EDR e resposta a incidentes: detecção comportamental e investigação em endpoints

Fundamentos de EDR e Wazuh - Apresentação

Apresentando o curso

Olá! Seja bem-vinde ao nosso curso EDR e resposta a incidentes: detecção comportamental e investigação em endpoints. Meu nome é Ivan Grand Champs Pereira.

Audiodescrição: Sou um homem branco, de olhos castanhos e cabelos castanhos bem curtos. Visto uma camisa cinza e tenho 44 anos.

Nossa objetivo neste curso é apoiar você na área de segurança da informação, em alinhamento com EDR e resposta a incidentes.

Apresentando o instrutor

Eu tenho mais de 20 anos de carreira na área de TI e segurança da informação, onde venho atuando nos últimos anos. Tenho certificação CompTIA Security+ (Segurança+), pós-graduação em Segurança da Informação e em Liderança Digital, e bacharelado em Engenharia da Computação e em Computação Científica. Atuo em SOC (Centro de Operações de Segurança) e como gestor de segurança da informação.

Essa trajetória nos dá base para ensinar e explicar o dia a dia da área e como conseguimos atingir nosso nível de conhecimento.

Estruturando o curso

Este curso terá seis aulas, divididas em vídeos, nas quais vamos tratar de Detecção e Resposta em endpoints (pontos de extremidade).

Abordaremos os seguintes temas em cada aula.

Apresentando os tópicos das aulas

Na Aula 1, veremos o que é EDR e como ele difere de um antivírus tradicional. Estudaremos a árvore de processos para detecção comportamental e a diferença entre identificar malware (software malicioso) por hash (resumo criptográfico), isto é, pelo que ele é, e por comportamento, ou seja, pelo que ele faz. Também aprenderemos como isolar um endpoint (ponto de extremidade) para executar uma resposta ativa e impedir a propagação do malware.

Na Aula 4, trataremos da coleta de artefatos e da triagem utilizando o Velociraptor, uma ferramenta muito útil.

Detalhando os tópicos das aulas

Na Aula 5, realizaremos a varredura de artefatos maliciosos com o uso de regras YARA, uma ferramenta de segurança poderosa.

Por fim, na Aula 6, abordaremos a investigação integrada do endpoint e como construir os documentos dessa investigação.

Me acompanhe nas próximas aulas. Até as próximas aulas.

Fundamentos de EDR e Wazuh - Diferenciando antivírus tradicional do EDR

Apresentando o curso e objetivos

Olá, que bom ter você aqui novamente, começando o curso de EDR e resposta a incidentes: detecção comportamental e investigação em endpoints.

O objetivo é explicar o que diferencia um antivírus tradicional de um EDR, qual é a diferença entre eles. O que veremos na Aula 1:

• Primeiro vídeo: antivírus tradicional versus EDR.
• Segundo vídeo: telemetria do endpoint (ponto final).
• Terceiro vídeo: panorama de mercado.
• Quarto vídeo: ativação do Wazuh, habilitando o módulo EDR e XDR.
• Laboratório: verificação de um rootkit (conjunto de ferramentas para manter acesso privilegiado).

Vamos prosseguir.

Explicando o antivírus tradicional e limitações

Antivírus tradicional versus EDR. Por décadas, o antivírus tradicional foi a linha de frente de defesa da segurança da informação. Ele realizava os bloqueios de malware (código malicioso) dentro das máquinas. Chamamos de endpoints (pontos finais) os computadores de pessoas usuárias. Por muitos anos, apenas o antivírus tratou essa linha de frente. Hoje existem muitas outras ferramentas, e o EDR é uma delas.

O que é o antivírus tradicional e como ele funciona? O antivírus tradicional mantém uma lista de assinaturas de vírus, de hash (resumo criptográfico), que identifica o que é um arquivo e como ele funciona. Essa biblioteca de assinaturas fica embutida no produto. O antivírus analisa cada arquivo copiado para a máquina e compara a assinatura desse arquivo com o que está na biblioteca para alertar que existe um vírus dentro da máquina. Ele é muito eficaz contra ameaças já conhecidas, é rápido e consome poucos recursos de CPU. Porém, é completamente cego para novas variantes e outros problemas. Por isso, precisamos atualizar o antivírus diariamente, mantendo sua biblioteca sempre atualizada, pois surgem novas ameaças todos os dias. Não podemos mais atualizar a cada 30 dias; a atualização deve ser diária.

