# Sandbox & Blocking Actions

#### **Sandbox**

Um sandbox é um ambiente isolado e controlado usado para executar arquivos, links ou código suspeito sem risco para o sistema real.

* Existe limite no Crowdstrike Falcon:\
  \~100 arquivos por mês
* Arquivos já **quarentenados pelo Falcon NÃO contam**

#### Para que serve

Executar arquivos suspeitos em ambiente isolado:

      Ver:

* Comportamento
* Rede
* Persistência
* MITRE ATT\&CK

#### Quando usar (SOC)

Use quando:

* Hash desconhecido
* Arquivo suspeito
* Precisa confirmar comportamento

#### O que procurar na análise

* Conexão externa (C2)
* Criação de processos
* Escrita em registry
* Download de payload
* Obfuscação

#### **Blocking Actions** 

**Onde fazer bloqueios**

Página de **IOC Management**

**Tipos de ação**

      **Block**

* Bloqueia execução

       **Detect Only**

* Só alerta (não bloqueia)

        **Allow**

* Permite (whitelist)

        **Block and don’t show detection**

* Bloqueia silenciosamente

**Limitação CRÍTICA** 

> Só dá pra bloquear **hash de arquivo executável (.exe)**

Para IP e domínio:

* Não bloqueia aqui

#### Então como bloquear IP/Domínio?

**HBFW (Host-Based Firewall)**

      Tipo IPS

* Bloqueia IPs
* Bloqueia tráfego

#### **Custom IOAs**

Regras customizadas

Pode detectar/bloquear:

* IP
* Domínio
* Processos
* Arquivos
* Conexões de rede

**Custom IOAs** 

       Sempre:

* Testar regex
* Validar regra antes de aplicar