A detecção de ameaças no SOC é um processo contínuo e mensurável, não um produto que se instala: telemetria de endpoints, identidade, e-mail, nuvem e rede alimenta regras e correlações no SIEM, os alertas resultantes passam por triagem com contexto do ambiente e cada caso confirmado entra em resposta com contenção, erradicação e recuperação. Operar essa rotina exige três definições claras: quais fontes de log sustentam as detecções, como traduzir comportamento de adversário em regras testáveis e como priorizar o que reduz risco de verdade. A referência de processo segue atualizada: o guia de resposta a incidentes do NIST foi revisto. O NIST publicou em abril de 2025 o SP 800-61 Rev. 3, um perfil comunitário do CSF 2.0 que substitui o SP 800-61 Rev. 2, publicado em 2012. O documento liga detecção, resposta e recuperação ao gerenciamento de risco — o enquadramento que um SOC maduro precisa adotar para não tratar o alerta como fim da linha.
O pipeline de detecção
O trabalho começa antes do primeiro alerta. Cada controle — EDR, proxy, firewall, provedor de identidade, servidor de e-mail, telemetria de nuvem — produz eventos em formatos e volumes distintos. A função do analista de operações é normalizar esses eventos, enriquecê-los com contexto de ativo e identidade e submeter o fluxo a regras que gerem alertas acionáveis. Sem normalização e enriquecimento, a regra mais bem escrita vira ruído.
| Etapa | Entrada principal | Resultado esperado | Métrica de acompanhamento |
|---|---|---|---|
| Coleta | Logs de EDR, proxy, DNS e identidade | Eventos normalizados no SIEM | Volume ingerido por fonte |
| Detecção | Regras Sigma, correlações e analytics | Alertas com severidade atribuída | Taxa de falsos positivos |
| Triagem | Alerta com contexto de ativo e usuário | Caso classificado como verdadeiro ou falso | Tempo médio de triagem |
| Resposta | Caso confirmado e playbook do time | Contenção e erradicação documentadas | Tempo médio de contenção |
| Lições aprendidas | Relatório pós-incidente | Regras ajustadas e lacunas fechadas | Queda de incidentes recorrentes |
As métricas da última coluna transformam opinião em evidência operacional. Um SOC que mede tempo de triagem e taxa de falsos positivos consegue justificar ajuste de regra, aquisição de telemetria e mudança de processo com números, não com sensação. O relatório pós-incidente fecha o ciclo ao alimentar a coleta e a detecção com o que o adversário realmente fez no ambiente.
Mapeando cobertura com ATT&CK
Detecção sem mapa é esforço cego. O MITRE ATT&CK fornece esse mapa ao catalogar táticas e técnicas observadas em invasões reais. A matriz Enterprise do MITRE ATT&CK organiza as táticas e técnicas de adversários e documenta cobertura para plataformas que incluem Windows, macOS, Linux, provedores de identidade, SaaS, IaaS, dispositivos de rede, contêineres e ESXi. Com esse vocabulário comum, o time consegue enumerar quais técnicas já têm regra ativa, quais geram telemetria sem detecção e quais dependem de fonte de log ainda não habilitada.
Um exercício prático consome uma tarde e revela lacunas com precisão: escolha as dez técnicas mais usadas contra o seu setor, liste os eventos que cada uma produz nos seus sistemas e verifique se o SIEM os recebe e se existe regra associada. Movimento lateral com reutilização de credencial, por exemplo, deixa rastros discretos em logons de rede que pedem correlação dedicada — abordagem detalhada na análise de detecção de pass the hash no SOC. Cadeias de ransomware combinam várias técnicas em sequência, e a cobertura precisa acompanhar a sequência inteira, como mapeia o guia de detecção e resposta ao ransomware Gunra. O resultado do exercício vira backlog de engenharia de detecção priorizado por risco, não por novidade de ferramenta.
Regras Sigma no dia a dia
Regra escrita direto na sintaxe de um único SIEM vira dívida técnica: difícil de revisar, impossível de portar e dependente de quem a escreveu. O Sigma ataca esse problema ao descrever o comportamento em YAML neutro, independente de backend. O Sigma é um formato de detecção genérico, aberto e estruturado, criado para que equipes de segurança detectem eventos de log relevantes de forma simples e compartilhável em qualquer SIEM compatível. O repositório público concentra milhares de detecções mantidas pela comunidade, e cada regra carrega metadados como severidade, fontes de falso positivo e referências externas.
O ciclo para adotar o formato em operação segue uma ordem fixa:
- Identifique o evento-alvo na fonte primária: nome do log, campos disponíveis e valores esperados em ambiente controlado.
- Escreva a regra em YAML com seleção explícita de campos, filtros de falso positivo e severidade declarada.
- Converta a regra para a sintaxe nativa do seu backend com o conversor oficial e revise a saída gerada.
- Valide em ambiente de teste com eventos reais ou replays de incidentes passados antes de promover à produção.
- Registre o caso de uso, o autor e a data de revisão para que a regra entre no ciclo de manutenção programada.
Priorização e resposta a alertas
Alerta sem prioridade é fila infinita. A severidade útil combina três eixos: criticidade do ativo afetado, confiança na detecção que disparou e contexto de identidade e horário. Um logon de rede de conta privilegiada em host crítico fora do padrão de trabalho vale mais que um disparo genérico de antimalware em estação sem dado sensível. A triagem ganha velocidade quando o analista vê, no mesmo painel, o dono do ativo, a última vulnerabilidade conhecida e o histórico do usuário.
A resposta também precisa de limite definido. Contenção isolando host, revogando sessão e resetando credencial; erradicação removendo persistência e fechando o vetor de entrada; recuperação com restauração validada e monitoramento reforçado. Cada ação documentada alimenta o relatório pós-incidente e volta como ajuste de regra — o ciclo que o SP 800-61 Rev. 3 formaliza ao integrar resposta ao gerenciamento de risco. Sem esse retorno, o SOC repete a mesma invasão com alertas diferentes.
Checklist de operação diária
Para transformar o texto acima em rotina, a operação diária pode seguir este roteiro curto:
- Revisar os alertas da noite anterior e fechar os falsos positivos com causa registrada.
- Conferir a saúde da coleta: fontes paradas geram falsa sensação de segurança.
- Validar pelo menos uma regra nova ou revisada em ambiente de teste.
- Atualizar o mapa de cobertura com a técnica associada a cada caso aberto.
- Medir tempo médio de triagem e de contenção do dia anterior.
- Escalar para o dono do ativo qualquer caso confirmado com impacto potencial.
- Registrar lições aprendidas de cada incidente encerrado na mesma semana.
