Blue Team Nível 3: threat hunting

Detecção baseada em regra é reativa: ela espera o padrão conhecido aparecer. Threat hunting inverte a lógica — você assume que algo passou e vai procurar, sem esperar alerta nenhum.

O loop do hunt

Começa com uma hipótese concreta (ex.: 'um atacante usaria rundll32 para executar código fora do padrão'). Daí: colete os dados relevantes, estabeleça o baseline do que é normal naquele ambiente, e vá atrás da anomalia. O que sobra fora do baseline é o seu lead.

Técnicas que entregam

Stacking / análise de frequência (o raro é suspeito), caça a LOLBins (binários legítimos do sistema usados para o mal), detecção de beaconing (C2 que 'bate em casa' em intervalos regulares) e relações pai-filho improváveis entre processos. São padrões que raramente têm regra pronta, mas gritam quando você sabe olhar.

Caçar é assumir que o adversário já entrou — e dar a si mesmo a chance de provar que não.

Todo hunt vira conhecimento

Achou algo? Vira detecção automatizada, pra nunca mais caçar aquilo na mão. Não achou? Vira um baseline documentado e um hunt repetível. De um jeito ou de outro, a defesa amadurece.

E quando a caça encontra o adversário de verdade, começa o trabalho mais tenso: DFIR.