← Voltar ao Material de Estudo
Avançado · Aula 20

SOC, SIEM e Threat Intelligence

⏱️ 30-35 minutos · 📚 Trilha Avançada

Se resposta a incidentes (Aula 12) é o "o que fazer quando algo acontece", esta aula é sobre "como saber que algo está acontecendo" em primeiro lugar. É o mundo do monitoramento contínuo — onde vivem os analistas de SOC.

🎯 O que você vai aprender

  • O que faz um SOC (Security Operations Center) e como ele é organizado em níveis
  • Como um SIEM correlaciona eventos de dezenas de fontes diferentes
  • O que são IOCs e como threat intelligence os usa
  • Uma introdução ao MITRE ATT&CK

SOC: a torre de controle

Um SOC monitora continuamente (muitas vezes 24/7) a infraestrutura de uma organização em busca de sinais de atividade maliciosa. É comum organizar os analistas em níveis:

  • Nível 1 (Triagem): monitora alertas, faz uma primeira análise e escala o que parece relevante.
  • Nível 2 (Investigação): investiga mais a fundo os alertas escalados, correlacionando informações de múltiplas fontes.
  • Nível 3 (Resposta avançada / Threat Hunting): lida com os casos mais complexos e busca ativamente por ameaças que os alertas automáticos não capturaram.

SIEM: juntando os pontos

Um SIEM (Security Information and Event Management) centraliza logs e eventos de dezenas ou centenas de fontes diferentes — firewalls, servidores, endpoints, aplicações — e aplica regras de correlação para identificar padrões suspeitos que, isoladamente em uma única fonte, passariam despercebidos.

O valor do SIEM está exatamente na correlação: um login falho isolado não significa nada; cem logins falhos em contas diferentes vindos do mesmo endereço em poucos minutos, seguidos de um login bem-sucedido, é um padrão que o SIEM pode sinalizar automaticamente.

Threat Intelligence e IOCs

Threat Intelligence é informação processada sobre ameaças ativas — quem está atacando, como, e quais sinais eles deixam. Um IOC (Indicator of Compromise) é uma evidência concreta de comprometimento: um endereço IP malicioso conhecido, o hash de um arquivo de malware, um domínio usado em campanhas de phishing. SOCs alimentam seus SIEMs com feeds de IOCs atualizados para detectar automaticamente se algum desses indicadores aparece na própria rede.

MITRE ATT&CK

É uma base de conhecimento pública e amplamente adotada que cataloga táticas e técnicas reais usadas por atacantes, organizadas por fase do ataque (acesso inicial, execução, persistência, movimentação lateral, exfiltração, etc.). Times de defesa usam o ATT&CK como linguagem comum para mapear suas próprias capacidades de detecção ("conseguimos detectar a técnica X?") e identificar lacunas de cobertura.

💡 Exemplo prático

Um analista de Nível 1 vê um alerta de um processo incomum sendo executado em um servidor. Ele escala para o Nível 2, que correlaciona esse evento com um IOC recente de uma campanha de ransomware conhecida (mesmo hash de arquivo). Usando o MITRE ATT&CK como referência, a equipe identifica rapidamente em qual fase do ataque a atividade se encaixa e quais próximos passos o atacante provavelmente tentaria — permitindo uma resposta mais rápida e direcionada.

⚠️ Erro comum

Configurar um SIEM e assumir que ele "detecta tudo sozinho". Um SIEM é tão bom quanto as fontes de log conectadas e as regras de correlação configuradas — sem ajuste e revisão contínua, ele gera ruído (falsos positivos) ou, pior, deixa passar ameaças reais (falsos negativos).

✅ Pontos-chave

  • SOC monitora continuamente, geralmente organizado em níveis de triagem, investigação e resposta avançada.
  • SIEM correlaciona eventos de múltiplas fontes para revelar padrões invisíveis isoladamente.
  • IOCs são evidências concretas de comprometimento, alimentadas por feeds de threat intelligence.
  • MITRE ATT&CK é a linguagem comum da indústria para descrever táticas e técnicas de ataque.

🔗 Para se aprofundar