50 Casos de Uso SIEM no Windows que Você Precisa Monitorar
Monitorar eventos críticos do Windows é fundamental para antecipar ameaças, detectar ataques em tempo real e garantir a conformidade. Abaixo estão 50 casos de uso essenciais para configurar alertas e dashboards no seu SIEM.
| # | Caso de Uso | Event ID(s) | Observação |
|---|---|---|---|
| 1 | Tentativas de login falhas | 4625 | |
| 2 | Contas bloqueadas | 4740 | |
| 3 | Login fora do horário comercial | 4624 | |
| 4 | Criação de novo usuário | 4720 | |
| 5 | Uso de conta privilegiada | 4672 | |
| 6 | Alterações em contas de usuário | 4722, 4723, 4724, 4725, 4726 | |
| 7 | Logon de locais incomuns | 4624 | com geolocalização |
| 8 | Trocas de senha | 4723, 4724 | 4723 (tentativa), 4724 (reset) |
| 9 | Alterações de grupo | 4727, 4731, 4735, 4737 | |
| 10 | Padrões de logon suspeitos | 4624 | |
| 11 | Falhas excessivas de logon | 4625 | |
| 12 | Atividade de conta desativada | 4725 | |
| 13 | Uso de conta dormente | 4624 | |
| 14 | Atividade de conta de serviço | 4624, 4672 | |
| 15 | Monitoramento de acesso RDP | 4624 | com filtro RDP |
| 16 | Movimento lateral | 4648 | |
| 17 | Acesso a arquivos e pastas | 4663 | |
| 18 | Compartilhamento não autorizado de arquivos | 5140, 5145 | |
| 19 | Alterações no registro | 4657 | |
| 20 | Instalação/remoção de aplicativos | 11707, 1033 | |
| 21 | Uso de dispositivos USB | 20001, 20003 | |
| 22 | Mudanças no firewall | 4946, 4947, 4950, 4951 | |
| 23 | Criação de tarefa agendada | 4698 | |
| 24 | Execução de processos | 4688 | |
| 25 | Reinício/desligamento do sistema | 6005, 6006, 1074 | |
| 26 | Limpeza de logs | 1102 | |
| 27 | Execução de malware | 4688, 1116 | |
| 28 | Alterações no Active Directory | 5136, 5141 | |
| 29 | Exclusão de Shadow Copies | 524 | |
| 30 | Mudanças de rede | 4254, 4255, 10400 | |
| 31 | Execução de scripts suspeitos | 4688 | |
| 32 | Instalação/modificação de serviços | 4697 | |
| 33 | Limpeza de logs de auditoria | 1102 | |
| 34 | Violação de política de software | 865 | |
| 35 | Enumeração excessiva de contas | 4625, 4776 | |
| 36 | Tentativas de acesso a arquivos sensíveis | 4663 | |
| 37 | Injeção de processo incomum | 4688 | com Sysmon/EDR |
| 38 | Instalação de driver | 7045 | |
| 39 | Modificação de tarefas agendadas | 4699 | |
| 40 | Alterações não autorizadas em GPO | 5136 | |
| 41 | Atividade suspeita no PowerShell | 4104 | |
| 42 | Conexões de rede incomuns | 5156 | |
| 43 | Acesso não autorizado a arquivos compartilhados | 5145 | |
| 44 | Consultas DNS maliciosas | 5158 | |
| 45 | Abuso de pesquisa LDAP | 4662 | |
| 46 | Encerramento de processo | 4689 | |
| 47 | Falha ao iniciar serviço | 7041 | |
| 48 | Alterações na política de auditoria | 4719, 1102 | |
| 49 | Monitoramento de mudanças de horário | 4616, 520 | |
| 50 | Alterações na chave do BitLocker | 5379 |
Adote esses casos de uso como base para fortalecer o monitoramento de ambientes Windows em seu SIEM. A personalização desses alertas, de acordo com o perfil da sua organização, aumenta drasticamente a capacidade de detecção e resposta a incidentes.