Utilizar o Sophos XDR Threat Intelligence Explorer

O Threat Intelligence Explorer permite pesquisar a informação sobre ameaças da Sophos Counter Threat Unit (CTU) no Sophos Fusion (anteriormente Sophos Central). Pode pesquisar famílias de malware, análises e grupos de ameaça conhecidos e comparar o contexto descrito com Detections do próprio ambiente. Uma entrada nesta base de conhecimento não é, por si só, uma ocorrência no próprio tenant nem um comprometimento confirmado.

O percurso resumido: abrir Security Operations > Threat Intelligence, pesquisar através de Malware, Threat Report ou Threat Group, ler os detalhes disponíveis e distinguir Related Detections de Related Detectors. Só os próprios eventos mostram se o contexto pesquisado é relevante para um Case concreto.

Requisitos e limites

O Explorer exige uma licença XDR ou Enterprise. Este processo descreve a vista Security Operations. Threat Analysis Center continua disponível como vista Classic; por isso, os runbooks existentes de investigação e Cases ainda podem apresentar esse percurso de menu. Não misture as designações das duas vistas.

A CTU atualiza a sua informação a partir de investigações de resposta a incidentes, observação global de ameaças, análises técnicas de malware e campanhas e colaboração com parceiros e autoridades. Esta informação descreve o panorama de ameaças; as Detections e os Events do tenant descrevem a atividade observada no próprio ambiente. Uma investigação necessita de ambas as perspetivas.

Há três conceitos importantes:

Um Indicator of Compromise (IOC) é, por exemplo, um indício de possível comprometimento referido numa análise. O seu significado é avaliado em conjunto com o momento, a origem e o comportamento observado.
Um Detector é a lógica de deteção que gera uma Detection a partir de Events invulgares ou suspeitos. Um Detector relacionado não equivale a uma ocorrência já existente.
Tactics, Techniques and Procedures (TTPs) descrevem a forma de atuação de um atacante. TTPs semelhantes ou o mesmo malware não provam que um determinado grupo atacou o próprio tenant.

O Explorer é aqui um ponto de partida para pesquisa e investigação. Ler ou filtrar uma família de malware não é configurar um threat feed de firewall, uma regra de bloqueio nem uma ação de resposta.

Pesquisar antes de restringir os resultados

A barra de pesquisa no canto superior direito procura em Malware, Threat Reports e Threat Groups. Pode começar por um termo de uma Detection ou de um relatório, como Emotet. Este valor é apenas um exemplo de pesquisa; utilize o nome que realmente pretende investigar.

Em Security Operations > Threat Intelligence, abra uma das três vistas e introduza o termo de pesquisa.
Selecione um resultado concreto para consultar os detalhes. Se quiser primeiro comparar a lista de resultados, selecione View in table ou See all. A tabela correspondente é filtrada para os resultados da pesquisa.
Só depois aplique filtros adicionais. Assim, poderá perceber se um filtro mais restritivo excluiu resultados úteis.
Para iniciar outra linha de pesquisa, clique no X à direita do campo de pesquisa. Apaga a pesquisa e também repõe os filtros da tabela. Registe previamente os termos e filtros importantes no registo da investigação.

Vários filtros são úteis quando respondem a uma pergunta concreta. Pesquisar um nome de malware conhecido juntamente com uma CVE é diferente de procurar relatórios atuais de ransomware para um setor. Demasiados critérios iniciais dificultam a interpretação de uma lista vazia.

Investigar uma família de malware

Malware contém análises técnicas, IOCs e relações com atores de ameaça. Por predefinição, a tabela é ordenada primeiro pela Threat Priority definida pela CTU para ameaças importantes ou atuais e depois pela última atualização. Esta ordem prioriza a informação sobre ameaças, não a Severity de uma Detection própria.

Os filtros documentados têm finalidades diferentes:

Malware procura pelo nome da família, por exemplo Emotet ou TrickBot.
Type restringe a classificação, por exemplo Trojan, Ransomware ou Backdoor.
Threat Group procura malware relacionado com um grupo específico, como GOLD MYSTIC ou BRONZE BUTLER.
CVE procura malware que explora uma vulnerabilidade específica. Por exemplo, utilize CVE-2021-44228 se essa for precisamente a vulnerabilidade em investigação. O filtro não substitui a verificação de que os próprios sistemas estão efetivamente afetados.

Clique no nome da família para abrir o painel lateral de detalhes. Leia primeiro Malware family overview para a descrição e classificação e depois Technical details para o comportamento, as capacidades e os indicadores. Solution and mitigation contém medidas de proteção recomendadas. Compare as recomendações com a própria plataforma e a proteção já existente; não as aplique apenas por ter encontrado um resultado.

