TH.7 - Técnica de Grouping

Controle TH.7 do grupo HNT (Threat Hunting) da seção "15 - Framework CTH - Controles".
Deriva do Capítulo 12 do PDF de referência, seção 12.2. Formaliza a técnica de grouping, que agrupa
atividades em torno de um artefato comum para revelar escopo, campanhas e relações invisíveis na
análise evento a evento, com aplicação direta nas hipóteses do TH.6.

1. Contexto e Posicionamento no Framework CTH

O grouping revela padrões que são invisíveis quando os eventos são analisados isoladamente. Um evento de execução de PowerShell pode ser benigno; cem eventos agrupados em torno do mesmo processo pai, do mesmo horário e do mesmo usuário podem ser uma intrusão inteira. Ao agrupar eventos por atributos comuns, como processo pai, IP de origem, usuário ou parâmetros de linha de comando, o hunter identifica campanhas coordenadas, comportamentos repetitivos anômalos e relações entre eventos que, isolados, pareceriam inofensivos.

No Framework CTH, o TH.7 é uma técnica de execução: a hipótese do TH.6 define o que procurar e o grouping define um método para responder à pergunta "onde mais esse artefato apareceu e quem mais foi tocado". O TH.7.1 estabelece a exigência mínima de agrupar eventos por, pelo menos, dois atributos relevantes à hipótese, documentando a escolha e a justificativa. Essa documentação evita que o agrupamento seja decisão implícita e não verificável do analista.

A técnica ocupa posição complementar no conjunto de execução do grupo HNT. O TH.8 (stack counting) responde "o que é raro", e o TH.9 (clustering) responde "o que se comporta de forma similar"; o grouping responde "o que anda junto por causa de um artefato compartilhado". Nos hunts de movimento lateral e de comunicação C2, é o método primário, pois adversários deixam rastros em cadeia ao longo da infraestrutura e das vítimas.

2. Definição e Fundamento da Técnica

Grouping é o ato de reunir todas as atividades observadas em torno de um artefato comum, para revelar o escopo do comprometimento e o padrão de comportamento associado. O artefato funciona como âncora: um hash de binário, um domínio de C2, um remetente de e-mail, um nome de serviço criado ou um processo pai incomum. A partir da âncora, o hunter enumera as entidades vizinhas tocadas, como hosts, usuários, caminhos, processos e horários, e constrói a história da atividade.

O fundamento analítico é o pivoting no Modelo Diamante. Um artefato pertence a um vértice, tipicamente infraestrutura ou capacidade, e o grouping cruza o vértice com as vítimas tocadas e com o adversário presumido. Um hash (capacidade) revela as máquinas (vítima); um domínio de C2 (infraestrutura) revela os hosts que chegaram até ele; o remetente de uma campanha (infraestrutura) revela os destinatários alvo. Cada agregação cruza vértices e enriquece o quadro do incidente.

É importante separar grouping de simples filtragem. Filtrar por um valor mostra apenas eventos daquele valor; agrupar produz um inventário das entidades envolvidas e de suas relações, com contagens, primeira e última ocorrência e distribuição temporal. O resultado do grouping é, portanto, uma mini-base de conhecimento sobre o artefato, utilizável por outros analistas e pelo processo de resposta.

3. Artefatos de Agrupamento Típicos

A escolha do artefato deve derivar da hipótese e da qualidade da telemetria, e não da conveniência. Um hash recente de sandbox é âncora forte, mas só existe se a organização coleta hashes; um domínio de C2 é âncora forte enquanto a infraestrutura durar. O TH.7.2 recomenda manter consultas padrão de grouping, por processo pai, IP de origem e usuário, em repositório compartilhado, para que a técnica seja aplicada em minutos e não em horas.

