Abertura
Em um experimento conduzido pela SANS Internet Storm Center (ISC), foi criado um script que captura logs de terminal (TTY) gerados por atores ou bots após o login bem‑sucedido nos sensores DShield. O código, disponibilizado em repositório público, processa esses registros e os encaminha diariamente ao SIEM da DShield, permitindo a correlação com outras fontes de inteligência.
Contexto
A coleta de logs TTY tem se tornado uma prática relevante na detecção de atividades suspeitas, pois esses arquivos registram cada comando digitado em sessões interativas. Historicamente, a SANS ISC tem mantido sensores espalhados globalmente para monitorar tráfego de rede e identificar padrões de ataque. Recentemente, a necessidade de aprofundar a análise de comportamento pós‑comprometimento motivou a criação de ferramentas que extraem informações mais granulares, como os comandos executados por invasores. Nesse cenário, o script desenvolvido representa um passo adicional na integração de dados de nível de terminal com plataformas de análise de segurança.
Impacto
Empresas e provedores que utilizam o DShield como camada de defesa podem se beneficiar da visibilidade ampliada proporcionada pelos logs TTY. Ao correlacionar esses registros com alertas de rede, o SIEM consegue identificar sequências de comandos que indicam movimentação lateral, exfiltração ou instalação de backdoors. Até o momento, a iniciativa ainda está em fase de teste, mas a expectativa é que a análise de milhares de sessões diárias revele tendências de ataque ainda não documentadas. Para organizações que dependem de monitoramento contínuo, a capacidade de detectar comportamentos anômalos em tempo real pode reduzir o tempo de resposta a incidentes e limitar danos potenciais.
Detalhes técnicos
O script, escrito em linguagem de script de shell, acessa os arquivos de log TTY armazenados nos sensores DShield logo após o encerramento de cada sessão. Ele filtra linhas relevantes, remove informações sensíveis e formata os dados em JSON antes de enviá‑los via API segura ao SIEM da DShield. O envio ocorre ao final de cada dia, garantindo que o volume de tráfego seja controlado e que os logs estejam completos. No SIEM, os registros são indexados e associados a outros eventos, como alertas de IDS/IPS, fluxos NetFlow e indicadores de comprometimento (IOCs). Essa correlação permite a construção de cadeias de ataque, facilitando a identificação de padrões recorrentes entre diferentes atores.
Encerramento
A SANS ISC planeja monitorar o desempenho do script nas próximas semanas e avaliar a qualidade das correlações geradas. Caso os resultados sejam positivos, a equipe pretende disponibilizar a ferramenta para a comunidade de segurança, incentivando a adoção de práticas semelhantes em outros sensores e plataformas de monitoramento. A fonte original do experimento está disponível nos repositórios da SANS ISC, onde detalhes adicionais sobre a implementação podem ser consultados.