Encontre o que não gerou alerta
Investigação ativa de sinais que os controles tradicionais não identificaram.
Segurança Gerenciada
Inteligência de Ameaças e Caça Proativa
Encontre atividade maliciosa que não gerou alerta. Analistas da UPX cruzam inteligência de ameaças externa com a telemetria do seu ambiente para investigar comportamentos que passam pelas defesas tradicionais.
Empresas que confiam na UPX
Visão geral
Ataques sofisticados usam credenciais legítimas, ferramentas nativas do sistema e movimentações discretas para permanecer no ambiente sem disparar regras de detecção.
SIEM, EDR e XDR encontram o que já conhecem. A caça proativa parte de outra pergunta: em vez de esperar um alerta, os analistas formulam hipóteses com base em inteligência de ameaças e procuram evidências de que algo já esteja acontecendo.
| Aspecto comparado | Detecção tradicional | Caça proativa |
|---|---|---|
| Ponto de partida | Alerta gerado por SIEM, EDR ou XDR | Hipótese orientada por inteligência |
| O que encontra | Ameaças conhecidas, com assinatura ou regra | Comportamentos sem assinatura |
| Depende de alerta | Sim | Não |
| Resultado | Investigação de um evento | Descoberta e uma nova regra de detecção |
Benefícios
Investigue com contexto
Inteligência sobre campanhas, técnicas e infraestrutura relevantes para o seu ambiente e setor.
Reduza o tempo de permanência
Quanto antes um adversário é encontrado, menor o impacto e o custo da resposta.
Fortaleça suas detecções
Cada descoberta pode virar regra de detecção, indicador ou hipótese para SIEM, EDR e demais controles.
Dois serviços, um programa
A inteligência define o que procurar. A caça verifica se está acontecendo no seu ambiente. Um sem o outro perde valor.
| Inteligência de AmeaçasInformações sobre ameaças, campanhas, técnicas e indicadores, organizadas no contexto do seu ambiente. | Caça Proativa (Threat Hunting)Investigação ativa, conduzida por analistas, de sinais que ainda não foram identificados pelos controles. |
|---|---|
| Indicadores de comprometimento (IOCs) | Hipóteses baseadas em inteligência |
| Táticas, técnicas e procedimentos (TTPs) | Busca de evidências na telemetria do ambiente |
| Campanhas emergentes | Validação e reconstrução de casos |
| Vulnerabilidades exploradas | Escopo, ativos, identidades e linha do tempo |
| Infraestrutura maliciosa | Encaminhamento para contenção |
| Contexto sobre adversários | Novas regras de detecção |
Como funciona
O que entra, o que a caça faz e o que sai
Um ciclo contínuo: o que é aprendido em cada rodada volta para a coleta, e a próxima caça começa de um ambiente mais bem conhecido.
Coleta
- Logs e SIEMEvento
- Telemetria do EDRLOG
- Identidade e nuvemAcesso
Investigação
Analistas UPX + automação
Investigação em curso
- Correlacionar
- Criar hipóteses
- Caçarem execução
- Investigar
Orientado por inteligênciaMITRE ATT&CK
Saída
Resultado
Evidência e contexto
- Ameaça identificada, com escopo e linha do tempo
- Recomendações para contenção e correção
- Novas regras de detecção e hipóteses
Automação para volume, analistas para decisão
IA e automação processam milhões de eventos e destacam padrões. Ameaças sofisticadas, porém, nem sempre se comportam de forma previsível: são os especialistas da UPX que conectam evidências, validam hipóteses e confirmam o que é de fato uma ameaça.
O que caçamos
Comportamentos, não assinaturas. Por isso a busca parte de hipóteses, e não de regras prontas.
Movimentação lateral
Progressão suspeita entre sistemas, identidades e ativos.
Abuso de credenciais
Autenticações e acessos incompatíveis com os padrões esperados.
Persistência
Mecanismos usados para manter acesso ao ambiente.
Evasão de defesa
Comportamentos para contornar controles de segurança.
Execuções suspeitas
Processos, scripts e atividades fora do comportamento esperado.
Indicadores de comprometimento
Evidências ligadas a arquivos, domínios, IPs e infraestrutura maliciosa.
Investigação estruturada pelo MITRE ATT&CK
As evidências encontradas são relacionadas às táticas e técnicas do framework, o que deixa claro em que ponto do ataque cada achado se encaixa.
| ID | Tática | O que investigamos | Fontes típicas |
|---|---|---|---|
| TA0001 | Initial Access | Como o acesso ao ambiente começou | E-mail, proxy, identidade |
| TA0002 | Execution | Código em execução no ativo comprometido | EDR/XDR |
| TA0003 | Persistence | Mecanismos para manter o acesso | EDR/XDR, logs de sistema |
| TA0004 | Privilege Escalation | Ganho de permissões adicionais | EDR/XDR, IAM |
| TA0005 | Defense Evasion | Contorno dos controles de segurança | EDR/XDR, logs de auditoria |
| TA0006 | Credential Access | Obtenção de credenciais válidas | Identidade, EDR/XDR |
| TA0007 | Discovery | Mapeamento do ambiente por dentro | EDR/XDR, rede |
| TA0008 | Lateral Movement | Progressão para outros sistemas | Rede, identidade, EDR/XDR |
Leitura simplificada. As táticas e técnicas avaliadas em cada caso dependem do ambiente e das fontes de dados disponíveis.
O que você recebe
O resultado de uma caça não é mais um alerta na fila. É evidência, contexto e conhecimento que volta para os seus controles.
Ameaças identificadas
Evidências e comportamentos encontrados durante as investigações.
Contexto técnico
Recomendações acionáveis
Novas detecções
Funciona com as ferramentas que você já tem
A caça usa sinais das tecnologias presentes no ambiente para ampliar o contexto das investigações. Não é preciso trocar nenhuma ferramenta.
SIEM
Logs e eventos correlacionados
EDR / XDR
Processos e atividade de endpoint
Identidade
Autenticações e privilégios
Cloud
Logs de plataforma e auditoria
Rede
Conexões e tráfego
CTI
Inteligência externa
FAQ
Perguntas frequentes
Qual a diferença entre inteligência de ameaças e caça proativa?
A inteligência de ameaças reúne informações sobre adversários, campanhas, técnicas e indicadores. A caça proativa usa esse contexto para procurar ativamente, dentro do seu ambiente, sinais de que essas ameaças já estejam presentes.A caça depende de um alerta para começar?
Não. A caça parte de hipóteses formuladas a partir de inteligência e do conhecimento do ambiente, justamente para encontrar atividades que não geraram alerta.Já tenho SIEM e EDR. Por que preciso de caça proativa?
SIEM e EDR detectam o que suas regras e assinaturas conhecem. Ataques que usam credenciais legítimas e ferramentas nativas podem passar sem alerta. A caça usa os dados dessas mesmas ferramentas para procurar esses comportamentos.Preciso trocar minhas ferramentas de segurança?
Não. O serviço trabalha com as tecnologias já presentes no ambiente, como SIEM, EDR/XDR, identidade, cloud e rede.As investigações seguem algum framework?
Sim. As investigações são estruturadas pelo MITRE ATT&CK, relacionando cada evidência às táticas e técnicas usadas por adversários.O serviço substitui um SOC 24/7?
Não. A caça complementa o monitoramento contínuo. Ela pode ser contratada de forma independente ou integrada ao SOC 24/7 da UPX, que conduz a contenção e a resposta quando uma ameaça é confirmada.
Comece agora
Avalie a caça proativa no seu ambiente
Converse com um especialista para definir escopo, fontes de dados e metas.