1. O Desafio da Detecção em Ambientes Heterogêneos
Em infraestruturas corporativas modernas com múltiplos servidores de banco de dados, clusters de contêineres e controladores de domínio, as soluções antivírus tradicionais de endpoint falham em detectar ataques sofisticados baseados em movimentos laterais, abuso de privilégios e exploração de vulnerabilidades de rede.
A necessidade de atender a auditorias rigorosas de ISO 27001 e PCI-DSS exigiu uma arquitetura centralizada com armazenamento imutável de logs, correlação de eventos com a matriz MITRE ATT&CK e alertas automatizados de alta fidelidade para o time de SOC.
2. Topologia de Defesa em Camadas
A arquitetura de segurança foi dividida em três componentes fundamentais:
Wazuh Manager & Agents
Agentes leves coletando eventos de sistema, auditoria de integridade de arquivos (FIM), conformidade com CIS Benchmarks e logs do Active Directory.
Suricata DPI Engine
Inspeção profunda de pacotes (Deep Packet Inspection) operando em portas espelho (SPAN) da rede para identificar scanners de vulnerabilidade, tráfego C2 e payloads maliciosos.
OpenSearch Indexing
Cluster de indexação distribuída de alta vazão, retenção com particionamento temporal e dashboards analíticos em tempo real.
3. Decoders e Regras Customizadas no Wazuh
Para consolidar logs de múltiplas fontes como firewalls corporativos e consoles de segurança centralizadas (como o Kaspersky Cloud Console), criamos decoders XML dedicados que extraem campos essenciais (IP de origem, usuário, severidade e vetor de ataque):
<!-- /var/ossec/etc/rules/custom_suricata_rules.xml -->
<group name="soc,network_attack,suricata,">
<rule id="100250" level="12">
<if_sid>87000</if_sid>
<match>SURICATA ALERT: Exploit Attempt</match>
<description>Suricata: Tentativa de exploit e evasão detectada na rede interna</description>
<mitre>
<id>T1190</id>
<id>T1046</id>
</mitre>
</rule>
<rule id="100251" level="10">
<if_sid>100250</if_sid>
<same_source_ip />
<frequency>3</frequency>
<timeframe>60</timeframe>
<description>Suricata: Múltiplos ataques originados do mesmo host (Ação de Mitigação)</description>
</rule>
</group>4. Correlação de Eventos e Enriquecimento de Ameaças
Um dos diferenciais da esteira foi conectar o Wazuh Active Response a scripts em Python. Quando um host exibe comportamento anômalo com severidade superior a 10:
- O IP de origem tem sua reputação consultada instantaneamente em bases de Threat Intelligence.
- Regras temporárias de isolamento são injetadas no firewall de borda ou no iptables local via SSH/API.
- Um webhook estruturado com os dados forenses é disparado para o canal do Microsoft Teams do time de operações.
Resultados Práticos e Impacto Operacional
A consolidação da esteira resultou na redução de 80% nos alertas de falso-positivo, conformidade técnica comprovada em auditorias da ISO 27001 e PCI-DSS, e tempo de investigação de incidentes reduzido de horas para minutos.