Cibersegurança e segurança da informação

Threat Hunting no Windows com Sysmon

6 min de leituraPublicado: 5 de agosto de 2026

Ilustração visual profissional sobre Threat Hunting com Sysmon na área de Threat Hunting e deteção

Resposta rápida

O Threat Hunting com Sysmon começa com uma pergunta ou comportamento a detetar, prossegue com a definição de telemetria e lógica, e termina com testes, tuning, documentação e implementação controlada. A qualidade é medida pela cobertura e capacidade de investigação.

O Threat Hunting e a Engenharia de Deteção transformam o conhecimento sobre o comportamento do adversário em perguntas mensuráveis, fontes de dados e regras de deteção. O objetivo não é gerar mais alertas, mas melhorar a cobertura e a qualidade da decisão. Este artigo foca-se no Threat Hunting com Sysmon e destina-se a analistas SOC com uma base em Sysmon. O objetivo é fornecer um método de trabalho que possa ser aplicado na prática, numa entrevista profissional e num ambiente de trabalho, sem se limitar a uma definição de dicionário.

O principal desafio é que os dados estão quase sempre incompletos. hypothesis, data requirements, query podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos o teste em torno de uma questão de investigação, evidências necessárias e um critério claro para a conclusão.

O cenário prático no artigo é: caça simulada a um LOLBin anómalo. Todos os exemplos são dados de laboratório ou descrição de processos. No caso de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização explícita, Scope definido e capacidade de parar o teste.

Seleção da Hypothesis

O tópico 'Seleção da Hypothesis' é uma parte central do trabalho em Threat Hunting com Sysmon. É aconselhável dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

Na prática, registe a hypothesis, data requirements, query, findings, pivot, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Data coverage no Sysmon

O tópico 'Data coverage no Sysmon' é uma parte central do trabalho em Threat Hunting com Sysmon. É aconselhável dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

Process e CommandLine hunts

O tópico 'Process e CommandLine hunts' é uma parte central do trabalho em Threat Hunting com Sysmon. É aconselhável dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

Network/DNS pivots

O tópico 'Network/DNS pivots' é uma parte central do trabalho em Threat Hunting com Sysmon. É aconselhável dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

Findings e conversão para Detection

O tópico 'Findings e conversão para Detection' é uma parte central do trabalho em Threat Hunting com Sysmon. É aconselhável dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

Pontos de verificação únicos

Neste tópico, é recomendável construir um mapa de evidências focado. Os principais pontos de verificação são: hypothesis, data requirements, query, findings, pivot, detection opportunity. A lista não é uma Checklist automática; cada item é escolhido porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

hypothesis: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.
data requirements: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.
query: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.
findings: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.
pivot: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.
detection opportunity: Defina qual o valor esperado, o que será considerado anómalo e qual a fonte adicional que verificará a descoberta.

Quando um dos pontos não está disponível, deve-se documentar a lacuna e escolher uma alternativa. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload estiver encriptado, usam-se Metadata, volume, frequência e o contexto TLS/DNS.

Processo de trabalho recomendado

Defina o Scope e uma questão de trabalho sobre Threat Hunting com Sysmon.
Registe as fontes de dados e as evidências necessárias: hypothesis, data requirements, query, findings.
Crie um Baseline curto de comportamento normal ou resultado esperado.
Realize o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
Construa uma Timeline ou uma tabela de comparação e separe o facto da interpretação.
Faça um Pivot para uma fonte adicional para verificar ou refutar a explicação inicial.
Resuma a decisão, as limitações, a ação recomendada e o critério de Reteste.

Cenário prático

O cenário escolhido é uma caça simulada a um LOLBin anómalo. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, um período de tempo e um resultado esperado.

No final do exercício, deve-se apresentar um produto que outro analista ou testador possa rever: uma imagem ou Export da evidência, uma Timeline curta, uma suposição inicial, uma evidência de verificação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi comprovado.

Etapa	O que é realizado	Produto
Preparação	Defina Scope, tempo e objetivo. Registe quais campos ou evidências de hypothesis, data requirements, query são esperados.	Plano de teste curto
Criação de dados	Execute uma ação segura e simulada relacionada com Threat Hunting com Sysmon, sem informações reais ou impacto num sistema de produção.	Evento/Request/Flow controlado
Recolha	Recolha a evidência bruta e o contexto de uma fonte adicional. Verifique o Time zone, os identificadores e a integridade.	Duas evidências ligadas
Análise	Escreva o que cada evidência prova, o que não prova e qual a explicação legítima possível.	Conclusão provisória
Conclusão	Escolha fechar, escalar, Finding ou Tuning; adicione uma recomendação e Retest.	Produto documentado

Checklist prático

Verificar e documentar: Hypothesis.
Verificar e documentar: técnica ATT&CK.
Verificar e documentar: Data sources.
Verificar e documentar: Detection logic.
Verificar e documentar: Expected benign behavior.
Verificar e documentar: Test cases e coverage.
Indique Time zone, versão da ferramenta e hora de recolha.
Guarde os dados brutos antes de filtrar ou alterar.
Escreva o que a descoberta prova e o que ainda é desconhecido.
Defina o proprietário e a ação de acompanhamento com um prazo.

Erros comuns

Começar com um IOC aleatório sem Hypothesis.
Mapear ATT&CK apenas pelo nome.
Escrever Rule sem Test cases.
Ignorar comportamento legítimo.
Medir Rules em vez de Coverage.
Não gerir versões.

Resumo e CTA

Threat Hunting no Windows com Sysmon é um tópico que conecta o conhecimento técnico à disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e testada novamente.

No curso Cybersecurity & AI da HPI, os alunos praticam estes princípios através de sistemas, logs e laboratórios. O passo natural seguinte é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes

O Threat Hunting com Sysmon por si só prova um ataque ou uma vulnerabilidade?

Não. Ele fornece um sinal ou uma descoberta que requer contexto, verificação e uma fonte adicional. Uma conclusão profissional baseia-se numa sequência de evidências e na conformidade com o comportamento esperado.

O que fazer quando parte dos dados está em falta?

Documentar o que falta, verificar uma fonte alternativa e reduzir o nível de confiança. Não se devem preencher campos por suposição ou apresentar 'Unknown' como normal.

Quanto tempo as evidências devem ser mantidas?

O tempo depende da política, regulamentação, custo e tipo de incidente. É importante definir antecipadamente Retention, Legal hold e a capacidade de exportar evidências num formato verificável.

Como praticar sem comprometer um sistema real?

Use máquinas virtuais, dados simulados, CTF ou um laboratório dedicado. Em testes autorizados, defina Scope, Stop conditions e backup antes de iniciar o trabalho.