Ao longo do curso, cada aula ofensiva terminou com contramedidas defensivas. Agora dedicamos um bloco inteiro à perspectiva do defensor — e começamos pela disciplina que transforma o conhecimento das ameaças em detecção concreta: a detection engineering (engenharia de detecção). É a prática de construir, testar e manter as regras e os sistemas que detectam atividade maliciosa. E aqui o curso revela seu propósito mais profundo: tudo que você aprendeu sobre como atacar é exatamente o que te torna capaz de detectar ataques — porque você sabe o que procurar. Laboratório com um SIEM de teste, sempre.

Não se detecta o que não se vê

Comece pelo conceito central e pela infraestrutura que o sustenta. Detecção começa com visibilidade: você não pode detectar o que não consegue ver. Isso significa coletar dados — logs de sistemas, eventos de endpoint (do EDR, aula Evasão de EDR e Living off the Land: o estado da arte), tráfego de rede, logs de aplicações, eventos de nuvem — e centralizá-los onde possam ser analisados. A ferramenta central é o SIEM (Security Information and Event Management), que agrega logs de toda a organização num só lugar, permitindo correlacioná-los e analisá-los (lembra da centralização de logs da aula Ocultação de rastros: o que muda quando o hacking é ético — o SIEM é onde ela se concretiza, e a razão de proteger os logs contra a ocultação de rastros). Sobre esses dados coletados, a detection engineering constrói a lógica que identifica o que é malicioso.

O conhecimento ofensivo vira detecção

O que significa construir uma detecção? Significa definir a lógica que identifica atividade suspeita ou maliciosa nos dados coletados. Uma detecção é, essencialmente, uma regra: "se ocorrer o padrão X, gere um alerta". E aqui o conhecimento ofensivo do curso se torna ouro puro — porque, para criar boas detecções, você precisa saber o que os atacantes fazem. Você aprendeu que atacantes fazem dump do LSASS (aula Escalação de privilégios em Windows: tokens, serviços e SYSTEM), usam Pass-the-Hash (aula Pass-the-Hash, Pass-the-Ticket e a reutilização de credenciais), executam PowerShell ofuscado (aula PowerShell ofensivo: a linguagem nativa do alvo Windows), fazem enumeração massiva de LDAP com SharpHound (aula Active Directory ofensivo: fundamentos e enumeração com BloodHound), limpam logs (aula Ocultação de rastros: o que muda quando o hacking é ético), estabelecem beacons de C2 (aula Frameworks de Comando e Controle (C2): a infraestrutura da operação). Cada uma dessas técnicas deixa rastros nos dados, e a detection engineering é a arte de escrever a lógica que reconhece esses rastros. Você detecta o dump do LSASS monitorando acessos suspeitos a esse processo; detecta a limpeza de logs alertando sobre o evento de limpeza; detecta o beacon de C2 identificando conexões periódicas e regulares. Conhecer o ataque é conhecer o que procurar.

Sigma: a regra portável

Um padrão de referência para escrever detecções de forma portável é o Sigma, que sua ementa tocava. O Sigma é um formato genérico e aberto para escrever regras de detecção — uma "linguagem comum" que pode ser traduzida para o formato específico de qualquer SIEM. Isso resolve um problema real: cada SIEM tem sua própria sintaxe de consulta, então uma regra escrita para um não funciona em outro. O Sigma permite escrever a lógica de detecção uma vez, de forma abstrata, e convertê-la para o SIEM que você usa — e, crucialmente, permite compartilhar detecções pela comunidade (há repositórios abertos de regras Sigma para técnicas conhecidas). É o equivalente, para detecção, do que o STIX/TAXII (aula Diamond Model e Indicadores de Comprometimento: as pegadas do atacante) é para threat intelligence — um padrão que permite colaboração. Uma regra Sigma descreve, de forma estruturada, o padrão a detectar (por exemplo, os campos de log que indicam uma limpeza de eventos de segurança) e o alerta a gerar.

A Pirâmide da Dor reaparece

O conceito que dá qualidade à detecção é a hierarquia de valor da Pirâmide da Dor (aula Diamond Model e Indicadores de Comprometimento: as pegadas do atacante), que reaparece com força aqui. Lembre: detectar por hashes e IPs (a base da pirâmide) é fácil de burlar — o atacante muda o hash, troca o IP, e sua detecção falha. Detectar por TTPs (o topo da pirâmide) — os comportamentos do atacante — é muito mais robusto, porque mudar de comportamento é caro e difícil para o adversário. Boas detecções miram comportamento: não "alerte sobre este hash específico de mimikatz" (trivial de evadir mudando o binário), mas "alerte sobre qualquer processo acessando a memória do LSASS de forma suspeita" (o comportamento que o mimikatz precisa fazer, independentemente de como se disfarça). A detection engineering madura foca nas TTPs mapeadas ao MITRE ATT&CK (aula MITRE ATT&CK: o dicionário do comportamento adversário) — construir cobertura de detecção para as técnicas do ATT&CK relevantes, medindo objetivamente quais você detecta (e é aqui que a emulação de adversário da aula Emulação de adversário: automatizando o teste com Atomic Red Team e Caldera se conecta: ela testa essas detecções).