A informação relacionada aparece, quando disponível, em separadores próprios:

Threat Group indica os grupos que utilizam este malware.
Threat Report dá acesso a relatórios CTU relacionados.
Related Detections mostra dados de Detection do próprio ambiente.
Related Detectors mostra os detetores Sophos XDR que reconhecem este malware.

O ícone New Tab abre os detalhes num novo separador. A partir daí, pode copiar o URL e utilizá-lo como referência exata no registo da investigação. É mais útil do que apenas o nome da família quando vários analistas precisam de verificar a mesma entrada.

Selecionar um Threat Report para a pergunta concreta

Threat Report contém publicações CTU, como briefings diários, análises aprofundadas e avisos de ameaça. Para uma Detection concreta, comece por pesquisar malware, grupo ou CVE; para uma análise periódica do panorama de ameaças, o tema e o tipo de publicação são bons pontos de partida.

Os filtros distinguem o conteúdo da forma de publicação:

Threat Report procura pelo nome do relatório, como Daily Threat Brief ou Ransomware Analysis.
Report Type é a categoria geral de publicação, como Advisory, Analysis ou Brief.
Category designa o tipo mais específico, como Customer Advisory, Threat Analysis ou CTU TIPS.
Threat Type restringe as ameaças abordadas, por exemplo Ransomware, APT ou Cybercrime.
Threat Actor Type distingue tipos de ator, como Nation-state, Cybercriminal ou Hacktivist.
Target Geography procura o foco geográfico, como Europe ou Global.
Target Sectors restringe os setores discutidos, como Financial, Healthcare ou Government.
Threat Group, Malware e CVE procuram os grupos, famílias de malware e vulnerabilidades abordados no relatório.

Target Geography e Target Sectors ajudam a priorizar, mas não são critérios para excluir risco no próprio ambiente. Os ataques oportunistas podem afetar qualquer região e setor, mesmo sem preferência por um alvo específico. Por isso, não restrinja a análise do panorama de ameaças exclusivamente ao próprio setor.

Clique no nome do relatório e leia o painel de detalhes. Consoante o relatório, estão disponíveis Full report text, Executive summary, Technical details e Indicators of compromise. Nem todas as publicações contêm todas estas áreas. Indicators of compromise pode incluir IOCs e assinaturas relacionados. O resumo dá orientação; para a investigação, o que importa são os dados técnicos concretos e os seus limites.

Quando disponíveis, Related Detections mostra as próprias Detections e Related Detectors os detetores XDR mencionados no relatório. Também aqui, uma lógica de deteção disponível e uma ocorrência observada no tenant são duas afirmações distintas. Abra o relatório completo através de New Tab e, se necessário, copie o URL para o Case.

Tratar Threat Group como hipótese de trabalho

Threat Group descreve grupos de ameaça conhecidos e as suas TTPs. Esta vista é útil quando um relatório refere um grupo, quando pretende esclarecer um alias conhecido ou avaliar a própria defesa contra determinadas formas de atuação.

Os filtros abrangem identidade, intenção e modo de atuação:

Threat Group procura pela designação do grupo, como GOLD MYSTIC ou BRONZE ATLAS.
Thematic Area restringe o contexto temático ou regional, como Cybercrime, China ou Russia.
Aliases procura nomes alternativos, como APT1, Lazarus Group ou FIN7.
Status distingue o estado atual de atividade, como Active e Inactive.
Motivation descreve motivações, como Financial, Political ou Military.
Objectives descreve objetivos, como Financial Gain, Espionage ou Disruption.
Target Geography e Target Sectors procuram padrões geográficos ou setoriais de escolha de alvos.
Malware procura famílias relacionadas; Tools, ferramentas e técnicas utilizadas, como PowerShell, Mimikatz ou PsExec.

Também os grupos sem preferência por alvos específicos podem atingir a própria região ou setor. Uma lista vazia após aplicar um filtro de setor não significa ausência de risco.

Depois de clicar no nome do grupo, o painel apresenta Group description, com contexto e capacidades estimadas, Attribution assessment, com atribuição geográfica ou organizacional, Activity timeline, com campanhas e operações, e a análise de Tactics, Techniques, and Procedures. New Tab abre os detalhes para obter uma referência direta que pode copiar.

A Attribution assessment continua a ser uma avaliação da CTU. Não prova a autoria de um incidente próprio nem que toda a utilização do mesmo malware pertence a esse grupo. No Case, registe, por exemplo, «o comportamento corresponde às técnicas descritas» e documente separadamente os próprios Events que sustentam essa afirmação. Uma atribuição definitiva a um ator exige mais evidência do que um resultado correspondente a um nome, ferramenta ou malware.

