Blue Team Nível 2: detecção com Sigma, YARA e a Pirâmide da Dor

Com telemetria no lugar, a pergunta vira: o que, nesse mar de eventos, é malicioso? Detecção é codificar a resposta a isso — e nem toda detecção vale o mesmo.

A Pirâmide da Dor

David Bianco mostrou que indicadores têm valor desigual. Um hash ou um IP o atacante troca em segundos (dor zero). Já as TTPs — o jeito como ele age — são caras de mudar. Detectar comportamento, não artefato, é o que realmente dói no adversário e o faz desistir.

Sigma: detecção portável de logs

Sigma é o formato aberto pra escrever regras de detecção uma vez e converter pra qualquer SIEM. Você descreve o padrão no log, não a sintaxe da ferramenta — detecção que viaja.

title: processo filho suspeito do Office
logsource:
  category: process_creation
  product: windows
detection:
  sel:
    ParentImage|endswith: winword.exe
    Image|endswith: powershell.exe
  condition: sel
level: high

YARA: padrões em arquivos e memória

Onde o Sigma olha logs, o YARA casa padrões dentro de arquivos e dumps de memória. É a ferramenta pra reconhecer famílias de malware e artefatos — essencial no Nível 4, na forense.

Mapeie pro ATT&CK

Toda regra deve declarar qual técnica detecta. Assim você mede cobertura, enxerga as lacunas e prioriza o que escrever em seguida. Detecção sem mapa é detecção sem direção.

Bloquear um hash para um script kiddie. Detectar uma TTP para o adversário de verdade.

Mas e o que nenhuma regra pegou? Aí entra a caça.