Entre as limitações, destacamos:

• Ameaças de dia zero (zero-day), que exploram vulnerabilidades desconhecidas antes mesmo de existir uma assinatura.
• Polimorfismo: um malware polimórfico altera alguns bits ou bytes a cada execução para mudar o hash e se mascarar, dificultando a detecção pelo antivírus.
• Ataques fileless (sem arquivo): não exigem arquivos gravados em disco, podendo executar diretamente na memória RAM, o que dificulta a detecção pelo antivírus tradicional.

Detalhando detecção comportamental com EDR

Para cobrir esse grande vazio, surgiu o EDR — Endpoint Detection and Response (Detecção e Resposta em Pontos Finais). Ele monitora continuamente o equipamento, incluindo processos, arquivos, rede e registro do endpoint, e não se limita à comparação por assinatura. Ele responde a perguntas como:

• Este processo está injetando código em outro processo?
• Este script PowerShell está acessando arquivos sensíveis?

O EDR analisa o comportamento de toda a árvore de processos, também realiza comparações baseadas em assinaturas, e permite bloqueio e liberação imediatos da estação. Para investigação, mantém monitoramento contínuo, com detecção, alerta e resposta. Ele consegue colocar em quarentena automaticamente, dependendo do comportamento observado. Mesmo que o malware ainda não esteja registrado na biblioteca, se o comportamento for idêntico a técnicas conhecidas no MITRE ATT&CK, o EDR vai sinalizar. Por exemplo, um script em execução que busca arquivos confidenciais ou arquivos que podem causar dano ao sistema operacional já será identificado como ameaça, com bloqueio imediato desses processos e também do arquivo.

A detecção por comportamento funciona exatamente assim: avaliamos se o arquivo é malicioso a partir do que ele faz. Exemplos:

• Um processo do Word que cria (spawn) um processo filho cmd.exe e tenta gravar em "System32".

Observamos comportamentos típicos de atividades maliciosas, como execução totalmente anônima e, em alguns casos, uso do calc.exe para gravar uma biblioteca DLL dentro da pasta "System32", o que é suspeito. Outro exemplo é um script em PowerShell que desativa o Microsoft Defender. Isso é característico de um ataque; pode ser voltado ao Microsoft Defender ou a outro antivírus para bloqueá-lo. Além disso, uma enumeração massiva de usuários do Active Directory em questão de segundos indica reconhecimento interno, mostrando que algo está varrendo o ambiente.

Nessas situações, o EDR consegue identificar processos maliciosos, utilizando, em alguns casos, um motor de inteligência artificial para efetuar os bloqueios.

Resumo de assinatura versus comportamento: no antivírus tradicional, a abordagem é estática, reativa e cega a ameaças de zero-day (dia zero). Já no EDR, nós detectamos por comportamento, de forma dinâmica e proativa, inclusive ataques fileless (sem arquivo). Isso torna a defesa mais robusta para lidar com segurança da informação atualmente.

Ampliando capacidades e integração do EDR

Analisando a Kill Chain (cadeia de ataque), o EDR atua em múltiplas fases. Na entrega, há um antivírus que age nessa etapa. Na exploração, o EDR detecta comportamentos suspeitos. Na instalação, identifica tentativas de persistência. Em comando e controle, o C2 (comando e controle), o EDR bloqueia diretamente a comunicação, entendendo que se trata de uma ação maliciosa. Assim, ao longo dessa cadeia, o EDR consegue atuar em diferentes momentos do ataque.

Entre as capacidades exclusivas do EDR, podemos realizar investigação forense com linha do tempo completa dos eventos, para entender o que ocorreu durante e após o incidente. Também é possível configurar resposta automática: isolar a estação na rede, bloquear arquivos suspeitos e capturar o arquivo para análise posterior em sandbox (ambiente isolado de testes).

O EDR também atua em Threat Hunting (caça a ameaças), permitindo que pessoas analistas busquem de forma proativa por indicadores de comportamento em toda a frota e propaguem essas ações de detecção e resposta por todo o ambiente (parque tecnológico).

EDR e antivírus são excludentes ou complementares? Na prática moderna, não são excludentes. Muitos EDRs já incluem o próprio antivírus para leitura por assinaturas, não como substituto da análise comportamental, mas como camada adicional para melhorar a defesa. O Wazuh, por exemplo, que é um EDR, integra com o ClamAV para varredura por assinaturas. Desse modo, as soluções se complementam e formam uma segurança mais sólida para os endpoints (dispositivos finais). O EDR não elimina o antivírus; ele eleva a capacidade de detecção a um nível que o antivírus, sozinho, não alcançaria. Juntos, formam uma linha de defesa mais ampla para o contexto atual, no qual a Threat Intelligence (inteligência de ameaças) muda constantemente.