Da informação sobre ameaças à Detection e ao Case

Threat Intelligence enriquece automaticamente as Detections com contexto relevante; vários detetores XDR utilizam estes dados para detetar ameaças. Isto não garante que todas as técnicas descritas sejam detetadas em todos os tenants. Por isso, a investigação tem de regressar do contexto aos eventos reais.

Verificar as próprias Detections

Se Related Detections apresentar ocorrências, abra uma adequada e utilize New Tab para consultar os detalhes completos da Detection. Em alternativa, pesquise em Security Operations > Detections. O período padrão é de 72 horas; para um incidente mais antigo, é necessário ajustar o período. Verifique os filtros e Include Options, para não excluir inadvertidamente Detections personalizadas ou já triadas.

Na Detection, verifique:

Em Summary, leia Affected Entities, o Detector que a originou, as informações de tempo disponíveis, Severity e Confidence. First and Last Activity descrevem os momentos dos eventos; Inserted At indica quando foram registados.
Em Events, abra os eventos que originaram a Detection. Em JSON, consulte, se necessário, os dados subjacentes da Detection. O resumo não substitui esta evidência.
Em Insights, verifique Detections relacionadas, abertas e fechadas, bem como Cases. Cases existentes podem evitar trabalho duplicado; Cases fechados fornecem contexto histórico da investigação.
Para obter mais informação sobre ameaças, clique no ícone de escudo em Affected Entities ou selecione em Entities uma entidade com esse ícone. Assim, também pode navegar de uma Detection para a informação sobre ameaças.

Para uma investigação aprofundada de processos e grafos de Endpoint, consulte o runbook de Detections e Threat Graphs. Também abrange a vista Classic. A ausência de Detections próprias numa entrada de informação sobre ameaças não comprova um tenant limpo nem telemetria completa. Se forem necessárias mais consultas, o runbook de Data Collection e Live Discover explica os dados disponíveis e o processo clássico de consulta.

Associar a evidência adequada a um Case

Antes de adicionar, verifique se já existe um Case para a mesma investigação e se pode ser editado. Cases com estado Closed são apenas de leitura, exceto Status e Archive; Cases arquivados apenas permitem Unarchive. Utilize-os primeiro como contexto histórico, não como destinos automaticamente editáveis para nova evidência, comentários ou reatribuição. Nos Cases MDR, as ações disponíveis e as opções de Assignee também dependem de quem gere o Case. Antes de alterar algo, verifique as ações efetivamente disponíveis e esclareça as opções em falta com o responsável pelo tratamento.

Para associar a evidência, distinga a ação da tabela dos detalhes completos da Detection. As instruções oficiais não utilizam sempre as mesmas designações para a vista de detalhes; por isso, não existe aqui um percurso universal de menu comprovado para todas as vistas:

Linhas selecionadas na tabela Detections: selecione as Detections pretendidas e abra Actions > Add to Case.
Detalhes completos da Detection: o guia de detalhes indica em Actions as ações diretas Add to Existing Case e Create New Case. Já o guia de Cases descreve, para Detections individuais, Actions > Add to Case, seguido da seleção de Existing Case ou New Case. Utilize a ação efetivamente apresentada para um Case existente ou novo; não procure uma designação ausente nessa vista.

Se aparecer o diálogo Add to Case, siga estes passos:

Para um Case existente, selecione Existing Case, procure e selecione o Case e guarde com Save to Existing Case.
Para um novo Case, selecione New Case, defina Case Type, opcionalmente um modelo, o título, Case Severity e Case Status. No ícone de lápis de Key Findings, acrescente os primeiros findings e o contexto e selecione depois Create New Case.

Numa seleção múltipla, confirme se serão adicionadas apenas as Detections selecionadas ou todas as Detections da tabela. Não importe uma lista inteira de resultados sem verificar. A evidência pode demorar alguns minutos a aparecer no Case; depois, abra o Case de destino e confirme a associação efetiva.

Para clientes MDR, os tipos de Case Investigation e Other exigem também Managed By. Esta seleção determina quem gere o Case e não pode ser alterada depois de definida. Antes de guardar, compare-a com a responsabilidade prevista. Alterar posteriormente Assignee não altera Managed By.

Num Case editável, registe o URL copiado da informação sobre ameaças e as afirmações concretamente utilizadas como contexto da investigação, por exemplo em Key Findings ou, se disponível, como comentário na página completa de detalhes do Case através de Comments > Comment > Save. Identifique separadamente a pesquisa e a evidência do tenant: o que diz o relatório, o que mostram os próprios Events e o que continua a ser uma hipótese? O URL, por si só, não preserva o conteúdo de uma análise que pode ser atualizada; inclua, por isso, a afirmação relevante e o momento na nota.