4. Passos Práticos de Aplicação

• Escolher o artefato de agrupamento: partir da hipótese do TH.6 e da fonte de dados disponível no DAT.x, e registrar o motivo da escolha. Se a hipótese trata de entrega por e-mail, a âncora inicial é o remetente, o domínio ou o anexo; se trata de persistência, é o binário ou o serviço.
• Agregar os eventos por esse artefato: executar a agregação com contagens por entidade, primeira e última ocorrência e distribuição temporal. O objetivo é um quadro numérico do grupo, e não uma lista infinita de eventos crus.
• Examinar as entidades vizinhas: para cada linha do grupo, listar hosts, usuários, processos pais, caminhos e destinos associados. Valores que aparecem em muitas máquinas ou em horários anômalos merecem prioridade de análise.
• Expandir o grupo por pivoting: escolher a entidade vizinha mais forte, como um usuário ou um caminho de arquivo, e repetir a agregação usando-a como nova âncora. O TH.7.4 formaliza esse grouping multinível, como agrupar por IP de origem, depois por processo pai e depois por linha de comando.
• Documentar escopo, linha do tempo e veredito: registrar quem foi tocado, quando começou e terminou, e a conclusão do hunt, benigno, suspeito ou malicioso, com as evidências que sustentam o veredito.

O ritmo recomendado é de iterações curtas: agregação, leitura do quadro, escolha de um pivô forte, nova agregação. Três ou quatro iterações bem documentadas costumam bastar para transformar um indicador isolado em um escopo acionável de incidente. Quando o grupo cresce sem critério, o erro é voltar à hipótese e restringir a pergunta, e não acumular pivôs aleatórios.

5. Exemplo Completo: Grouping por Hash de Executável

Cenário derivado do TH.6: a CTI reporta loader entregue por phishing e o sandbox fornece o hash do binário. A hipótese é que o loader executou em estações da organização. O primeiro passo é agrupar todas as execuções por hash, para medir o escopo em máquinas e usuários.

// Escopo do artefato: todas as execuções do hash no ambiente
let hash_alvo = @'<sha256_do_binario>';
DeviceProcessEvents
| where SHA256 =~ hash_alvo
| summarize
    Maquinas = dcount(DeviceName),
    Usuarios = dcount(InitiatingProcessAccountName),
    PrimeiraVez = min(Timestamp),
    UltimaVez = max(Timestamp),
    ProcessosPai = make_set(InitiatingProcessFileName),
    Caminhos = make_set(FolderPath)
  by SHA256
| extend Prioridade = iff(Maquinas >= 10, "Alta", "Media")

O quadro agregado responde o escopo, mas a investigação precisa da lista de entidades tocadas. A segunda consulta enumera máquina, usuário, caminho e horário, ordenada cronologicamente, e alimenta diretamente o registro do hunt e, se confirmado, a resposta a incidentes.

DeviceProcessEvents
| where SHA256 =~ @'<sha256_do_binario>'
| distinct DeviceName, InitiatingProcessAccountName, FolderPath, Timestamp
| order by Timestamp asc

Em SPL, a mesma agregação de escopo se escreve de forma direta, com a vantagem de casar o hash em qualquer campo indexado, como Hashes do Sysmon.

index=endpoint sourcetype=sysmon EventCode=1
| where sha256 = "<sha256_do_binario>"
| stats dc(host) as maquinas dc(user) as usuarios
        min(_time) as primeira_vez max(_time) as ultima_vez
        values(parent_process) as processos_pai by sha256

A leitura do resultado segue o padrão do exemplo clássico da técnica: a maioria das execuções parte de pais esperados, e um grupo pequeno e coerente se destaca. Em um hunt real sobre PowerShell, o agrupamento por processo pai revelou execuções originadas de winword.exe, que caracterizavam macros maliciosas abrindo payload, confirmando campanha de phishing com T1566.001. O valor do grouping está exatamente nesse contraste entre o grupo dominante benigno e o grupo raro e coerente.

6. Quando o Grouping É a Técnica Certa

A regra prática é simples: se existe um artefato forte e a pergunta é de alcance, o grouping é o método. Se a pergunta é de raridade, o TH.8 é mais direto; se a pergunta é de similaridade sem artefato compartilhado, o TH.9 é o caminho. Os três métodos combinam bem em um mesmo hunt, com o grouping frequentemente encerrando a fase de escopo.

