Triagem de alertas no SOC é o processo que decide, em minutos, quais alertas são incidentes reais, quais são falsos positivos e quais podem esperar. Uma metodologia formal alinha essa decisão com o NIST SP 800-61r3, com o MITRE ATT&CK e com fontes de priorização como o KEV da CISA, reduzindo o tempo médio de triagem e evitando que ameaças reais morram no fundo da fila. Este artigo apresenta uma metodologia passo a passo que qualquer time de operações de segurança pode adaptar ao seu contexto.
O problema é dimensional: um SOC de porte médio recebe milhares de alertas por dia de SIEM, EDR, firewall, email gateway e identidade. Sem critérios explícitos de triagem, cada analista aplica o próprio julgamento, o resultado varia entre turnos e a fila cresce sem controle. A triagem estruturada padroniza a decisão em etapas verificáveis.
Modelo de severidade em quatro níveis
A base da triagem é uma matriz de severidade simples e auditável. Cada nível combina o ativo afetado, o estágio da cadeia de ataque e a confiança na detecção. A tabela abaixo serve de ponto de partida:
| Severidade | Critério funcional | SLA de triagem | Ação padrão |
|---|---|---|---|
| P1 Crítico | Ativo crônico atingido, sinal de movimento lateral, ransomware ou exfiltração em andamento | 15 minutos | Escalar imediatamente, iniciar resposta |
| P2 Alto | Credencial comprometida, execução de payload bloqueada, escalada de privilégio suspeita | 1 hora | Investigar com enriquecimento completo |
| P3 Médio | Comportamento anômalo em host de usuário, política violada sem confirmação | 4 horas | Investigar no turno, documentar contexto |
| P4 Baixo | Falso positivo conhecido, atividade de rotina sinalizada | 24 horas | Fechar com justificativa e tunar regra |
Dois princípios sustentam a matriz. Primeiro, severidade não é urgência emocional: ela deriva do impacto potencial medido sobre o negócio. Segundo, o SLA só é real se a fila tiver capacidade para cumpri-lo; medir descumprimento de SLA por turno expõe o gargalo real do processo.
Enriquecimento e contexto
Antes de classificar, o analista enriquece o alerta com dados que transformam um evento isolado em uma história. Os enriquecimentos de maior retorno por minuto investido:
- Identidade do usuário: papel, privilégios, histórico de autenticação e viagens impossíveis.
- Reputação do IP e do domínio: idade do registro, menções em inteligência de ameaças, associação com infraestrutura de comando e controle.
- Linhagem do processo no host: pai, filho, linha de comando e hash, confrontados com o EDR.
- Estimativa de escopo: quantos hosts e contas geraram o mesmo padrão na mesma janela.
- Contexto de ativo: criticidade do sistema, exposição à internet e dados que ele processa.
O enriquecimento ganha poder quando é mapeado para um modelo compartilhado de adversário. A matriz Enterprise do MITRE ATT&CK organiza o comportamento dos adversários em 15 táticas, do reconhecamento até o impacto. Classificar cada alerta em tática e técnica permite três coisas imediatas: comparar alertas de fontes diferentes que pertencem à mesma cadeia, identificar lacunas de cobertura de detecção e priorizar sinais de táticas mais avançadas, como escalada de privilégio e movimento lateral. A tática de escalada de privilégios da matriz Enterprise mapeia 18 técnicas de execução automática acionadas por eventos, um conjunto que merece regras de detecção dedicadas porque abuse frequente de persistência e escalada acontece exatamente nessas entradas de registro e tarefas agendadas.
Método passo a passo de triagem
Com severidade e enriquecimento definidos, a triagem vira um procedimento repetível. O fluxo abaixo assume um alerta já ingerido pelo SIEM:
- Validar a integridade do alerta: confirmar que o evento não está truncado, que o timestamp está correto e que a regra que o disparou não sofreu mudança recente de escopo.
- Aplicar a matriz de severidade: atribuir P1 a P4 com base nos critérios funcionais, sem consultar o analista anterior nem o humor do turno.
- Enriquecer em camadas: executar a lista de enriquecimento da seção anterior e registrar os resultados no ticket, com fontes citadas.
- Mapear em ATT&CK: registrar tática e técnica associadas; se o alerta cobrir táticas de pós-comprometimento, subir um nível de severidade por padrão.
- Decidir com critério explícito: incidente confirmado, falso positivo ou requer mais dado. Cada desfecho tem um caminho definido; nenhum alerta fica sem decisão registrada.
- Escalar conforme a decisão: incidentes confirmados entram no fluxo de resposta com contenção proporcional; falsos positivos alimentam a tunagem da regra.
- Fechar com aprendizado: registrar a causa raiz do falso positivo ou o indicador do incidente para que a próxima triagem comece mais rápida.
Cruzamento com fontes de priorização
A triagem ganha objetividade quando cruza o alerta com fontes externas de prioridade. O catálogo KEV da CISA reúne 1.671 vulnerabilidades exploradas na natureza e serve como entrada para priorização na gestão de vulnerabilidades. Um alerta de exploração de vulnerabilidade cujo identificador CVE aparece no KEV sobe automaticamente de severidade, porque a exploração ativa está confirmada por um órgão que agrega evidência de campo. O mesmo raciocínio vale para alertas de identidade: eventos que casam com padrões documentados de roubo de credenciais merecem prioridade sobre anomalias estatísticas sem corroboracão.
O enquadramento normativo também importa para maturidade. O NIST SP 800-61r3, publicado em abril de 2025, substitui integralmente a revisão anterior do guia de resposta a incidentes e orienta a preparação, detecção e recuperação dentro do CSF 2.0. Para o SOC, isso significa tratar triagem não como etapa isolada, mas como parte do ciclo de gestão de risco: métricas de triagem alimentam a avaliação de risco, que por sua volta redefine severidades e SLAs. Times que já operam detecção de movimentação lateral, como no pass-the-hash, podem plugar a mesma lógica de mapeamento ATT&CK na triagem.
A mesma metodologia se aplica a famílias específicas de ameaça. Um guia de detecção e resposta a ransomware no SOC se beneficia de triagem estruturada porque a decisão de conter um host antes da cifragem em massa depende de minutos, e a matriz de severidade já define quando escalar sem esperar confirmação plena.
Checklist de implantação
Para transformar a metodologia em operação, use este checklist mínimo:
- Matriz de severidade P1 a P4 aprovada e publicada no runbook.
- SLA por severidade monitorado com dashboard por turno.
- Campo obrigatório de tática e técnica ATT&CK no ticket de triagem.
- Integração automática com o KEV no pipeline de enriquecimento.
- Revisão semanal dos falsos positivos recorrentes com tunagem documentada.
- Treinamento cruzado para que dois analistas cheguem à mesma severidade no mesmo alerta.
Métricas de acompanhamento: tempo médio de triagem por severidade, taxa de falsos positivos por regra, percentual de SLA cumprido e número de incidentes confirmados por análise que começaram como P1 ou P2. Esses quatro números resumem se a metodologia está funcionando ou apenas existindo no papel.
