Comparar rastros de invasão (IOCs) sozinho não consegue acompanhar quando os atacantes mudam esses rastros. É aí que os IOAs baseados em comportamento ajudam. Veja o significado e como usá-los (sem passos de ataque).
IOC vs IOA — um rastro do resultado vs comportamento em andamento
IOC (Indicator of Compromise) = um rastro do resultado
- Evidência a posteriori: hashes, IPs, domínios
- Pode ser comparado mecanicamente contra o sabidamente malicioso — rápido
- Mas os atacantes o mudam facilmente
- Inerentemente reativo
IOA (Indicator of Attack) = comportamento em andamento
- O fluxo da técnica: escalonamento → movimento lateral → exfiltração
- Captura mais perto do tempo real
- Difícil de mudar (é a essência do ataque)
- Mais pesado de adotar — precisa entender a mecânica
Por que o comportamento é difícil de mudar
Para um atacante, um hash de arquivo ou IP é descartável. Mas o fluxo de "como atacar" está atrelado ao objetivo (obter privilégio, espalhar-se, exfiltrar), então não pode ser mudado facilmente.
Como até times pequenos podem usá-lo
Mesmo sem um EDR dedicado (um produto que monitora o comportamento do endpoint), a essência é observar "comportamento que difere do normal."
Conheça o seu 'normal'
Fique atento a anomalias comportamentais
Ao detectar, isole e investigue
Mantenha-o pareado com a correspondência de IOC
Exemplos de IOA por etapa do ataque
Um IOA só funciona depois que você decide o que observar. Agrupar por etapa fica mais fácil usando o MITRE ATT&CK (uma base de conhecimento pública que organiza as técnicas dos atacantes por etapa).
| Etapa | Exemplo de comportamento | Onde olhar |
|---|---|---|
| Acesso inicial | Uma rajada de logins com falha seguida de um sucesso; um login de um país ou horário incomum | Logs de login (eventos 4625 e 4624 do Windows, logs de login da nuvem) |
| Escalonamento de privilégios | Uma conta pouco usada é adicionada a um grupo de administradores | Evento 4732 do Windows, logs de alteração de permissões da nuvem |
| Persistência | Uma conta, tarefa agendada ou serviço novo é criado | Eventos 4720, 4698, 4697 |
| Apagar rastros | O log de auditoria é apagado | Evento 1102 |
| Comunicação com o exterior | Tráfego para o mesmo destino em intervalos regulares (C2); envio em massa em horários estranhos | Logs de proxy, DNS e firewall; volume de tráfego ao longo do tempo |
Cada um deles também pode acontecer no trabalho administrativo normal. A própria lista de eventos a monitorar da Microsoft diz que eventos de criticidade média e baixa devem ser investigados quando ocorrem de forma inesperada ou muito acima da linha de base habitual. Um IOA é avaliado não por um valor isolado, mas pela diferença em relação ao normal e por como as ações se encadeiam.
Exemplos reais: percebido pelo rastro ou pelo comportamento?
Nos casos públicos cobertos neste site, o que chamou a atenção variou de caso para caso.
| Caso | O que chamou a atenção | Tipo |
|---|---|---|
| Codecov (2021) | O hash do script distribuído não batia com o valor oficial | IOC (comparação de rastros) |
| Hugging Face (2026) | Segundo a divulgação da empresa, um pipeline de detecção de anomalias sobre a telemetria de segurança captou o sinal | IOA (anomalia de comportamento) |
No caso da Hugging Face, as duas empresas relatam que o invasor era um agente de IA agindo sem direção humana. Um agente assim se move de formas que um humano não consegue: não descansa, não faz pausas e executa a mesma ação em paralelo. Quanto mais novo o ataque, e quanto menos rastros conhecidos como hashes ou IPs existirem para ele, mais vale a pena percebê-lo pelo comportamento.
Como verificar no seu próprio ambiente
Você pode começar com os registros que o sistema operacional ou a nuvem já guardam por padrão, sem um produto dedicado.
- Windows: no Visualizador de Eventos, abra "Logs do Windows → Segurança" e filtre pelos IDs de evento da tabela acima. No PowerShell,
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 50lista os logins com falha recentes (execute como administrador) - Se nada estiver registrado: quais eventos de auditoria o Windows guarda por padrão varia conforme a versão e as configurações. Confira a "Advanced Audit Policy Configuration" (configuração avançada de política de auditoria) na Política de Grupo para que os eventos de que você precisa sejam registrados
- Servidores Linux:
lastmostra o histórico de logins;journalctl -u ssh(ousshd, dependendo da distribuição) ou/var/log/auth.logmostra autenticações bem-sucedidas e com falha - Nuvem e SaaS: nos logs de auditoria e de login do console de administração, procure logins de países ou horários incomuns e alterações de permissões
- Mantenha uma linha de base: anote as suas contagens habituais de login e o volume de tráfego em dias úteis e fins de semana. Sem uma linha de base, você não consegue dizer o que significa "diferente do normal"
A visão deste site: detectar e prevenir são coisas diferentes, então mantenha as duas
Os IOAs são uma ideia poderosa de "notar por comportamento", mas neste site recomendamos não se apoiar só em "notar". A detecção (IOA/IOC) é sobre depois que um incidente começa; o primeiro objetivo é um design que não deixa começar nem se espalhar: privilégio mínimo, correções rápidas (monitoramento de CVE), MFA resistente a phishing, nenhum segredo em texto puro. Como a prevenção perfeita não existe, você precisa tanto da prevenção (impedir) quanto da detecção (notar via IOA/IOC). Os IOAs baseados em comportamento agregam valor ao sinalizar uma anomalia um passo antes da correspondência de rastros.
Fontes (primárias)
- MITRE, "ATT&CK Enterprise Tactics" — attack.mitre.org (como as etapas de ataque são agrupadas)
- IETF RFC 9424, "Indicators of Compromise (IoCs) and Their Role in Attack Defence" (agosto de 2023) — rfc-editor.org (TTPs são mais difíceis de mudar do que rastros)
- Microsoft Learn, "Appendix L: Events to Monitor" — learn.microsoft.com (IDs de evento, e investigar em relação à linha de base habitual)
- As fontes sobre Codecov e Hugging Face estão listadas no artigo de cada caso