Checklist — diferenças principais:

• Antivírus utiliza um banco de dados de assinaturas.
• EDR monitora continuamente o comportamento do endpoint (dispositivo final).
• Ataques fileless (sem arquivo) e de zero-day (dia zero) escapam do antivírus, mas não do EDR.
• EDR oferece à pessoa analista de segurança recursos de análise forense e de busca ativa por ameaças, além de resposta automática e proativa.

Como exercício, cite um exemplo de comportamento suspeito que o EDR detectaria. Reflita sobre algo que você já tenha observado na prática.

Encerrando a aula e indicando próximos passos

No próximo vídeo, teremos a telemetria do endpoint (dispositivo final).

Muito obrigado por vir até aqui. E até a próxima aula.

Fundamentos de EDR e Wazuh - Entendendo a telemetria de endpoint

Introduzindo a telemetria de endpoint

Olá! Vamos dar sequência na nossa aula. Seguindo com a parte 2 da Aula 1, nós vamos falar sobre a telemetria do endpoint (ponto de extremidade). O que é essa telemetria? O que precisamos observar para identificar comportamentos maliciosos?

A telemetria é o conjunto de dados que conseguimos coletar continuamente por um agente do EDR, enviado ao servidor de forma regular para análise e correlação.

Precisamos, pelo menos, dos seguintes elementos para identificar essa telemetria:

• Processos: PID, PPID, threads (linhas de execução) e os processos em execução.
• Conexões de rede: TCP, UDP, endereços IP, portas abertas e DNS.
• Arquivos: criação, modificação, exclusão e cálculo de hash (resumo criptográfico).
• Registro do Windows: chaves e valores criados e modificados, normalmente observados no regedit.

Todos esses elementos devem ser observados simultaneamente para identificar atividade maliciosa. Em segurança, ao defender um ambiente, precisamos conhecê-lo bem para entender o que está incorreto ou fora do padrão em execução. Por isso, olhar a telemetria é essencial.

Analisando telemetria de processos

Na telemetria de processos, conseguimos identificar:

• Caminho do executável: quando o executável é lançado, é possível ver seu caminho dentro do Windows.
• Argumentos: parâmetros passados ao processo, incluindo comandos maliciosos que podem ser acoplados à execução.
• PID e PPID: identificadores do processo e do processo pai, que revelam hierarquias suspeitas — mesmo quando um arquivo aparentemente benigno está envolvido.
• Usuários e hashes: quem executou o quê, e os resumos criptográficos do binário, possibilitando comparação com fontes de Threat Intelligence (inteligência de ameaças) para identificar o que está rodando e qual pessoa usuária realizou a execução.

Por que o processo pai importa? Um exemplo prático é o winword.exe (o Microsoft Word) criando um processo filho cmd.exe, o que é altamente suspeito. O Word não deveria abrir um terminal cmd.exe ou powershell.exe. Esse é um padrão clássico de ataques via macros maliciosas em documentos do Office. O EDR captura essa relação PID/PPID para disparar um alerta imediatamente.

Macros podem disparar execuções dentro do próprio Office — pode ser no Word, no Excel ou no PowerPoint. Independentemente do aplicativo, a atividade maliciosa pode ocorrer internamente e usar o pacote Office para se disfarçar. Um antivírus tradicional pode não identificar essa atividade, enquanto o EDR consegue capturá-la.

Monitorando telemetria de rede, arquivos e registro do windows

Na telemetria de rede, precisamos observar:

• Conexões TCP e UDP, IP de destino, porta, protocolo e o processo responsável pela conexão.
• Consultas de DNS, para verificar se são válidas e detectar, inclusive, comunicação com C2.
• Volume e frequência: um padrão de beaconing (sinalização periódica) para um IP externo pode indicar que um malware está se comunicando com o C2.

É importante questionar de onde vem aquele IP, por que há comunicação direta com ele e se existe persistência nessa comunicação. Esses pontos reforçam o valor de observar cuidadosamente a telemetria de rede.

Na telemetria de arquivos, devemos observar:

• Criação, modificação e exclusão.
• Cálculo de hash para identificar o arquivo de forma inequívoca.
• Permissões e tentativas de elevação de privilégio em arquivos sensíveis, o que é altamente crítico.

