Threat hunting: o que é, como funciona e por que alertas não bastam
Threat hunting é a busca proativa, guiada por hipóteses, por ameaças que já estão no ambiente e passaram despercebidas pelas detecções automáticas. Em vez de esperar um alerta, o analista parte de uma suspeita fundamentada, procura evidências nos dados e, se encontra algo, transforma o achado em resposta e em detecção nova.
Por que alertas não bastam
Regras de detecção só encontram o que alguém já previu. Atacantes que usam ferramentas legítimas do sistema, credenciais válidas ou técnicas novas podem não gerar alerta nenhum. O threat hunting reduz o tempo em que um invasor fica no ambiente sem ser notado.
Tipos de threat hunting
- Guiado por hipótese: parte de uma técnica conhecida do MITRE ATT&CK e verifica se ela aparece nos dados.
- Guiado por inteligência: usa indicadores (IPs, domínios, hashes) e táticas de campanhas recentes para buscar sinais no ambiente.
- Guiado por anomalia: compara o comportamento atual com o histórico de usuários, máquinas e aplicações.
O ciclo de um threat hunt
- Hipótese: o que pode estar acontecendo e por quê.
- Coleta: quais logs e por qual período responder à pergunta.
- Investigação: consultas, correlação e análise do contexto.
- Resposta: se a ameaça for confirmada, o caso segue o fluxo de incidente.
- Nova detecção: o padrão encontrado vira regra, para não depender de outro hunt.
Exemplos de hipóteses
- Abuso de OAuth no Microsoft 365 por aplicativos de terceiros com permissões excessivas.
- Persistência por tarefas agendadas em servidores Windows.
- Contas administrativas criadas fora da janela autorizada.
- Acesso a buckets de nuvem por identidades desconhecidas.
Cada hipótese é mapeada a técnicas do MITRE ATT&CK, o que permite medir a cobertura ao longo do tempo.
Threat hunting com IA
A IA amplia o alcance do hunt. Quando surge um indicador novo, agentes de IA podem buscá-lo de forma retroativa em toda a base de logs, enriquecer o resultado com reputação, MITRE ATT&CK e CVE e entregar ao analista um caso pronto para investigar. O analista continua formulando as hipóteses e decidindo o que é incidente.
Como medir um programa de threat hunting
- Hipóteses testadas no período.
- Detecções novas criadas a partir dos hunts.
- Cobertura de técnicas do MITRE ATT&CK.
- Incidentes encontrados por hunt e não por alerta.
Como o CyberWatch faz threat hunting
No CyberWatch MA, o threat hunting é multiagente: busca retroativa na base de logs, monitoramento da superfície de ataque externa e priorização de CVEs pelo que está sendo explorado. As descobertas realimentam a biblioteca de detecções do cliente.
Serviço de MDR · O que é MDR · CyberWatch na Tripla
Perguntas frequentes
O que é threat hunting?
É a busca proativa por ameaças que escaparam das detecções automáticas, conduzida por analistas a partir de hipóteses, inteligência de ameaças ou anomalias de comportamento.
Qual a diferença entre threat hunting e monitoramento?
O monitoramento reage a alertas gerados por regras. O threat hunting procura ameaças que não geraram alerta.
Threat hunting pode ser automatizado?
Partes dele, sim: buscas retroativas, enriquecimento e correlação podem ser feitos por IA. A formulação da hipótese e a decisão sobre o que é incidente continuam com o analista.
Com que frequência fazer threat hunting?
Depende do risco e do contrato. O importante é ter ciclos recorrentes e acionar um hunt sempre que surgir inteligência relevante, como uma campanha ativa no seu setor.