Seguir
Todos os dias, o seu SOC se afoga em alertas isolados — um login suspeito aqui, um processo estranho sendo executado ali, uma conexão de saída estranha em outro lugar. Individualmente, cada um parece ser ruído. Juntos, podem ser o primeiro sinal de uma campanha coordenada de um adversário já se desenrolando dentro do seu ambiente. O problema não é a falta de dados — é a falta de conexão.
Attack Chains muda essa equação. Em vez de pedir aos seus analistas que manualmente unam dezenas de sinais de baixa confiança, Attack Chains faz isso automaticamente — correlacionando resultados de varreduras históricas no seu SIEM, EDR/XDR e Data Lake (Prime Hunt), ou fluxos de eventos em tempo real à medida que são gerados, antes que esses dados cheguem ao seu SIEM (Prime Detect). De qualquer forma, ele não correlaciona contra um conjunto de regras estático e genérico — ele correlaciona contra Ameaças Ativas: ameaças reais e recém-identificadas conforme são publicadas para detectar possíveis Attack Chains antes que se tornem incidentes confirmados. Isso significa que sua lógica de detecção só está tão atualizada quanto o próprio cenário de ameaças.
Onde encontrá-lo: Attack Chains vive como sua própria aba dentro de ambos Prime Hunt and Prime Detect. Se você estiver trabalhando com dados históricos, vá para Prime Hunt → Attack Chains. Se você quiser correlação em tempo real antes que os dados cheguem ao seu SIEM, vá para Prime Detect → Attack Chains.
Sempre Vigilante ao que é Novo
Uma vez dentro de Attack Chains, a aba Ameaças Monitoradas mostra todas as Ameaças Ativas contra as quais seu ambiente está sendo correlacionado. Attack Chains se mantém atualizado sem nenhum esforço da sua parte. No momento em que uma nova ameaça é identificada, ela já faz parte do que seu ambiente está sendo verificado — sem esperar por uma atualização de regra, sem ciclo de pesquisa manual. Você ainda decide o que é mais importante para a sua organização, focando a correlação nas ameaças mais relevantes para o seu setor ou perfil de risco.
Ative ou desative ameaças individuais, ou aplique ações em massa para gerenciar várias de uma vez — diretamente da lista de Ameaças Monitoradas — assim o escopo de correlação sempre reflete o que realmente importa para a sua organização.
E se a cobertura de detecção de uma ameaça não estiver realmente funcionando — seja porque ainda não foi analisada ou porque uma regra não está devidamente conectada — você verá isso imediatamente, em vez de descobrir depois. Aqui está como isso se parece:
Uma marca de verificação verde significa que a cobertura de detecção de uma ameaça está completamente implementada. Um rótulo de problema sinaliza uma lacuna — clique nele para ver exatamente o que está faltando.
A Imagem que Attack Chains Oferece
Depois que uma cadeia se forma, não é apenas um amontoado de eventos correlacionados — é uma história pronta para investigação, tanto a nível de programa quanto caso a caso.
À primeira vista, sua Visão Geral de Attack Chains oferece um pulso em tempo real sobre sua exposição geral: quantas cadeias foram construídas, quantas ameaças ativas estão sendo atualmente observadas, quantos hosts estão envolvidos e quanto da sua cobertura de detecção está realmente disparando. É o tipo de resumo que transforma “estamos sendo alvos?” em um número que você pode verificar em segundos.
Clique em qualquer cadeia individual na aba Attack Chains , e sua equipe recebe:
- Um resumo gerado por IA da atividade detectada, para que os analistas tenham contexto imediato
- Uma linha do tempo visual das técnicas dos adversários, mostrando exatamente como o ataque progrediu passo a passo — com técnicas já confirmadas por regras de detecção, além de atividades capturadas através de correspondência de padrões vaga (Prime Hunt)
- Atribuição de atores e técnicas, mapeada para frameworks padrão da indústria, para que a delimitação e construção de contexto comecem imediatamente em vez de começarem do zero
- Uma correspondência clara, mostrando quão de perto a atividade está alinhada com um padrão de ataque conhecido — para que sua equipe saiba exatamente como tratar isso com seriedade
- Contexto completo de ativos e ambiente — qual host, qual parte da sua infraestrutura, e qual de suas fontes de dados registrou ele — assim não há adivinhação sobre onde olhar a seguir
- Um caminho direto de volta aos seus instrumentos existentes, permitindo que os analistas pivotem diretamente para os eventos subjacentes sem perder tempo ou contexto
- Um rastro de investigação embutido, acompanhando o status da Attack Chain do primeiro detecção até completamente resolvida, e nada se perde pelo caminho
Ruído de baixa confiança é filtrado pela IA, então o que chega à sua equipe por padrão é o que realmente merece sua atenção — com a opção de investigar tudo o mais quando escolherem.
Reunindo Tudo: Configurando a Correlação de Attack Chain
Com a inteligência de ameaça e a imagem que ela produz em mente, aqui está como você diz ao Attack Chains exatamente como correlacioná-la:
- Defina o limite de formação da cadeia — a porcentagem mínima da sequência de técnicas de uma ameaça que deve ser atingida antes que Attack Chains sejam formadas
- Defina a janela de correlação — quão próximos no tempo os eventos devem ocorrer para serem correlacionados
- Defina a janela de busca retrospectiva — quão atrás a engine busca ao procurar por eventos relacionados (Prime Hunt somente)
- Escolha suas fontes de dados — inclua ou exclua fontes de SIEM, EDR/XDR e Data Lake (Prime Hunt) ou tópicos (Prime Detect) alimentando a correlação, e opcionalmente inscreva automaticamente novas à medida que são adicionadas
- Revise as configurações de compartilhamento de dados — dados de nome de host precisam ser transmitidos e armazenados para que a correlação funcione, o que pode requerer consentimento explícito (Prime Hunt)
-
Salve e clique em Executar — O monitoramento de Attack Chain está ativo a partir desse ponto, verificando continuamente seu ambiente contra as ameaças mais recentes à medida que surgem