Existem ferramentas de mercado que trabalham exclusivamente para proteger arquivos — isso é DLP, relacionado a Data Loss Prevention (prevenção de perda de dados).

Podemos trabalhar algumas informações em outro momento. O EDR também opera nesse nível de profundidade.

Telemetria do Registro do Windows consiste em observar as chaves de registro e verificar se estão de acordo com o esperado. Podem ser criadas chaves suspeitas para persistência de malware. Em serviços, costuma-se criar serviços para executar código malicioso durante o boot (inicialização), estabelecendo persistência no sistema. Esse serviço é iniciado para realizar comunicação interna, algo que também precisamos validar. Devemos ter cuidado com as chaves "Lsa" (Local Security Authority, Autoridade de Segurança Local), que dão acesso a credenciais e podem indicar um dump (extração) de senhas com o Mimikatz, por exemplo, recuperando segredos dessas áreas.

O Registro do Windows é um componente crítico que influi nas configurações e na inicialização do sistema operacional. Precisamos observar o que o EDR já faz: ele conhece o funcionamento do Registro do Windows e quais alterações são relevantes naquele contexto.

Integrando ao siem e correlacionando telemetria

Como os dados são enviados ao SIEM? O SIEM (Security Information and Event Management, gerenciamento de informações e eventos de segurança) é a plataforma de gestão e correlação de logs. Ele pode coletar dados usando o agente do EDR, que captura eventos do endpoint (host monitorado). Em seguida, realiza a normalização desses logs em JSON ou CEF (Common Event Format), padronizando para facilitar a identificação e a leitura. Depois, transmite os dados por um canal criptografado e realiza a indexação que correlaciona e exibe as informações em um dashboard (painel). Assim, é possível correlacionar ações em andamento e gerar alertas adicionais. O EDR, portanto, auxilia na entrega dessas informações ao SIEM.

Exemplo prático de telemetria em um ataque rastreado passo a passo:

• Primeiro, a pessoa usuária abre o Word.
• Esse Word, por meio de um spawner (iniciador), abre o powershell.exe.
• Observamos a telemetria de processos e as árvores de processos.
• O PowerShell faz download de um payload (carga útil), o que aparece na telemetria de rede ao tentar estabelecer comunicação.
• Por fim, o payload é gravado em "AppData" e é criada a chave de registro Run para persistência. Nessa sequência de passos de ataque, o EDR observa a telemetria e pode bloquear o artefato antes mesmo da conclusão da execução.

O maior desafio da telemetria é o volume, pois o Windows gera milhares de eventos por segundo, inclusive em capturas diretas. Para um SIEM, precisamos calibrar muito bem. É necessário ter clareza sobre o que pode caracterizar um processo malicioso para identificar, selecionar e encaminhar o que realmente importa ao SIEM. Coletar todos os logs do Windows o tempo inteiro pode causar estouro de storage (armazenamento) em um servidor on-premises (ambiente local) ou custos muito altos em serviços na nuvem. É um grande desafio, mas o EDR consegue filtrar o ruído para diferenciar o que é malicioso do que é inerente ao funcionamento da máquina e às atividades da pessoa usuária.

Ao aplicar o SIEM, precisamos tomar cuidado na criação de casos de uso (correlação, detecção) e na definição de coletas de logs mais precisas, para não gerar demanda excessiva de throughput (taxa de transferência) nem volume desnecessário de gravação.

Em resumo, os domínios de telemetria do EDR são quatro: rede, registro, arquivos e processos. Ele oferece visibilidade contínua, com varreduras abrangentes, buscando 100% de cobertura, e trabalha proativamente sobre esses sinais. Utiliza um único agente que se comunica pela Internet com plataformas em nuvem. Mesmo em ambientes on-premises (locais), é possível configurar portas seguras com criptografia para viabilizar essa comunicação.

Com isso, no próximo vídeo, nós traremos um panorama do mercado de EDR. Muito obrigado por estar até aqui e até a próxima aula.

Sobre o curso EDR e resposta a incidentes: detecção comportamental e investigação em endpoints

O curso EDR e resposta a incidentes: detecção comportamental e investigação em endpoints possui 320 minutos de vídeos, em um total de 59 atividades. Gostou? Conheça nossos outros cursos de Blue Team & SOC em Cibersegurança, ou leia nossos artigos de Cibersegurança.

Matricule-se e comece a estudar com a gente hoje! Conheça outros tópicos abordados durante o curso:

• O que é EDR e como ele difere de antivírus tradicional