Orquestrador de Inteligência de Ameaças CISA KEV

Pipeline zero-toque que transforma CVEs recém-armamentados do catálogo CISA Known Exploited Vulnerabilities (KEV) em regras de detecção Sigma prontas para produção, automaticamente, toda semana.

O problema

Transformar manualmente uma nova entrada KEV em uma detecção utilizável é lento: verificar o aviso, pesquisar o padrão de ataque, escrever uma regra Sigma, testá-la, informar a equipe. Isso é aproximadamente 4-6 horas por CVE. Dez novas entradas em uma semana é uma semana inteira de trabalho, e a maioria dos SOCs não tem uma semana de analista disponível toda segunda-feira.

O que isso faz

Toda segunda-feira às 8:00 AM, o pipeline:

1. Extrai o catálogo CISA KEV ao vivo e isola CVEs recém-adicionados e armamentados desde a última execução.
2. Gera uma regra de detecção Sigma por CVE usando Google Gemini, restrito por um prompt estruturado que força o modelo a:
   • mirar no produto/fornecedor exato nomeado no CVE (não uma regra genérica de placeholder)
   • usar os EventIDs corretos do Sysmon para a técnica (criação de processo, rede, carregamento de imagem, LSASS, registro)
   • incluir 3-5 filtros de condição para controlar falsos positivos
   • mapear para uma técnica relevante do MITRE ATT&CK
   • gerar apenas YAML limpo, pronto para ser inserido no Splunk, Elastic ou Wazuh
3. Registra cada CVE processado em uma Google Sheet um registro de auditoria contínuo e com carimbo de data/hora de quando uma vulnerabilidade foi divulgada versus quando uma regra de detecção existia para ela. Construído pensando nos requisitos de evidência de gerenciamento proativo de vulnerabilidades SOC 2 / ISO 27001, não apenas como um log.