Triagem de alertas no SOC é o processo de filtrar, priorizar e decidir o destino de cada evento disparado pelas ferramentas de monitoramento antes que ele vire incidente. Uma metodologia consistente combina enriquecimento automático com contexto de ameaças, priorização por severidade e impacto, e decisão registrada dentro de prazos definidos em SLA. O marco normativo que sustenta essa rotina mudou de forma relevante: o NIST retirou formalmente a versão Rev. 2 do SP 800-61 em 3 de abril de 2025, substituída pela Revisão 3, que trata a resposta a incidentes como parte do gerenciamento de risco em vez de processo isolado.
Na prática, triagem não é investigação. O triador decide em minutos se um alerta merece análise profunda, se deve ser fechado como falso positivo ou se precisa de escalonamento imediato. Sem método, o time afunda na fila, incidentes reais morrem no meio do ruído e a operação perde credibilidade com o negócio.
O que é triagem de alertas
A triagem é o funil entre detecção e resposta. Sensores, EDR, SIEM, firewall e provedores de identidade geram volume bruto; a triagem converte esse volume em uma fila curta, priorizada e com contexto. Cada alerta que entra recebe três julgamentos: é malicioso, benigno ou indeterminado; qual o impacto potencial para os ativos afetados; e qual ação cabe no momento.
Essa separação importa porque os papéis exigem habilidades distintas. O analista de nível 1 executa triagem com checklists e enriquecimento automático; o nível 2 investiga com forense e correlação; o nível 3 cuida de caça a ameaças e da melhoria de regras. Quando a triagem é bem feita, o nível 2 recebe poucos casos, todos com contexto mínimo já reunido. Quando falha, investigadores viram triadores de plantão e o backlog cresce sem controle.
O funil também alimenta a melhoria contínua do sistema de detecção: falso positivo recorrente indica regra mal calibrada; ausência de alertas para uma técnica conhecida indica lacuna de cobertura. Sem registro das decisões de triagem, esse ciclo de ajuste não existe e a fila só cresce.
Priorização com escore CVSS
Priorizar exige escala objetiva. Para vulnerabilidades e avisos de segurança, o padrão de mercado é o CVSS mantido pela FIRST: o CVSS organiza a avaliação em quatro grupos de métricas: Base, Threat, Environmental e Supplemental. O grupo Base captura qualidades intrínsecas da vulnerabilidade constantes no tempo; o grupo Threat reflete o que muda com o tempo, como exploração ativa; o grupo Environmental incorpora características únicas do ambiente do consumidor; e o grupo Supplemental agrega atributos informativos sem alterar o escore final.
O detalhe que separa triagem madura de triagem mecânica está na interpretação do resultado: o escore Base do CVSS mede a severidade de uma vulnerabilidade e não deve ser usado sozinho para avaliar risco. Um escore crítico num servidor de teste isolado compete mal com um escore alto explorado ativamente no ativo que sustenta a folha de pagamento. Por isso a nomenclatura oficial distingue quais grupos entraram no cálculo:
| Nomenclatura | Métricas usadas | Uso típico na triagem |
|---|---|---|
| CVSS-B | Base | Prioridade inicial de advisory publicado por fornecedor ou NVD |
| CVSS-BT | Base e Threat | Reordena a fila quando há exploração ativa confirmada |
| CVSS-BE | Base e Environmental | Ajusta severidade pelo criticismo do ativo afetado |
| CVSS-BTE | Base, Threat e Environmental | Aproximação mais fiel de risco para decisão de remediação |
O triador raramente recalcula escores à mão; o que ele faz é perguntar se o alerta na fila já reflete ameaça e ambiente, ou apenas o pior caso teórico do grupo Base. Quando a resposta é a segunda, o próximo passo é enriquecer antes de decidir, não fechar por cansaço.
Enriquecimento com inteligência de ameaças
Enriquecimento é o que transforma um alerta cru em caso decidível. Fontes estruturadas de advisory são a base desse fluxo: a OASIS publicou a versão final do padrão CSAF 2.0 em 18 de novembro de 2022, definindo o formato para criação, atualização e troca interoperável de avisos de segurança entre fornecedores e consumidores. Com advisories em JSON padronizado, a plataforma do SOC casa CVE, produto e versão afetada automaticamente contra o inventário de ativos.
O enriquecimento típico de um alerta de endpoint inclui reputação do hash e do domínio, presença do processo na telemetria histórica, conta envolvida e seus privilégios, e ocorrência da mesma técnica em outros hosts. Técnicas de movimento lateral, como a abordada no guia de pass-the-hash no SOC, só ficam decidíveis quando o triador enxerga a cadeia completa em vez do evento isolado.
Advisories estruturados também encurtam a distância entre divulgação e defesa. Um caso concreto de resposta, como o guia de detecção e resposta ao ransomware Gunra, mostra o formato final desse ciclo: indicador, técnica, detecção e ação documentada, pronto para virar playbook.
Procedimento de triagem em etapas
- Receber e normalizar: consolidar o alerta num formato único com timestamp em UTC, origem, ativo, usuário e regra que disparou, sem descartar nada prematuramente.
- Deduplicar e agrupar: fechar eventos idênticos num único caso e agrupar por campanha quando o mesmo indicador aparece em vários ativos.
- Enriquecer: consultar reputação de indicadores, advisories estruturados, inventário de ativos e histórico de telemetria do host e da conta envolvida.
- Classificar: definir se o caso é verdadeiro positivo, falso positivo ou indeterminado, com justificativa registrada e evidência anexada.
- Priorizar: aplicar severidade ajustada por ameaça e ambiente, impacto ao negócio e criticidade do ativo, produzindo posição única na fila.
- Decidir e encaminhar: fechar com registro, abrir investigação de nível 2 com contexto completo ou acionar resposta imediata conforme playbook.
- Medir: registrar tempo por etapa, taxa de falso positivo por regra e tempo médio de decisão para alimentar o ajuste da detecção.
O passo que mais falha é o terceiro. Enriquecimento manual, feito consulta por consulta, consome o tempo que deveria ir para decisão; automatizar esse passo com APIs de inteligência e advisories estruturados é o maior ganho individual de produtividade numa operação de SOC.
Erros comuns na triagem
Quatro padrões de erro dominam as análises postmortem de triagem. Primeiro, usar apenas o escore Base como fila: sem ameaça e ambiente, a ordem de atendimento reflete teoria, não risco real. Segundo, fechamento em massa de alertas de baixa severidade sem amostragem: campanhas reais costumam começar discretas. Terceiro, ausência de registro do motivo de fechamento: o mesmo falso positivo volta no dia seguinte e ninguém aprende. Quarto, SLA único para toda a fila: sem distinção de severidade, casos críticos esperam atrás de ruído.
As contramedidas são diretas: amostragem estatística dos fechamentos, revisão semanal das regras com maior taxa de falso positivo, dupla checagem nos primeiros trinta dias de nova detecção e revisão periódica de cobertura contra técnicas mapeadas, garantindo que a fila reflita o ambiente real e não apenas o volume que as ferramentas produzem.
