Threat hunting: como cacar ameacas que passaram pelos alertas automaticos

Por que alertas automáticos não bastam

Todo ambiente corporativo com um mínimo de maturidade tem antivírus, firewall e algum tipo de monitoramento. Esses controles trabalham por regra: existe uma assinatura conhecida, um comportamento catalogado, um limiar configurado — e quando algo cruza essa linha, o alerta dispara. O problema é justamente esse: o alerta só existe porque alguém, em algum momento, já viu aquele ataque antes e escreveu a regra. Ameaças novas, ou antigas com pequena variação, passam por baixo do radar sem gerar um único evento.

Há ainda um segundo problema, mais silencioso: o atacante moderno raramente precisa de malware. Uma vez que ele obtém uma credencial válida — via phishing, vazamento em base pública ou senha reaproveitada — tudo o que ele faz no ambiente é tecnicamente legítimo. Login bem-sucedido, acesso a compartilhamento de rede, uso de PowerShell, cópia de arquivo. Nenhuma dessas ações é maliciosa por si só. A técnica tem nome: living off the land, viver da terra, usar as próprias ferramentas do sistema operacional para não deixar rastro de instalação.

O resultado prático aparece em todos os relatórios de resposta a incidentes do mercado: o tempo médio entre o comprometimento inicial e a detecção continua sendo medido em semanas ou meses, não em horas. Nesse intervalo, o invasor mapeia a rede, escala privilégios, localiza os backups e só então executa a fase visível do ataque — geralmente a criptografia dos dados ou a exfiltração. Quando o alerta finalmente dispara, o estrago já está feito.

O que é threat hunting na prática

Threat hunting, ou caça de ameaças, é a inversão dessa lógica. Em vez de esperar o alerta, o analista parte da premissa de que o ambiente já pode estar comprometido e sai procurando evidências disso. É um trabalho de investigação orientado por hipótese, não por notificação. A pergunta deixa de ser "o que o sistema me avisou hoje?" e passa a ser "se um atacante estivesse aqui dentro há trinta dias, que rastro ele teria deixado?".

A distinção importa porque muda completamente o método. Detecção automática é reativa, contínua e cobre o conhecido. A caça é proativa, episódica e cobre o desconhecido. Uma não substitui a outra — a caça alimenta a detecção. Cada padrão malicioso descoberto manualmente deve virar uma regra nova, para que aquele mesmo comportamento passe a disparar alerta automaticamente na próxima vez. Sem esse ciclo de retroalimentação, a caça vira exercício isolado e o esforço se perde.

Uma caçada que não encontra nada não é uma caçada perdida. É uma hipótese eliminada, uma lacuna de visibilidade descoberta ou uma regra de detecção nova. O único resultado ruim é não caçar.

Existe um mito de que threat hunting é atividade exclusiva de grandes corporações com centro de operações de segurança 24 horas e equipe dedicada. Não é verdade. Uma empresa de médio porte com um analista competente, acesso aos logs certos e duas horas semanais reservadas já extrai valor real da prática. O que muda é a escala e a frequência, não a viabilidade.

Telemetria mínima: sem log, não há caça

Caçar sem dados é adivinhação. Antes de formular qualquer hipótese, é preciso garantir que a empresa esteja registrando e retendo os eventos certos. A boa notícia é que a maior parte dessa telemetria já existe nos sistemas — só não está sendo coletada, centralizada ou guardada tempo suficiente.

O conjunto mínimo viável para uma PME brasileira típica inclui:

• Autenticação — logs de logon e falha de logon do Active Directory e do Microsoft 365, com IP de origem, dispositivo e método de autenticação. É a fonte mais rica que existe e a mais subutilizada.
• Criação de processos — registro de qual executável foi iniciado, por qual processo pai e com qual linha de comando. Nos endpoints Windows, o Sysmon cobre isso muito melhor que o log nativo.
• Conexões de rede de saída — que máquina falou com qual destino externo, em qual porta e por quanto tempo. Firewall e proxy entregam isso.
• Consultas DNS — nome resolvido, máquina que perguntou, horário. Canal de comando e controle quase sempre passa por DNS.
• Alterações em grupos privilegiados — quem entrou em Domain Admins, quem ganhou permissão de administrador local, quem criou conta de serviço.
• Eventos de backup — jobs cancelados, políticas de retenção alteradas, repositórios removidos. Atacante mira o backup antes de criptografar.

Retenção é tão crítica quanto coleta. Guardar sete dias de log em um ambiente onde o tempo médio de permanência do invasor é de semanas equivale a não guardar nada. O mínimo defensável são noventa dias de eventos de autenticação e trinta dias de telemetria de endpoint. Onde o custo de armazenamento pesa, uma estratégia escalonada funciona bem: dados quentes e pesquisáveis por trinta dias, arquivo frio e compactado por um ano.

Formulando hipóteses que valem o tempo

Uma boa hipótese de caça é específica, testável com os dados disponíveis e ancorada em uma técnica conhecida de adversário. "Verificar se há algo estranho na rede" não é hipótese — é desejo. "Verificar se alguma conta de serviço autenticou fora do horário comercial a partir de IP não corporativo nos últimos trinta dias" é hipótese: tem escopo, tem fonte de dado e tem critério de resultado.

