Detection as Code: Gestão de Regras de Deteção no Git
Detection as Code começa com uma pergunta ou comportamento a ser detetado, continua com a definição de telemetria e lógica, e termina com testes, Tuning, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.
Threat Hunting e Detection Engineering transformam o conhecimento do comportamento do adversário em questões mensuráveis, fontes de dados e regras de deteção. O objetivo não é gerar mais alertas, mas sim melhorar a cobertura e a qualidade da decisão. Este artigo foca-se em Detection as Code e destina-se a equipas avançadas de Deteção e SOC. O objetivo é fornecer um método de trabalho que possa ser implementado na prática, em entrevistas profissionais e no ambiente de trabalho, sem se contentar com uma definição de dicionário.
O principal desafio é que os dados estão quase sempre incompletos. repository, pull request, lint podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos o teste em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.
O cenário prático neste artigo é: Estrutura de Repositório de Exemplo sem código malicioso. Todos os exemplos são dados de laboratório ou descrições de processos. Ao lidar com Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização expressa, Scope definido e capacidade de parar o teste.