O melhor defensor pensa como atacante

O ponto conceitual que revela o propósito do curso: os melhores defensores pensam como atacantes, e a detection engineering é a prova viva disso. Todo o conhecimento ofensivo que você construiu — cada técnica, cada ferramenta, cada rastro que um ataque deixa — é precisamente o que te capacita a construir defesas eficazes. Um detection engineer que não entende ofensiva escreve regras superficiais e evitáveis; um que domina as técnicas de ataque (como você agora domina) escreve detecções que miram o cerne comportamental do que os atacantes precisam fazer. Esta é a resposta à pergunta que talvez você tenha carregado o curso inteiro — "por que aprender a atacar?": porque entender profundamente o ataque é o pré-requisito para a defesa competente. O curso te ensinou a atacar para te tornar capaz de defender de verdade.

Visibilidade e comportamento sobre indicador frágil

Do lado defensivo — e esta aula é o lado defensivo —, os princípios da detection engineering madura: garantir visibilidade (coletar os dados certos — sem os logs adequados, não há o que detectar; identificar as fontes de dados necessárias para cada técnica que se quer detectar); mirar comportamento (TTPs) sobre indicadores frágeis (a Pirâmide da Dor); mapear a cobertura ao ATT&CK (saber quais técnicas você detecta e onde estão as lacunas); usar padrões abertos (Sigma) e a inteligência da comunidade; testar as detecções com emulação de adversário (aula Emulação de adversário: automatizando o teste com Atomic Red Team e Caldera — validar que funcionam e re-validar continuamente); reduzir falsos positivos (uma detecção que alerta demais é ignorada — a fadiga de alertas é um problema real que cega o SOC); e iterar continuamente (as ameaças evoluem, e as detecções devem acompanhar). A lição culminante: a detecção é onde o conhecimento das ameaças vira proteção concreta, e o profissional que entende o ataque — como você — é quem constrói as melhores detecções.

Fontes e leituras recomendadas

Exercícios

  1. Por que "visibilidade" é o pré-requisito da detecção, e qual o papel do SIEM?

    ✓ Resposta:

    Porque não se pode detectar o que não se consegue ver — a detecção depende de coletar os dados certos (logs, eventos de endpoint, tráfego, eventos de nuvem). O SIEM é a ferramenta que agrega esses logs de toda a organização num só lugar, permitindo correlacioná-los e analisá-los, sendo onde a centralização de logs se concretiza e sobre a qual a lógica de detecção é construída.

  2. Como o conhecimento ofensivo do curso se torna diretamente útil para construir detecções? Dê dois exemplos de técnica e o rastro que ela deixa.

    ✓ Resposta:

    Porque saber o que os atacantes fazem é saber o que procurar nos dados. Exemplos: dump do LSASS (rastro: acesso suspeito à memória do processo LSASS); limpeza de logs (rastro: o evento de limpeza do log de segurança); beacon de C2 (rastro: conexões periódicas e regulares a um destino); PowerShell ofuscado; enumeração massiva de LDAP. (Dois quaisquer.)

  3. O que é o Sigma e qual problema prático ele resolve?

    ✓ Resposta:

    O Sigma é um formato genérico e aberto para escrever regras de detecção, traduzível para o formato específico de qualquer SIEM. Resolve o problema de cada SIEM ter sua própria sintaxe: permite escrever a lógica uma vez, de forma abstrata, convertê-la para o SIEM em uso, e compartilhar detecções pela comunidade.

  4. Como a Pirâmide da Dor orienta a qualidade de uma detecção, e por que detectar TTPs é mais robusto que detectar hashes/IPs?

    ✓ Resposta:

    A Pirâmide da Dor mostra que detectar hashes e IPs (base) é fácil de burlar (o atacante os troca), enquanto detectar TTPs (topo) — os comportamentos — é robusto, porque mudar de comportamento é caro e difícil. Detectar TTPs é mais robusto porque mira o que o atacante precisa fazer (ex.: acessar o LSASS), independentemente de como disfarça a ferramenta, tornando a evasão muito mais custosa.

  5. Qual é a resposta que a detection engineering dá à pergunta "por que aprender a atacar"?

    ✓ Resposta:

    A resposta é que entender profundamente o ataque é o pré-requisito para a defesa competente: todo o conhecimento ofensivo é o que capacita a construir detecções eficazes, que miram o cerne comportamental do que os atacantes precisam fazer. Aprende-se a atacar para se tornar capaz de defender de verdade — os melhores defensores pensam como atacantes.