpoint. Eles ajudam a melhorar o monitoramento de ocorrência de segurança e a capacidade de triagem, permitindo que você se concentre em alertas e casos (coleções de alertas) que são mal-intencionados e acionáveis. Essas análises selecionadas permitem priorizar a resposta a alertas de endpoint, fornecer mais contexto para investigações e melhorar o monitoramento de ocorrência de segurança usando registros de endpoint.

Os conjuntos de regras na categoria "Ameaças do Windows" ajudam a identificar ameaças em ambientes do Microsoft Windows usando registros de detecção e resposta de endpoints (EDR). Essa categoria inclui os seguintes conjuntos de regras:

  • PowerShell anômalo: identifica comandos do PowerShell que contêm técnicas de ofuscação ou outro comportamento anômalo.
  • Atividade de criptomoedas: atividade associada a criptomoedas suspeitas.
  • Hacktool: ferramenta disponível sem custo financeiro que pode ser considerada suspeita, mas que pode ser legítima dependendo do uso da organização.
  • Info Stealer: ferramentas usadas para roubar credenciais, incluindo senhas, cookies, carteiras de criptomoedas e outras credenciais confidenciais.
  • Acesso inicial: ferramentas usadas para conseguir a execução inicial em uma máquina com comportamento suspeito.
  • Legítimo, mas usado de forma indevida: software legítimo que é conhecido por ser usado para fins maliciosos.
  • Binários Living off the Land (LotL): ferramentas integradas aos sistemas operacionais Microsoft Windows que podem ser usadas por agentes de ameaças para fins maliciosos.
  • Ameaça nomeada: comportamento associado a um agente de ameaças conhecido.
  • Ransomware: atividade associada a ransomware.
  • RAT: ferramentas usadas para fornecer comando e controle remotos de recursos de rede.
  • Redução da postura de segurança: atividade que tenta desativar ou diminuir a eficácia das ferramentas de segurança.
  • Comportamento suspeito: comportamento suspeito em geral.
  • Ameaças da linha de frente da Mandiant: esse conjunto de regras contém regras derivadas da investigação e resposta da Mandiant a incidentes ativos em todo o mundo. Essas regras abrangem TTPs comuns, como execução por meio de intérpretes de script (T1059), execução do usuário (T1204) e execução de proxy binário do sistema (T1218).
  • Ameaças emergentes da Mandiant Intel: esse conjunto de regras contém regras derivadas de campanhas de inteligência e eventos significativos da Mandiant, que abrangem atividades geopolíticas e de ameaças de alto impacto, conforme avaliado pela Mandiant. Essa atividade pode incluir conflitos geopolíticos, exploração, phishing, malvertising, ransomware e comprometimentos da cadeia de suprimentos.
  • Priorização de alertas para endpoints: esse conjunto de regras usa o recurso anteriormente encontrado no produto Mandiant Automated Defense - Alert, Investigation & Prioritization. Esse conjunto de regras identifica padrões como os seguintes:
    • Progressão de ataque: recursos internos que mostram vários sinais de comprometimento que, quando considerados em conjunto, aumentam a probabilidade de o sistema estar comprometido e, portanto, devem ser investigados.
    • Malware em recursos internos: recursos internos que mostram sinais de que o malware chegou ao sistema de arquivos e precisa ser investigado. Os invasores geralmente preparam códigos maliciosos no sistema de arquivos após uma tentativa de exploração bem-sucedida.
    • Ferramentas de invasão não autorizadas: recursos internos que mostram atividade de ferramentas de exploração, indicando comprometimento do sistema. As ferramentas de exploração são softwares ou ferramentas de invasão disponíveis publicamente que podem ser usadas para ganhar e ampliar o acesso a sistemas e são usadas por invasores e equipes vermelhas. A observação dessas ferramentas precisa ser investigada se o uso não for explicitamente autorizado por um sistema ou conta.
    • Comportamentos incomuns de processos: recursos internos em que executáveis comuns estão sendo usados de maneira incomum são um forte indicador de um host comprometido. A ocorrência de comportamentos incomuns de "Living off the Land" precisa ser investigada.

O conjunto de regras de ameaças emergentes da Mandiant Intel e o conjunto de regras de priorização de alertas para endpoints estão disponíveis com uma licença do Google Security Operations Enterprise Plus.

Dispositivos e tipos de registro compatíveis

Nesta seção, listamos os dados necessários para cada conjunto de regras.

