Tipos de comportamento mal-intencionado

Esta página explica os nomes que usamos para comportamentos mal-intencionados detectados em computadores ou servidores.

Nossas classificações de comportamento estão de acordo com a estrutura MITRE ATT&CK. Relatamos cada detecção usando um padrão de nomenclatura que fornece informações sobre o ataque.

Você poderá ver dois tipos de detecção com a estrutura de nomenclatura mostrada abaixo.

Exemplos de nomes de detecção

O nome de detecção consiste no seguinte:

• Tipo de tática MITRE (“Tactic_1a” na tabela acima).
• Número da técnica MITRE ("T1234.123" na tabela acima).
• Família de malware, para ameaças encontradas na memória (“mem/family-a” na tabela acima).

Tipo de tática MITRE

A primeira parte do nome de uma detecção indica a tática MITRE usada. Para obter detalhes completos, consulte as MITRE Enterprise Tactics.

Além do acima, algumas regras contextuais usam os seguintes prefixos:

Você pode suprimir eventos de detecção de comportamento da mesma forma que interrompe a detecção de ransomware. Você também pode reverter ações de correção, como restaurar arquivos excluídos ou chaves do registro, da mesma forma que interrompe a detecção de um aplicativo. Consulte Como lidar com ameaças.

Número da técnica MITRE

Esse número indica a técnica MITRE (e subtécnica) que mais se associa ao evento de detecção.

Por exemplo, uma detecção associada a uma atividade mal-intencionada do PowerShell inclui "T1059.001" em seu nome. Você pode consultar esses dados em https://attack.mitre.org/techniques/T1059/001/

Para obter detalhes sobre técnicas, consulte as MITRE Enterprise Techniques.

Família de malware

Se as detecções incluírem uma ameaça reconhecida encontrada na memória, a parte final do nome indica a família de malware à qual ela pertence.

Exemplos de nomes de detecção

Aqui estão alguns exemplos de nomes de detecção e o que eles significam.