A triagem de alertas no SOC funciona quando existe um método repetível que qualquer analista de nível 1 consegue aplicar em minutos: classificar o alerta por severidade e confiança, enriquecer com contexto de identidade, ativo e ameaça, e decidir entre fechar como falso positivo, escalar para investigação ou abrir resposta a incidentes. Sem esse roteiro, a fila vira uma esteira de tickets fechados por pressão de SLA. O método abaixo alinha o dia a dia da triagem com o que o NIST SP 800-61 Rev. 3 recomenda para detecção e resposta, e usa o MITRE ATT&CK como linguagem comum para classificar o comportamento suspeito. A base de conhecimento do MITRE ATT&CK reúne táticas e técnicas de adversários a partir de observações do mundo real, é acessível globalmente e está disponível sem custo para qualquer pessoa ou organização que queira construir modelos de ameaça e metodologias de detecção.
Do lado da norma, a publicação SP 800-61 Rev. 3, finalizada em abril de 2025, orienta organizações a incorporar recomendações de resposta a incidentes em todo o ciclo de gestão de risco cibernético descrito pelo CSF 2.0, com o objetivo declarado de reduzir o número e o impacto dos incidentes e melhorar a eficiência das atividades de detecção, resposta e recuperação. Para o SOC, isso significa que a triagem não é um apêndice operacional: é o ponto onde a detecção encontra a decisão de resposta.
O que é triagem de alertas
Triagem é o processo de avaliar rapidamente cada alerta gerado pelas ferramentas de monitoramento — SIEM, EDR, firewall, identidade — e decidir qual tratamento ele merece. A triagem responde a três perguntas em sequência: este alerta representa atividade maliciosa real, qual é o potencial de dano e quem precisa agir agora. É diferente de investigação: a triagem filtra e prioriza, a investigação aprofunda. Um SOC maduro mede a triagem por tempo médio de reconhecimento do alerta e por taxa de falsos positivos confirmados, não pelo número de tickets fechados.
A revisão anterior, a SP 800-61 Rev. 2 de 2012, foi formalmente retirada pelo NIST em 3 de abril de 2025 e substituída pela Rev. 3, então runbooks que ainda citam a versão antiga como referência normativa precisam de atualização. O novo texto amarra a resposta a incidentes ao ciclo de risco do CSF 2.0, o que reforça o papel da triagem como controle de governança, não só de operação.
Classificação por severidade e confiança
O primeiro passo da metodologia é separar duas dimensões que times confundem: severidade e confiança. Severidade mede o impacto potencial caso o alerta seja verdadeiro — comprometimento de domínio, exfiltração, ransomware em execução. Confiança mede a probabilidade de o alerta ser verdadeiro dado o contexto disponível. Um alerta de severidade alta com confiança baixa exige enriquecimento; um de severidade baixa e confiança alta pode ser fechado com documentação. Classifique as duas dimensões antes de tocar na fila, nunca depois.
| Severidade | Exemplo típico | Ação padrão na triagem |
|---|---|---|
| Crítica | Ransomware em execução, credenciais de domínio roubadas | Escalation imediata e ativação de resposta a incidentes |
| Alta | Movimento lateral suspeito, bypass de MFA | Investigação prioritária na mesma jornada |
| Média | Anomalia de autenticação isolada | Enriquecimento e verificação programada |
| Baixa | Varredura externa sem evidência de sucesso | Documentar, fechar e revisar regra de detecção |
Alertas de bypass de MFA merecem atenção especial porque indicam estágio avançado de acesso. O guia sobre bypass de MFA pelo ransomware Gunra mostra como esse padrão aparece na prática e como documentar a detecção correspondente.
Enriquecimento com ATT&CK
O enriquecimento transforma um alerta bruto em um evento classificável. Mapeie o alerta para uma técnica do ATT&CK e a triagem ganha vocabulário compartilhado entre turno, ferramenta e relatório. O modelo cobre 14 táticas, do Reconhecimento e Desenvolvimento de Recursos até o Impacto final, passando por Acesso Inicial, Escalonamento de Privilégios, Evasão de Defesa e Movimento Lateral. Na prática, o mapeamento responde à pergunta central da triagem: em que estágio do ataque este comportamento se encaixa. Um alerta na tática de movimento lateral — como o detalhado no artigo sobre detecção de pass-the-hash no SOC — tem prioridade natural acima de um alerta de varredura externa, porque indica que o adversário já tem presença na rede.
Para cenários de extorsão, o guia de detecção e resposta a ransomware no SOC complementa o fluxo com critérios de escalation específicos por estágio da campanha.
Procedimento de triagem em seis passos
- Receber e registrar: capture identificador do alerta, fonte, hora de detecção e hora de chegada na fila; o delta entre os dois revela gargalo de ingestão.
- Classificar severidade e confiança: aplique a matriz da seção anterior antes de qualquer análise profunda.
- Enriquecer contexto: reúna dono do ativo, criticidade do negócio, histórico do usuário, reputação dos indicadores e presença em outras fontes de telemetria.
- Mapear em ATT&CK: identifique técnica e tática prováveis para estimar estágio do ataque e próximo movimento do adversário.
- Decidir o destino: fechar como falso positivo documentado, escalar para investigação de nível 2 ou ativar resposta a incidentes conforme a matriz.
- Documentar a decisão: registre evidência consultada, justificativa e tempo gasto; este registro alimenta a revisão de regras de detecção.
Checklist de qualidade da triagem
- Todo alerta fechado tem justificativa gravada no ticket, não apenas mudança de status.
- Falsos positivos recorrentes geram tarefa de afinação de regra com prazo definido.
- Indicadores de comprometimento extraídos na triagem são compartilhados com inteligência de ameaças.
- Escalation crítica tem caminho documentado fora do horário comercial.
- Métricas de fila são revisadas semanalmente: volume, tempo de triagem e taxa de reabertura.
Erros comuns a eliminar
Os três erros que mais corroem a triagem: fechar alertas por semelhança com falsos positivos anteriores sem verificar o contexto atual, tratar SLA de resposta como meta em vez de limite, e deixar o enriquecimento manual sem runbook. Cada um deles empurra custo para a investigação de nível 2 e aumenta o tempo entre detecção e contenção. A correção é sempre estrutural: runbook por classe de alerta, automação do enriquecimento base e revisão periódica das regras que mais geram ruído.
