Publicar on Sandson Costa

[PRODUÇÃO]Playbook não é Runbook: Entenda as diferenças e como aplicar cada um na prática

Thu, 29 May 2025 00:26:48 -0300

1. Introdução

No universo das operações de segurança, é comum observarmos profissionais utilizando indistintamente os termos “playbook” e “runbook”, como se fossem sinônimos. Frases como “Segue o playbook para executar essa ação” ou “Criei um runbook para responder a esse tipo de incidente” são frequentes, mas tecnicamente imprecisas.

Embora ambos sejam documentos fundamentais para a operação de um SOC, playbook e runbook possuem propósitos, estruturas e níveis de abstração completamente diferentes. Esta confusão conceitual pode comprometer a eficiência operacional, causar inconsistências na resposta a incidentes e dificultar a maturação dos processos de segurança.

[PRODUÇÃO] Kerberos: Introdução e Conceito

Sat, 24 May 2025 13:06:33 -0300

TL;DR

1. Introdução

Este é o primeiro artigo de uma série dedicada exclusivamente a ataques e defesa em ambiente Windows. Neste artigo, vamos explorar os princípios básicos, a arquitetura dos componentes e o fluxo de autenticação, oferecendo uma base sólida para quem deseja entender a teoria de como o protocolo Kerberos funciona.

O conteúdo deste artigo tem como foco os fundamentos e é completamente teórico e voltado ao aprofundamento acadêmico. A leitura pode exigir atenção, mas, ao final, você terá um entendimento claro e estruturado sobre o protocolo. Particularmente falando, acredito ser de suma importância antes de avançarmos para temas como ataque e defesa, que serão abordados nas próximas sessões.

[standby]Engenharia e Blue Team: Desconstruindo logs do Windows e AD para uma detecção proativa no SIEM

Tue, 18 Mar 2025 00:48:13 -0300

1. Introdução

No cenário atual de segurança cibernética, a correta interpretação dos logs do Windows e dos objetos do Active Directory é essencial para identificar ameaças e responder de forma proativa a incidentes. Este artigo aborda como a integração entre o time de Engenharia – responsável pelo parsing e tratamento dos dados no SIEM – e o Blue Team potencializa a detecção de anomalias e ataques sofisticados.

2. Contextualização dos Logs do Windows e do Active Directory

Logs do Windows: Registros que documentam eventos do sistema, aplicações e segurança, fundamentais para rastrear atividades e identificar comportamentos suspeitos. Active Directory (AD): Estrutura hierárquica que organiza usuários, computadores e recursos de rede, onde cada objeto tem sua função e relevância para o controle de acesso e monitoramento. A compreensão destes elementos é crucial para construir um SIEM que realmente agrega valor à segurança da organização.

[standby]Desenvolvendo uma metodologia de Threat Hunting orientada por Inteligência

Wed, 12 Mar 2025 15:06:04 -0300

1. Introdução

O Threat Hunting é uma prática crucial para a cibersegurança moderna, focada na identificação de adversários antes que causem danos significativos. Neste artigo, propomos uma metodologia estruturada e orientada por inteligência para a condução de atividades de hunting de maneira eficaz e repetitiva. A metodologia apresentada é projetada para proporcionar uma abordagem proativa, detalhada e baseada em inteligência, alinhando-se aos objetivos da organização e permitindo respostas rápidas e eficientes.

Restringindo e auditando a escrita em C:\Users\Public via GPO

Wed, 04 Dec 2024 16:12:08 -0300

1. Introdução

C:\Users\Public é um dos poucos diretórios do Windows com caminho previsível, presente em toda instalação e gravável por qualquer usuário interativo sem elevação. Essa combinação faz dele um local recorrente de staging em intrusões: loaders baixam o segundo estágio para lá, scripts de persistência copiam binários para lá e ferramentas de ransomware usam a pasta para deixar utilitários e notas antes da execução. No MITRE ATT&CK, esse comportamento aparece principalmente em T1074.001 (Local Data Staging) e T1105 (Ingress Tool Transfer), seguido de execução (T1059, T1204).