SIEM Cobre Só 21% das Técnicas do MITRE ATT&CK

Um SIEM corporativo médio tem regras de detecção para apenas 21% das técnicas do framework MITRE ATT&CK, deixando 79% sem cobertura. É o que mostra o relatório State of SIEM Detection Risk 2025 da CardinalOps, que analisou mais de 13.000 regras e 2,5 milhões de fontes de log em ambientes de produção. Cerca de 13% das regras existentes estão quebradas e nunca disparam, mesmo com volume de dados suficiente para cobrir 90% das técnicas.

O Número Que Todo SOC Ignora

No ambiente atual de operações de segurança, existe uma métrica que deveria parar qualquer analista de SOC no caminho: o SIEM corporativo médio tem cobertura de detecção para apenas 21% das técnicas definidas no framework MITRE ATT&CK. É o que revela o relatório State of SIEM Detection Risk 2025 da CardinalOps, agora na sua quinta edição. Em termos práticos: quase quatro em cada cinco técnicas usadas por atacantes no mundo real não disparam nenhum alerta na maioria dos centros de operações de segurança.

Para um SOC que investe milhões em licenciamento de SIEM, ingestão de logs e mão de obra especializada, esse número expõe uma desconexão perigosa entre percepção e realidade. A equipe acredita estar coberta; os dados dizem o contrário.

O Que Revelam os Dados

O estudo analisou ambientes SIEM de produção em empresas multinacionais, abrangendo plataformas como Splunk, Microsoft Sentinel, CrowdStrike LogScale e Google SecOps (Chronicle). A amostra inclui mais de 13.000 regras de detecção únicas e quase 2,5 milhões de fontes de log. Os principais achados, confirmados pela cobertura do Help Net Security, são contundentes:

21% de cobertura média do MITRE ATT&CK, contra 19% em 2024 — avanço marginal de apenas 2 pontos percentuais.
4 das 10 técnicas mais usadas em ataques reais permanecem sem detecção na maioria das organizações.
13% das regras de detecção estão quebradas — nunca disparam, por falhas como fontes de dados mal configuradas e campos de log ausentes.
259 tipos de log e 23.746 fontes únicas em média por organização — volume suficiente para cobrir teoricamente mais de 90% das técnicas.

A contradição é clara: as organizações ingerem dados de sobra, mas não os transformam em detecção. Há telemetria suficiente para cobrir nove em cada dez técnicas do ATT&CK; na prática, menos de um quarto delas gera alerta.

O Custo Oculto das Regras Quebradas

Regra quebrada é falso negativo silencioso. O SIEM registra que a detecção existe, o dashboard mostra verde, mas nenhuma alerta é gerada quando um adversário executa a técnica correspondente. O relatório aponta que uma organização média mantém cerca de 163 regras em produção — o que significa que aproximadamente 16 delas não funcionam.

O risco não é apenas teórico. Como observa o Unit 42 Global Incident Response Report 2025, a fadiga de alertas combinada com regras defeituosas cria brechas que atacantes exploram ativamente. Ameaças persistentes podem permanecer no ambiente por semanas ou meses enquanto a regra que deveria detectá-las está morta.

Em operação real de SOC, isso se traduz em incidentes descobertos tardiamente — quando o dano já aconteceu. O tempo médio de detecção (MTTD) que sua equipe reporta no KPI mensal pode estar fundamentalmente comprometido por regras que ninguém testou nos últimos seis meses.

Volume de Dados Não Significa Cobertura

O dado mais revelador do relatório é a lacuna entre cobertura potencial e cobertura real. As organizações cresceram ingestão de fontes de log em 30% e tipos de log em 18% frente a 2024. A cobertura de detecção subiu apenas 2%. Em outras palavras, a empresa paga mais por armazenamento, processamento e licenciamento SIEM sem retorno proporcional em capacidade de detecção.

Métrica (média por organização)	2024	2025	Variação
Cobertura MITRE ATT&CK	19%	21%	+2 p.p.
Regras quebradas	18%	13%	-5 p.p.
Fontes de log únicas	~20.100	23.746	+18%
Tipos de log	~200	259	+30%
Regras em produção	—	163	−25% vs. 2022

A tendência de redução no número de regras — queda de quase um quarto comparado a 2022 — indica uma mudança saudável: menos quantidade, mais qualidade. Times maduros estão priorizando detecções duráveis, baseadas em comportamentos do atacante que persistem mesmo quando o toolset evolui.

Por Que a Detecção Ainda Falha

O relatório identifica três fatores estruturais que explicam a lacuna persistente. Primeiro, a sophisticação crescente dos adversários: ataques multi-estágio, malware polimórfico e uso de ferramentas de IA aceleram a iteração ofensiva além do ritmo da defesa. Segundo, a complexidade de TI: arquiteturas multi-cloud e híbridas fragmentam repositórios de dados e geram formatos de log inconsistentes. Terceiro, o gargalo da engenharia de detecção: processos manuais, dependentes de heroísmo individual, em vez de pipelines automatizados e repetíveis.

Anton Chuvakin, do Office of the CISO da Google Cloud, sintetiza a questão citado no relatório: “Um ótimo time com um SIEM médio dá voltas ao redor de um time médio com um ótimo SIEM.” A tecnologia habilita; são as pessoas e os processos que determinam a cobertura real.

Como Fechar a Lacuna de Cobertura

Para quem opera ou lidera um SOC, os dados do CardinalOps apontam ações concretas e priorizáveis, independentemente do tamanho do time:

Mapeie cobertura contra ATT&CK continuamente. Mapeamento manual em planilha fica desatualizado em semanas. Automatize a correlação entre regras e técnicas para manter visibilidade real.
Implemente health check periódico de regras. Teste cada regra contra cenários simulados ao menos trimestralmente. Uma regra que não dispara em ataque simulado é um falso negativo esperando para acontecer.
Priorize as 10 técnicas mais observadas. Cobertura universal é irrealista. Comece pelas técnicas que seu threat intelligence confirma como mais relevantes para seu setor, conforme abordamos em nossa análise de como fechar lacunas de cobertura com caça a ameaças.
Reduza ruído antes de adicionar regras. Menos regras, melhor calibradas, reduzem fadiga e liberam tempo da equipe para manutenção proativa.
Integre detecção ao programa CTEM. Gestão contínua de exposição a ameaças conecta detecção, prevenção e remediação numa visão unificada de risco.

A mensagem central para quem trabalha em SOC é desconfortável, mas necessária: ingestão de dados não é detecção. Volume de logs não é cobertura. O investimento em SIEM só se converte em valor quando cada regra é mapeada, testada e mantida contra técnicas que importam para o seu modelo de ameaça específico.