Detecção e Prevenção (Visão Geral)

A detecção e prevenção de intrusões compõem o pilar reativo da segurança defensiva. Enquanto o controle de perímetro (firewalls, DMZ) tenta barrar ameaças antes que entrem, as tecnologias de detecção e prevenção assumem que o atacante já está dentro — seja por vulnerabilidade explorada, credencial vazada, malware entregue por email ou insider malicioso. O objetivo é identificar o comportamento anômalo o mais rápido possível e conter o dano antes que ele se propague.

1. Tipos de Ameaças Detectadas

2. Ferramentas e Suas Funções

2.1 IDS (Intrusion Detection System)

Sistema passivo que monitora tráfego ou eventos e gera alertas. Não bloqueia. Pode ser baseado em assinaturas (Snort, Suricata) ou em anomalias (modelos de ML). Implementação típica em span port ou TAP em links críticos.

2.2 IPS (Intrusion Prevention System)

Versão ativa do IDS: intercepta e bloqueia o tráfego malicioso em tempo real. Pode operar inline (L2/L3) ou como módulo de NGFW. Combina assinaturas (regras Suricata/Snort VRT, ET Pro) com heurísticas e reputation feeds.

2.3 SIEM (Security Information and Event Management)

Plataforma centralizadora de logs que agrega eventos de múltiplas fontes (firewalls, endpoints, AD, appliances), aplica regras de correlação, dashboards e alertas. Soluções: Splunk ES, IBM QRadar, Microsoft Sentinel, Elastic Security, Google Chronicle, Exabeam. Suporta MITRE ATT&CK mapping e consultas SIEM Query Language (SPL, KQL, KQL).

2.4 SOAR (Security Orchestration, Automation and Response)

Camada de orquestração que executa playbooks automatizados: enriquecer alertas (consultar VirusTotal), isolar host (revogar certificado, desligar porta de switch), abrir ticket no ServiceNow. Soluções: Palo Alto XSOAR, Splunk SOAR, IBM Resilient, Tines, Torq.

2.5 EDR / XDR

• EDR (Endpoint Detection and Response): agente instalado em workstations/servidores que coleta telemetria (processos, rede, arquivo, registro) e envia para análise central. Capaz de isolar host, matar processo, deletar artefato.
• XDR (Extended Detection and Response): evolução que integra telemetria de endpoint + rede + identidade + nuvem em uma plataforma única. Reduz overhead de tooling e melhora a correlação.

3. Pipeline de Detecção e Resposta

[1] Coleta  -->  [2] Detecção  -->  [3] Triagem (Triage)
       |                |                  |
       v                v                  v
   logs/sensores    regras/ML/IA      analista L1 + SOAR
                                           |
                                           v
                                [4] Investigação  -->  [5] Contenção
                                       (L2/L3 SOC)            |
                                                              v
                                                  [6] Erradicação + Remediação
                                                              |
                                                              v
                                                  [7] Lições Aprendidas (Post-Mortem)

4. Métricas-Chave (KPIs)

• MTTD (Mean Time To Detect): tempo médio entre a ocorrência do incidente e sua detecção. Mercado: horas a dias; alvo maduro: < 1h.
• MTTA (Mean Time To Acknowledge): tempo médio até um analista começar a tratar o alerta.
• MTTR (Mean Time To Respond/Recover): tempo médio para conter e erradicar a ameaça. Mercado: dias; alvo maduro: < 24h.
• MTTC (Mean Time To Contain): tempo até isolamento do ativo comprometido.
• Dwell Time: tempo total que o atacante permanece na rede sem ser detectado. Média global em 2023 (Mandiant): ~16 dias.

5. Caso Prático: Ransomware Detection Pipeline

1. Email com anexo .docm chega ao usuário (Provedor de email)
2. Word executa macro que baeca payload (SocGholish)
3. EDR detecta processo filho suspeito (powershell.exe spawn de Word)
   --> Alerta "Suspicious Parent-Child Process" enviado ao SIEM
4. SIEM correlaciona com regra "Office spawning PowerShell"
   --> MTTD: 12 segundos
5. SOAR dispara playbook:
   - Consulta VirusTotal para o hash do payload (malicioso, score 67/87)
   - Isola host da rede (mantém apenas canal de gestão com EDR)
   - Revoga tokens Kerberos do usuário
   - Abre ticket ServiceNow prioridade P1
6. Analista L2 investiga, identifica persistence via WMI subscription
7. Erradicação: reimage do host, reset de senha do usuário
   --> MTTR: 4 horas
8. Pós-morte: regra nova "Bloquear macros em .docm externo"

6. Frameworks e Modelos

• MITRE ATT&CK: matriz de táticas e técnicas usadas por atacantes (14 táticas, ~200 técnicas). Base para mapear alertas e medir cobertura.
• Cyber Kill Chain (Lockheed Martin): 7 fases — Recon, Weaponize, Deliver, Exploit, Install, C2, Actions on Objective.
• NIST SP 800-61: ciclo de resposta a incidentes (Prepare, Detect, Contain, Eradicate, Recover, Post-Incident).
• ISO/IEC 27035: equivalente internacional do NIST 800-61.

7. Modelos de Operação (SOC)

8. Boas Práticas

• Regra 80/20: 80% dos alertas SIEM são falsos positivos. Foco em tuning contínuo.
• Threat Intelligence Integrada: usar feeds como AlienVault OTX, AbuseIPDB, MISP para enriquecer alertas.
• Teste com Purple Team: simular técnicas MITRE e medir cobertura de detecção.
• Integração com Identidade: UEBA + SIEM detectam comportamentos anômalos de usuários (login fora de horário, geovelocidade impossível).

9. Resumo Técnico

10. Conclusão

Detecção e prevenção evoluíram de meros detectores baseados em assinatura para plataformas integradas (XDR/SIEM+SOAR) capazes de automatizar resposta em segundos. A maturidade de um SOC não se mede pela quantidade de ferramentas, mas pela qualidade dos playbooks, pela acurácia das detecções (baixo falso positivo) e pela redução das métricas MTTD/MTTR. Em ambientes modernos, a detecção deve cobrir todas as camadas (rede, endpoint, identidade, nuvem) e operar com base em frameworks como MITRE ATT&CK e NIST 800-61.