O guia existente de Cases e Detection Rules descreve o processo clássico. Em Security Operations, tenha em conta as variantes de designação explicadas acima e as ações apresentadas no tenant. O Explorer não substitui um analista responsável nem a decisão de contenção ou remediação.

Exemplo: investigar um indício de malware de forma rastreável

Suponha que uma Detection própria indica uma família de malware que ainda não conhece suficientemente. O exemplo seguinte não afirma que exista uma ocorrência:

Pesquise o nome real da família; Emotet é apenas um exemplo. Não selecione imediatamente um setor ou grupo adicional.
Leia a descrição, os detalhes técnicos e as recomendações de proteção. Em Threat Report, verifique um relatório disponível sobre o comportamento observado.
Em Related Detections, procure ocorrências próprias. Compare cada ocorrência relevante com o dispositivo ou entidade, a hora do evento e os Events concretos. Em Related Detectors, identifique a lógica de deteção relacionada com o contexto.
Se for indicado um grupo, compare as suas TTPs e a cronologia de atividade. Mantenha a atribuição como avaliação, mesmo que algumas características coincidam.
Associe as Detections adequadas a um Case existente ou novo. Registe no Case: a entrada de informação sobre ameaças investigada, o momento da pesquisa, os termos e filtros, as referências às próprias Detections, as correspondências comprovadas, as perguntas em aberto e o próximo responsável pelo tratamento.

Um resultado útil também pode ser que o relatório apenas forneça uma semelhança geral. Nesse caso, documente esse limite em vez de deduzir um comprometimento ou um atacante específico.

Verificar o resultado e resolver impasses frequentes

A pesquisa é rastreável quando outro analista consegue abrir a mesma entrada de informação sobre ameaças, compreender os filtros utilizados e relacionar cada conclusão com os dados das próprias Detections e Events. Ao passar a investigação para um Case, verifique também se as Detections corretas estão no Case correto e se a próxima ação está atribuída a um responsável. Se o Case for editável e a ação estiver disponível, pode selecionar esse responsável nos detalhes completos do Case em Manage Case > Assignee.

Se os resultados não corresponderem ao esperado, estas verificações ajudam:

Sem resultados de pesquisa: verifique a grafia e, para grupos, os Aliases. Remova filtros adicionais; utilize o X no campo de pesquisa para repor a pesquisa e os filtros da tabela e recomece de forma mais abrangente. Uma pesquisa vazia, por si só, nada diz sobre o risco do ambiente.
Demasiados resultados: acrescente um critério tecnicamente adequado, como Type para malware ou Report Type e Threat Type para relatórios. Em Detections, restrinja também o período. A tabela Detections está limitada a 10'000 resultados; os resultados agregados de filtros chegam, no máximo, a 1'000. Uma vista abrangente não é, por isso, um inventário completo.
Relatório sem os IOCs ou separadores esperados: os conteúdos disponíveis dependem do relatório. Leia o texto completo e a informação relacionada disponível, sem pressupor conteúdos ausentes nem uma cobertura específica.
Existem detetores, mas não ocorrências próprias: distinga o contexto do Detector da Detection observada. Verifique o período, os filtros e a telemetria disponível para a investigação. Não execute malware nem desative a proteção para testar.
Explorer indisponível: verifique primeiro a licença XDR/Enterprise e o tenant utilizado. Se faltar a nova navegação, procure avisos de transição na consola; não deduza uma falha técnica do produto a partir de um menu ausente.
Evidência ainda não visível no Case: espere alguns minutos pelo processamento e volte a verificar a seleção e o Case de destino. Não crie imediatamente um segundo Case.

A pesquisa e os filtros servem apenas para investigação; para recomeçar, basta a reposição descrita. Adicionar evidência ou comentários e, sobretudo, a escolha imutável de Managed By são, porém, alterações ao Case. Este runbook não prevê um passo universal para as desfazer. Esclareça e documente associações incorretas com o responsável pelo Case. Não feche Cases apenas para limpar a lista: o encerramento também altera as avaliações das Detections associadas.

Na operação contínua, reveja regularmente novas entradas de malware, atividades de grupos e relatórios. Os filtros de setor podem focar a análise do panorama de ameaças, mas devem complementar a visão geral. Integre as conclusões no processo de resposta a incidentes; as TTPs dos grupos são úteis para threat modeling e as análises de malware para planear e verificar as próprias medidas de proteção. Nova informação sobre ameaças justifica uma nova avaliação, não comprova automaticamente que é necessária uma alteração de configuração.