RSigma: Implementando um SIEM com Sigma em Rust

A edição #149 do Detection Engineering Weekly traz uma análise técnica aprofundada sobre a implementação de um motor de detecção Sigma autônomo, benchmarks de LLMs para análise de segurança, e a recente campanha de ransomware contra a Stryker, atribuída ao grupo hacktivista iraniano Handala. A convergência entre engenharia de detecção prática, pesquisa acadêmica e a evolução do cenário de ameaças é evidente, destacando a necessidade de ferramentas especializadas e uma postura adaptativa.

RSigma: Implementando um Parser e Motor de Correlação Sigma em Rust

O projeto RSigma, desenvolvido por Mostafa Moradian, demonstra a complexidade inerente à construção de um sistema de detecção baseado na linguagem Sigma. A ferramenta é um binário escrito em Rust que atua como um SIEM minimalista, capaz de ingerir logs em JSON e regras Sigma em YAML, construir uma Abstract Syntax Tree (AST) e realizar a avaliação para gerar alertas.

A implementação precisa lidar com a complexidade da especificação Sigma, que inclui mais de 30 modificadores (como |endswith, |contains), lógica condicional (AND, OR, NOT), capacidades de correlação e filtragem, e pipelines para remapeamento de campos em diferentes formatos de log. O processo envolve a análise sintática de duas estruturas arbitrárias (YAML e JSON) e a execução de um motor de correspondência eficiente. Um exemplo prático é uma regra que detecta decodificação base64 na linha de comando, procurando por processos cujo campo “Image” termine em “/base64” e cujo “CommandLine” contenha a flag “-d”. O RSigma permite a validação e teste de detecções de forma portátil, útil para pesquisa forense ou desenvolvimento de regras fora de um ambiente SIEM tradicional.

Benchmarking de LLMs para Análise de Segurança com Splunk Botsv3

A iniciativa DefenseBench apresenta um dos primeiros benchmarks específicos para avaliar a eficácia de modelos de linguagem grandes (LLMs) em tarefas de análise de segurança. Utilizando o dataset Splunk Botsv3, o teste simula um analista de SOC que deve responder a perguntas de investigação interagindo com uma instância Splunk via API. O agente segue um prompt estruturado que define um fluxo de trabalho seguro contra reinícios, incluindo chamadas para obter perguntas, enviar respostas, comprar dicas e consultar o estado.

O modelo Claude Opus 4.6 demonstrou desempenho superior, superando variantes do GPT-5. A métrica vai além da precisão bruta, incorporando bônus por velocidade e penalidades por respostas incorretas ou uso de dicas. Este benchmark é um passo crucial para quantificar objetivamente a utilidade “out-of-the-box” de LLMs em operações de segurança, fornecendo uma base reproduzível para comparações futuras.

Teoria dos Jogos Aplicada à Engenharia de Detecção

Daniel Koifman aplica o conceito de Teoria dos Jogos para modelar a dinâmica adversarial entre engenheiros de detecção e atacantes. A relação é um jogo contínuo de “movimento e contramovimento”, onde cada nova detecção pode levar a uma adaptação por parte do adversário. Dois equilíbrios de Nash são propostos:

• Equilíbrio de Falso Positivo: Os defensores aceitam um nível basal de falsos positivos porque o custo de um falso negativo (uma brecha) é muito alto. Paralelamente, os atacantes aceitam um certo nível de detecção porque o custo de desenvolver novas metodologias de evasão continuamente é proibitivo.
• Equilíbrio de Sofisticação: Atacantes evitam o uso excessivo de zero-days (caros e de vida útil curta) e técnicas excessivamente ruidosas (que levam à descoberta). Os defensores, por sua vez, concentram esforços no meio do espectro de sofisticação, onde o retorno sobre o investimento em detecção é maximizado.

Este quadro teórico ajuda a justificar decisões práticas de engenharia e a antecipar o comportamento adversário.

Ataque Handala à Stryker: TTPs e Implicações

O ataque ransomware contra a Stryker Corporation, atribuído ao grupo Handala (associado ao Ministério de Serviços de Inteligência do Irã – MOIS), segue um padrão técnico distinto. O acesso inicial é obtido através da compra de credenciais em fóruns criminosos e marketplaces de infostealers. Uma vez dentro do ambiente, o grupo emprega técnicas Living-off-the-Land (LotL) para roubo de senhas e movimento lateral até alcançar contas administrativas.

O ataque à Stryker destacou-se pelo abuso do Microsoft Intune para implantar um wiper, removendo a capacidade de login de mais de 200.000 sistemas e causando um impacto material nas operações. O grupo também exfiltrou dados e deixou assinaturas de propaganda (imagens do personagem Handala) nas páginas de login. A resposta técnica recomendada pelo Unit 42 da Palo Alto Networks enfatiza o endurecimento do gerenciamento de identidades: eliminação de contas administrativas de longa duração, implementação de acesso Just-in-Time (JIT) e fortalecimento do Entra ID para prevenir a implantação maliciosa via ferramentas de MDM.

Ferramentas e Projetos em Destaque

• Detecting.cloud: Plataforma de pesquisa que agrega caminhos de ataque em nuvem AWS e regras de detecção correspondentes em múltiplos formatos (Sigma, Splunk, Athena).
• VMkatz: Ferramenta de harvesting de credenciais que extrai hashes e senhas diretamente de snapshots e discos virtuais de máquinas Windows, evitando a cópia de arquivos grandes de VMs.
• ClawGuard: Plugin de segurança para OpenClaw que atua como um controle de endpoint para agentes de IA, bloqueando ações arriscadas, limitando acesso ao filesystem e comunicações de saída.
• Hush: Especificação para políticas de segurança em IA, semelhante ao Open Policy Agent (OPA), permitindo a tradução de regras YAML em controles de enforcement para ambientes de agentes autônomos.

A edição reforça a evolução da engenharia de detecção para um campo altamente técnico e especializado, onde a compreensão profunda de ferramentas (como Sigma), a aplicação de modelos teóricos (como Teoria dos Jogos) e a resposta a ameaças adaptativas (como grupos hacktivistas apoiados por Estados) são componentes essenciais para uma defesa eficaz.

Análise baseada no Detection Engineering Weekly #149. Pesquisa e adaptação: N00TROP1C — NULLTROPIC, 2026.