Os conjuntos de regras na categoria Ameaças do Windows foram testados e são compatíveis com as seguintes fontes de dados de EDR compatíveis com o Google SecOps:

  • Carbon Black (CB_EDR)
  • Microsoft Sysmon (WINDOWS_SYSMON)
  • SentinelOne CF (SENTINELONE_CF)
  • EDR do SentinelOne (SENTINEL_EDR)
  • Crowdstrike Falcon (CS_EDR)

Os conjuntos de regras na categoria Ameaças do Windows estão sendo testados e otimizados para as seguintes fontes de dados de EDR compatíveis com o Google SecOps:

  • Tanium
  • Cybereason EDR (CYBEREASON_EDR)
  • Lima Charlie (LIMACHARLIE_EDR)
  • OSQuery
  • Zeek
  • Cylance (CYLANCE_PROTECT)

Entre em contato com seu representante do Google SecOps se estiver coletando dados de endpoint usando um software de EDR diferente.

Para uma lista de todas as fontes de dados compatíveis com o Google SecOps, consulte Analisadores padrão compatíveis.

Campos obrigatórios para a categoria de ameaças do Windows

A seção a seguir descreve os dados específicos necessários para que os conjuntos de regras na categoria de ameaças do Windows tenham o maior benefício. Verifique se os dispositivos estão configurados para registrar os dados a seguir nos logs de eventos do dispositivo.

  • Carimbo de data/hora do evento
  • Nome do host: nome do host do sistema em que o software de EDR está em execução.
  • Processo principal: nome do processo atual que está sendo registrado.
  • Caminho do processo principal: local no disco do processo em execução, se disponível.
  • Linha de comando do processo principal: parâmetros de linha de comando do processo, se disponíveis.
  • Processo de destino: nome do processo gerado que está sendo iniciado pelo processo principal.
  • Caminho do processo de destino: local no disco do processo de destino, se disponível.
  • Linha de comando do processo de destino: parâmetros da linha de comando do processo de destino, se disponíveis.
  • SHA256\MD5 do processo de destino: checksum do processo de destino, se disponível. Isso é usado para ajustar os alertas.
  • ID do usuário: o nome de usuário do processo principal.

Conjunto de regras de priorização de alertas para endpoints

Esse conjunto de regras foi testado com as seguintes fontes de dados de EDR compatíveis com o Google SecOps:

  • Microsoft Defender for Endpoint alertas do log_type MICROSOFT_GRAPH_ALERT
  • Threats do SentinelOne do log_type SENTINELONE_ALERT
  • Alertas do CrowdStrike Falcon Event_DetectionSummaryEvent do log_type CS_EDR

Campos de UDM usados na priorização de alertas para endpoints

A seção a seguir descreve os dados de campo do UDM necessários para o conjunto de regras de priorização de alertas para endpoints. Se você modificar o analisador padrão criando um analisador personalizado, não mude o mapeamento desses campos. Se você mudar a forma como esses campos são mapeados,poderá afetar o comportamento desse recurso.

Nome do campo de UDM Descrição
metadata.event_type Um tipo de evento normalizado.
metadata.product_name É o nome do produto.
security_result.detection_fields["externall_api_type"] Campos para filtrar eventos de interesse.
security_result.threat_name Uma classificação atribuída pelo fornecedor de uma ameaça, como uma família de malware.
security_result.category_details A categoria de malware específica do fornecedor
security_result.summary Um resumo do alerta.
security_result.rule_name Um nome de alerta fornecido pelo fornecedor.
security_result.attack_details Usado para identificar táticas e técnicas do Mitre ATT&CK.
security_result.description Uma breve descrição do alerta.
security_result.action Ação realizada pelo controle.
principal.process.file.names O nome do arquivo do processo em execução.
principal.process.file.full_path Local no disco do processo em execução, se disponível.
principal.process.command_line Parâmetros de linha de comando do processo, se disponíveis.
principal.asset.hostname Nome do host do sistema em que o software de EDR está em execução.
principal.hostname Nome do host do sistema em que o software de EDR está em execução.
principal.user.userid O nome de usuário do processo principal.
target.file.full_path O nome do arquivo com que o principal está interagindo.
target.file.md5/sha256 Checksum do arquivo de destino, se disponível.

Ajuste de alertas retornados pela categoria de ameaças do Windows

É possível reduzir o número de detecções que uma regra ou um conjunto de regras gera usando exclusões de regras.

Uma exclusão de regra define os critérios usados para excluir um evento da avaliação pelo conjunto de regras ou por regras específicas no conjunto de regras. Crie uma ou mais exclusões de regras para ajudar a reduzir o volume de detecções. Para mais informações, consulte Configurar a supressão de alertas.

Por exemplo, é possível excluir eventos com base nas seguintes informações:

  • principal.hostname
  • principal.process.command_line
  • principal.user.userid

Precisa de mais ajuda? Receba respostas de membros da comunidade e profissionais do Google SecOps.