UEBA: aprenda o que é normal, capture o que é estranho
O antivírus procura assinaturas de coisas ruins conhecidas. Mas um ataque real geralmente se parece com uma atividade legítima que desvia da norma — uma conta de administrador fazendo login às 3 da manhã, um dispositivo se conectando a um endereço com o qual nunca conversou. O UEBA não procura o "ruim"; ele aprende o que é normal para cada dispositivo e alerta sobre o desvio.
Como funciona — 5 passos
1. Coleta. O heartbeat do agente já carrega fatos comportamentais: processos, autoruns, pares públicos, portas em escuta. 2. Historização. O Worker extrai os fatos e os anexa a uma série temporal (device_telemetry) — esta é a pedra angular sobre a qual tudo o mais se apoia. 3. Aprendizado. Uma janela de aprendizado (14 dias por padrão) constrói um perfil para cada dispositivo: processos conhecidos, pares conhecidos, contas de login, horários típicos de atividade. 4. Detecção. Cada heartbeat é comparado ao perfil, e os desvios se tornam anomalias com uma severidade. 5. Resposta. As anomalias alimentam o painel de alertas, com a opção de contenção automática pelo canal de controle.
Exemplos de anomalias que capturamos
- Primeiro contato com um IP público com o qual o dispositivo nunca conversou (info→médio).
- Um par numa lista de C2 — cruzado com o feed Feodo (crítico).
- Um novo processo não assinado / um processo rodando a partir de temp/appdata (médio→alto).
- Nova persistência — um salto no número de autoruns / uma nova tarefa agendada (alto).
- Uma nova porta em escuta (médio).
- Login fora do horário / uma nova conta / um pico de falhas de login (alto).
Por que a marcação MITRE importa
Toda anomalia é marcada com uma técnica do ATT&CK — de modo que, em vez de "algo estranho aconteceu", você obtém "T1053 — Tarefa/Trabalho Agendado (persistência)". Isso transforma um alerta isolado em parte de uma história de ataque que você pode investigar, documentar e notificar (inclusive para fins da Emenda 13).