Qual é a diferença entre caçar por indicadores e caçar por comportamentos?

Indicadores são artefatos que pertencem ao atacante (hashes, endereços, domínios) e são baratos de trocar; comportamentos são as técnicas de que ele depende, que são caras de mudar. Casar indicadores é rápido e preciso mas expira logo. Caça comportamental é mais barulhenta e mais lenta mas sobrevive à rotação de infraestrutura. Rode as duas, com indicadores dirigindo bloqueio imediato e buscas retrospectivas, e comportamentos dirigindo cobertura durável de detecção.

Indicadores são as coisas que um atacante troca em uma tarde: um hash, um endereço, um domínio. Comportamentos são o jeito como ele opera, e mudar isso significa reconstruir o ferramental. Então eu uso os dois para trabalhos diferentes. Quando o threat intel solta indicadores, eu rodo como busca retrospectiva em noventa dias e empurro bloqueios, porque isso é barato e de vez em quando pega algo adormecido. Mas eu não conto isso como cobertura de detecção, porque o mesmo ator vai ter rotacionado a infraestrutura na semana seguinte. A caça comportamental é onde estão as vitórias duráveis: parta de uma hipótese, digamos um atacante usando um binário assinado para intermediar execução, e então cace as relações pai e filho que mostrariam isso. É mais lenta e produz mais coisa para peneirar, então eu limito o tempo das caças e escrevo os resultados negativos também, porque saber que você olhou importa. O exemplo mais claro que eu tive foi uma lista de indicadores que não casou com nada, enquanto uma caça comportamental em criação de serviço a partir de um processo não administrativo achou o mesmo ator em dois hosts.