Monitoramento de ameaças e alertas SOC

Resumo curto

O SOC eficiente é baseado em três baleias: telemetria completa, detecção de qualidade e disciplina operacional (priorização, escalação, pós-incidente e melhorias). O objetivo é identificar rapidamente os agressores através de indicadores comportamentais e de assinatura, reagir dentro do SLO e minimizar os falsos efeitos sem perder a cobertura.

Arquitetura de monitoramento SOC

SIEM - recepção, normalização e correlação de eventos; dashboards, busca, alerting.
UEBA é um analista comportamental de usuários/hospedeiros, perfis básicos e anomalias.
SOAR - automação de resposta: enriquecimento de alertas (TI, CMDB), orquestração de ação containment.
TI (Threat Intelligence) - Fidas IOC/TTP/vulnerabilidades críticas; contexto para regras e enriquecimento.
Armazém - «quentes» 7-30 dias para investigação, «frio» 90-365 + para complacência/retrospectiva.

Fontes de logs (minimamente suficientes)

Identidade e acesso:

IdP/SSO (OIDC/SAML), MFA, PAM, VPN/ZTNA, diretórios (AD/AAD).

Pontos finais:

EDR/AV, Sysmon/ETW (Windows), auditd/eBPF (Linux), MDM (telemóveis).

Rede e perímetro:

Firewalls (L3/L7), WAF/WAAP, balanços (NGINX/Envoy), DNS, proxy, NetFlow/sFlow/Zeek.

Nuvens e plataformas:

CloudTrail/Activity Logs, KMS/Key Vault, eventos IAM, Kubernetes (auditoria, API server), segurança de contêiner.

Aplicativos e BD:

Auditoria de almirantes, acesso a PII/pagamentos, CDL/direitos, eventos de negócios críticos (withdraw, bônus, payout).

Correio e colaboração:

Phishing/spam detect, DLP, cliques URL, anexos.

Normalização: formato único (ex. ECS/CEF), campos obrigatórios: 'timestamp', 'src/dst ip', 'user', 'action', 'resource', 'request _ id/trace id'.

Taxonomia de ameaças e mapeamento ATT&CK

Construa regras e dashboards em MITRE ATT&CK: Inicial Access, Executive, Persence, Privilege Escalation, Defense Evasion, Credential Access, Discovery, Lateral Movement, C2, Coleção/Exfiltration/Impacto.
Cada tática tem detecção mínima e painéis de controle «coverage vs. fidelidade».

Política de alerting e priorização

Severity:

P1 (Critical): C2 ativo, ATO de sucesso/rapto de tokens, criptografia, exfiltração de pagamento/PII.
P2 (High): implementação em infraestrutura/nuvem, escalar privilégios, contornar MFA.
P3 (Medium): anomalia suspeita, tentativas falhadas repetidas, comportamento raro.
P4 (Low): ruído, hipótese, correspondências TI sem confirmação.
Escalações: P1 - on-call imediato (24 x 7), P2 - durante o horário de trabalho ≤ 1h, e o restante - através de filas.
Duplicar: Agregue alertas por objetos/sessões para evitar «tempestade».

SLI/SLO/SLA SOC

SLI: tempo de detecção (MTTD), tempo de confirmação (MTTA), tempo até containment (MTTC), proporção de falsos (FP) e omitidos (FN) em clusters de cenário.

SLO (exemplos):

MTTD P1 ≤ 5 min; MTTC P1 ≤ 30 min.
FP-rate de alta-severidade regras ≤ 2 %/dia.
A cobertura da técnica ATT&CK chave ≥ 90% (ao menos uma detecção).
SLA (externo): Concorde com o negócio (por exemplo, P1 notificação dos proprietários ≤ 15 min).

