A triagem de alertas no SOC é o processo estruturado de receber alertas de segurança, avaliar sua legitimidade e severidade e decidir a resposta adequada — fechar um falso positivo, escalar para resposta a incidentes ou ajustar uma regra de detecção. Em operações reais, um SOC pode receber milhares de alertas por dia, e apenas uma fração representa ameaças genuínas. Sem uma metodologia disciplinada, a equipe afoga: analistas tentam trabalhar todos os alertas, sofrem burnout e perdem sinais reais enterrados no ruído. O modelo consagrado resume a triagem em três perguntas: o alerta é real (verdadeiro ou falso positivo), qual a sua gravidade (prioridade e raio de impacto) e o que fazer em seguida (fechar, escalar, investigar ou ajustar). Este artigo apresenta uma metodologia completa em sete etapas, com critérios de priorização, mapeamento para o MITRE ATT&CK e um checklist operacional que sua equipe pode aplicar já no próximo plantão.
O que é triagem de alertas
O termo vem da medicina de emergência, onde triagem significa ordenar pacientes por urgência para alocar recursos limitados. O princípio mapeia diretamente para segurança: o tempo do analista é o recurso mais escasso do centro de operações, e a triagem existe para garantir que cada alerta seja avaliado de forma sistemática, mesmo que rapidamente. Alert fatigue é um dos problemas mais documentados em operações de segurança — equipes perdem ameaças reais não por falta de capacidade de detecção, mas porque alertas genuínos ficam soterrados sob ruído. Um processo definido garante rastreabilidade: cada alerta fechado tem uma justificativa registrada, e cada regra ruidosa vira candidata a ajuste, criando um ciclo de melhoria contínua das detecções. A maturidade da triagem é, na prática, o principal diferencial entre um SOC que reage e um SOC que enxerga.
Metodologia em sete etapas
Uma triagem madura não é uma decisão única, e sim uma sequência deliberada de etapas em que cada uma alimenta a seguinte. Pular etapas aumenta o risco de classificação errada — o falso positivo que volta como incidente grave semanas depois.
- Ingestão e centralização: todo alerta de SIEM, EDR, firewall, identidade e email deve chegar a uma fila única e enriquecida com contexto do ativo e do usuário.
- Enriquecimento de contexto: antes de qualquer julgamento, colete reputação de IPs e domínios, criticidade do ativo afetado, titularidade e histórico de eventos similares.
- Validação de legitimidade: determine se o alerta é verdadeiro ou falso positivo com base em evidências — logs brutos, tráfego de rede e linha do tempo do processo, nunca apenas no texto da regra.
- Classificação com MITRE ATT&CK: mapeie o comportamento observado às táticas e técnicas do MITRE ATT&CK para padronizar a categorização em toda a fila.
- Priorização por severidade e impacto: combine criticidade do ativo, estágio da cadeia de ataque e potencial de movimento lateral para definir a ordem de tratamento.
- Decisão e encaminhamento: fechar com documentação, escalar para resposta a incidentes ou abrir um ticket de ajuste na regra de detecção.
- Feedback e tuning: alimente falsos positivos recorrentes de volta aos engenheiros de detecção, reduzindo o volume da fila ao longo do tempo.
Quando a determinação da triagem é um verdadeiro positivo, o alerta transiciona da triagem para resposta a incidentes, com um caminho de escalonamento definido — analista Tier 1 documenta, Tier 2 investiga profundamente e o gestor aciona o plano de resposta quando há impacto confirmado. Esse encadeamento entre detecção e resposta é o que o guia de detecção e resposta a ransomware no SOC demonstra na prática em um cenário real de invasão.
Priorização e tabela de decisão
A priorização objetiva substitui o achismo. A tabela abaixo combina criticidade do ativo e confiança na detecção para orientar a ordem da fila e o tempo-alvo de primeira análise.
| Ativo | Confiança da detecção | Prioridade | Ação e SLA sugerido |
|---|---|---|---|
| Critical (AD, DC, ERP) | Alta | P1 | Investigação imediata e escalonamento |
| Critical | Baixa | P2 | Análise em até 30 minutos |
| Workstation | Alta | P2 | Análise em até 1 hora |
| Workstation | Baixa | P3 | Análise no turno, enriquecer contexto |
| Ativo de teste | Qualquer | P4 | Fila de tuning de regra |
Alertas que indicam movimento lateral merecem tratamento especial, porque sinalizam adversário já dentro da rede. Técnicas como a abordada em pass-the-hash e detecção de movimento lateral no SOC devem pesar mais na prioridade do que detecções de malware commodity em endpoints isolados. O mesmo vale para autenticações anômalas em serviços de identidade — o vetor explorado em ataques como o bypass de MFA pelo ransomware Gunra mostra que a fraude de credenciais frequentemente precede a detonação final.
Referências e conformidade
Uma metodologia de triagem não vive isolada do arcabouço de resposta a incidentes da organização. A referência técnica dos Estados Unidos para o tema foi atualizada: a publicação NIST SP 800-61 Rev. 2 (agosto de 2012) foi formalmente retirada em 3 de abril de 2025 e substituída na íntegra pela NIST SP 800-61r3, um perfil comunitário alinhado ao Cybersecurity Framework 2.0. O documento novo incorpora as recomendações de resposta a incidentes em todo o ciclo de gestão de risco — preparar, detectar, responder e recuperar — e serve de base para políticas de escalonamento documentadas. Para SOCs brasileiros e portugueses, o mesmo raciocínio vale para o alinhamento com o Esquema Nacional de Segurança da Informação ou normas ISO 27035, mas o princípio é universal: triagem sem política escrita de severidade e escalonamento não passa de arbitrariedade com aparência de processo.
Checklist de triagem para o próximo plantão
- Fila única centralizada com enriquecimento automático de contexto de ativo e usuário.
- Matriz de severidade publicada e conhecida por Tier 1, Tier 2 e gestão.
- Justificativa obrigatória ao fechar qualquer alerta como falso positivo.
- Tags MITRE ATT&CK aplicadas a todo alerta classificado.
- Revisão semanal de falsos positivos recorrentes com tickets de tuning abertos.
- Caminho de escalonamento testado com contatos e horários fora do expediente.
- Métricas visíveis: tempo médio de triagem, taxa de falso positivo e taxa de escalonamento por analista e por regra.
Comece pela fila única e pela matriz de severidade: são as duas mudanças de maior impacto com menor esforço. A partir delas, o ciclo de tuning transforma a triagem de custo operacional em vantagem de detecção — cada falso positivo documentado hoje é um alerta a menos amanhã e um sinal real enxergado mais rápido.