7. Riscos e Limitações da Técnica

O maior risco é agrupar por artefato fraco, o que gera grupos sem sentido analítico. Um binário legítimo assinado e amplamente distribuído, um domínio popular de serviço de nuvem ou um processo pai presente em toda a organização produzem grupos gigantes, dentro dos quais qualquer padrão se perde. A fraqueza do artefato não é visível na consulta, que executa normalmente; ela aparece na interpretação, e por isso a escolha da âncora exige justificativa documentada.

O segundo risco é a falsa sensação de escopo completo. Um hash cobre apenas aquela versão exata do arquivo; variantes recompiladas ou empacotadas escapam, e o grupo parece encerrado quando não está. Domínios trocam de IP, remetentes rotacionam e serviços mudam de nome. A mitigação é combinar âncoras complementares, como hash, nome do binário e padrão de linha de comando, e registrar as lacunas de cobertura no resultado do hunt.

Há ainda o viés de confirmação, que o grouping amplifica quando o analista já "sabe" o que procura. Ao expandir o grupo por pivôs, existe a tentação de seguir apenas os caminhos que confirmam a suspeita e ignorar entidades benignas no grupo. A disciplina é registrar todos os pivôs testados, inclusive os que descartaram a hipótese, e submeter o escopo final à revisão por pares, alinhada ao espírito do TH.6.4.

8. Registro do Resultado e Conversão em Detecção

O resultado do grouping deve ser registrado como parte do relatório do hunt: âncora utilizada, atributos de agregação, entidades tocadas, linha do tempo e veredito. Esse registro permite que a resposta a incidentes atue com escopo fechado, que a CTI correlacione o artefato com a campanha no TIP e que o grupo seja revisitado quando novos dados forem coletados. Um grouping não documentado é trabalho perdido, pois o escopo terá de ser reconstruído do zero.

Quando o padrão do grupo é estável, ele se converte em detecção permanente pelo DET.x. Um agrupamento que revelou winword.exe spawnando cmd.exe, por exemplo, vira regra de criação de processo; um agrupamento por nome de serviço suspeito vira regra sobre o evento 7045.

title: Execução de binário da campanha HYP-2025-021 em host corporativo
status: experimental
logsource:
    product: windows
    service: sysmon
detection:
    selection:
        Hashes|contains: 'SHA256=<sha256_do_binario>'
    condition: selection
tags:
    - attack.execution
    - attack.t1204.002

A detecção não substitui o grouping: ela mantém vigilância sobre o retorno do artefato conhecido, enquanto a técnica continua útil para artefatos novos. O ciclo correto é grouping revela o padrão, DET.x mantém a cobertura, e novos pivôs do grupo alimentam o acervo do TH.10 e novos registros no backlog do TH.6.

9. Salvaguardas por Nível de Maturidade

10. Erros Comuns e Integração com Outros Controles

• Agrupar por artefato fraco, como binário assinado amplamente distribuído, e tratar o grupo gigante resultante como evidência de nada ou de tudo.
• Ignorar a dimensão temporal do grupo, que é o que distingue campanha pontual de atividade recorrente ao longo de semanas.
• Tratar o grupo como veredito: agrupamento mostra associação, e a malícia só é declarada após validação das evidências em cada entidade tocada.
• Não documentar os atributos escolhidos, violando o TH.7.1 e impossibilitando a reprodução do escopo por outro analista.
• Encerrar o hunt no primeiro pivô, sem expandir o grupo pelas entidades vizinhas mais fortes identificadas na agregação.

A integração com o restante do Framework CTH é ampla. O TH.6 fornece a hipótese e o critério de sucesso; o DAT.x garante a telemetria que sustenta a agregação; o PLT.x fornece os artefatos de campanha do TIP como âncoras; o DET.x recebe as conversões em regras; o IR.x recebe o escopo fechado; o MET.x mede quantos hunts usaram grouping e com qual taxa de conversão. Com o TH.8 e o TH.9, o grouping completa a tríade de agregação que transforma telemetria bruta em investigação estruturada.