Um bom ponto de partida é derivar hipóteses do framework MITRE ATT&CK, que cataloga táticas e técnicas reais de atacantes. Para uma PME brasileira, as caçadas com melhor retorno costumam ser:

1. Autenticação anômala em contas de serviço — contas de serviço têm comportamento previsível: mesmo host, mesmo horário, mesmo tipo de logon. Qualquer desvio merece investigação.
2. PowerShell codificado — execução com parâmetro -EncodedCommand, -nop ou -w hidden é raro em uso administrativo legítimo e comum em ataque.
3. Ferramentas de acesso remoto não homologadas — instalação de AnyDesk, TeamViewer ou similar em máquina que não deveria ter. Atacante adora usar RMM legítimo como backdoor.
4. Beaconing — conexões de saída para o mesmo destino em intervalo regular, com pouco volume de dados. É a assinatura comportamental de um canal de comando e controle.
5. Regras de encaminhamento de e-mail — criação de regra de caixa de entrada que copia mensagens para endereço externo. Sinal clássico de comprometimento de e-mail corporativo, o golpe do boleto alterado.
6. Acesso massivo a arquivos — uma conta que abre centenas de documentos em minutos está fazendo reconhecimento ou preparando exfiltração.

Cada hipótese deve terminar em uma de três saídas: falso positivo documentado, achado que vira incidente, ou lacuna de visibilidade identificada. Essa última é frequentemente a mais valiosa — descobrir que não existe log para responder a pergunta é, em si, um resultado acionável.

Sinais que nenhum alerta dispara

Alguns indicadores de comprometimento são invisíveis para ferramentas automáticas porque exigem contexto de negócio para serem interpretados. A máquina não sabe que aquele usuário está de férias, que aquela conta pertence a um funcionário desligado ou que ninguém no financeiro tem motivo para acessar a pasta de engenharia.

Vale procurar ativamente por:

• Contas dormentes que acordaram — usuário sem logon há noventa dias que autentica de repente, especialmente fora do horário.
• Autenticação legada — protocolos antigos como IMAP, POP3 ou SMTP básico no Microsoft 365 contornam o MFA. Se ainda estão habilitados, são a porta preferida do atacante.
• Fadiga de MFA — sequência de solicitações de aprovação negadas seguida de uma aprovação. Indica que o usuário cedeu ao bombardeio de notificações.
• Tarefas agendadas novas — persistência via agendador do Windows é discreta e sobrevive a reinicialização.
• Contas locais de administrador criadas fora do padrão — nomes plausíveis como "svc_backup" ou "adminsup" criados em um único endpoint.
• Compactação incomum — arquivos .zip, .rar ou .7z grandes surgindo em pastas temporárias. É o estágio de preparação para exfiltração.
• Desativação seletiva de proteção — exclusão de pasta adicionada ao antivírus, ou serviço de proteção parado em uma máquina só.

Nenhum desses sinais é conclusivo isoladamente. O valor está na correlação: uma conta dormente que acorda, autentica por protocolo legado, cria tarefa agendada e depois compacta arquivos não é coincidência — é uma linha do tempo de ataque. A caça consiste exatamente em montar essa sequência a partir de fragmentos que, separados, pareciam ruído operacional.

Como estruturar a prática na sua empresa

Threat hunting não precisa nascer maduro. O caminho mais realista para uma empresa que nunca fez começa com um ciclo mensal simples: escolher uma hipótese, verificar se existe telemetria para testá-la, executar a consulta, documentar o resultado e transformar o que foi aprendido em regra de detecção. Uma hipótese por mês, bem executada, vale mais que um programa ambicioso que morre no segundo mês.

A documentação é o que separa caça de curiosidade. Cada caçada merece um registro com data, hipótese testada, fontes consultadas, período coberto, resultado e ação tomada. Esse histórico evita repetição de trabalho, acelera a próxima investigação e serve como evidência de diligência em auditoria ou em processo de conformidade com a LGPD. Também expõe padrões: se três caçadas seguidas esbarraram na mesma falta de log, a prioridade de investimento ficou clara sozinha.

É aqui que a parceria com um provedor de TI especializado muda a economia da operação. A Duk Informática & Cloud atende mais de 550 empresas há mais de 18 anos e é Microsoft Gold Partner — o que significa acesso direto à telemetria do Microsoft 365 e do Defender, além de experiência acumulada em incidentes reais de mercados diversos. Com data center próprio em Alphaville e suporte 24/7 com SLA, a Duk estrutura a coleta e a retenção de logs, define o calendário de caçadas, executa as investigações e converte cada achado em detecção automatizada — sem que a empresa precise montar e sustentar uma equipe interna dedicada.

O objetivo final não é ter um analista caçando o dia inteiro. É reduzir progressivamente a superfície de coisas que só a caça manual encontra, empurrando cada descoberta para dentro do sistema automático. Uma prática de threat hunting bem conduzida se mede pelo encolhimento do território desconhecido, ano após ano.