Regras de detecção: assinaturas, eurística, comportamento

Sigma (exemplo: acesso suspeito a adminque fora do país)

yaml title: Admin Panel Access Outside Allowed Country id: 5c6c9c1d-8f85-4a0e-8c3a-1b7cabc0b001 status: stable logsource:
product: webserver detection:
selection:
http. request. uri: /admin http. response. status: 200 filter_country:
geoip. country: /^(?!UA    PL    GE)$/
condition: selection and filter_country level: high fields: [user, ip, geoip. country, user_agent, trace_id]
falsepositives:
- Service connections from SOC/VPN (add allow-list)

KQL (exemplo: aumento de logins fracassados + contas diferentes do mesmo IP)

kusto
SigninLogs where ResultType!= 0 summarize fails=count(), users=dcount(UserPrincipalName) by bin(TimeGenerated, 10m), IPAddress where fails > 50 and users > 5

Aplicativo (SQL, acesso ao PII fora do gráfico)

sql
SELECT user_id, count() AS reads
FROM audit_pii
WHERE ts > now() - interval '1 hour'
AND user_id NOT IN (SELECT user_id FROM roster WHERE role IN ('DPO','Support'))
AND extract(hour from ts) NOT BETWEEN 8 AND 21
GROUP BY 1 HAVING count() > 5;

UEBA e contexto

Perfis de atividade básica por usuário/papel/serviço (relógio, ASN, dispositivos).
Anomalias: IP/ASN raro, novo device, sequências de API extraordinárias, mudança acentuada de tempo de atividade.
Risk score evento = sinais (TI, anomalia, sensibilidade do recurso) x peso.

SOAR e automação de respostas

Enriquecimento: Reputação TI IP/domínio/hashtag, CMDB (quem possui o servidor/serviço), HR (status de funcionário), papel IAM.
Ações: isolamento de hóspedes (EDR), bloqueio de IP/ASN/JA3, revogação temporária de tokens/sessões, rotação forçada de segredos, proibição de saques de fundos/congelamento de bónus.
Guard Rails: Para ações críticas, apelos de dois efeitos; A TTL está bloqueada.

Processos SOC

1. Triagem: verificação de contexto, dedução, confecção com TI, classificação primária por ATT&CK.
2. Investigação: coleta de artefatos (PCAP/EDR/logi), hipótese, timeline, avaliação de danos.
3. Containment/Eradation: isolamento, reversão de chaves/tokens, patching, bloqueios.
4. Restauração: controle de limpeza, rotação, monitoramento de repetição.
5. RCA/Lições: pós-incidente, atualização de regras/dashboards, adição de malas de teste.

Sintonização e qualidade de detecção

Modo Shadow para novas regras: contar, mas não bloquear.
Regressão pack: biblioteca de eventos «bons/ruins» para testes de regras CI.
Remunção FP: exceções em caminhos/papéis/ASN; a regra padrão é apenas depois dos canarinhos.
Monitoramento Draft: alteração da atividade básica → adaptação de liminares/modelos.

Dashboards e revisões

Operacionais: alertas ativos, P1/P2, mapa de ataques (geo/ASN), «top talkers», fita de correspondência TI.
Tático: Cobertura ATT&CK, tendências FP/FN, MTTD/MTTC, fontes «ruidosas».
Negócios: incidentes sobre produtos/regiões, impacto sobre KPI (conversão, Time-to-Wallet, recusas de pagamento).

Armazenamento, privacidade e complacência

Retenschn: Pelo menos 90 dias de logs quentes, ≥ de 1 ano o arquivo onde necessário (fintech/reguladores).
PII/segredos: toquenização/camuflagem, acesso a papéis, criptografia.
Requisitos legais: relatórios de incidentes, armazenamento de cadeias de decisão, conformidade de relógios (NTP).

Purple Team e verificação de cobertura

Threat hunting: hipóteses para TTP (por exemplo, T1059 PowerShell), a favor de consultas para SIEM.
Purple Team: Springs compartilhados Red + Blue - lançamento TTP, verificação de desencadeadores, aperfeiçoamento de regras.
Automóveis de detecção: eventos de referência de ré-play periódico (atomic tests) em não-prod e «shadow» prod.

Especificidades do iGaming/Fintech

Domínios críticos: login/registro, depósitos/conclusões, promo, acesso a PII/fim. aos relatórios.
Cenários: ATO/credential stuffing, card testing, bónus-abuse, acesso privilegiado a pagamentos.
Regras: velocity em '/login ', '/withdraw', idempotação e HMAC webhooks, mTLS para PSP, detecções de acesso a tabelas com PAN/PII.
Desencadeadores de negócios: aumento acentuado de recusas de pagamentos/chargeback, anomalias em conversões, saliências de depósitos «zero».

Exemplos de runbook-ov (reduzido)

P1: ATO confirmado e retirada de fundos

1. SOAR bloqueia a sessão, retira os tokens refresh, congela as conclusões (TTL 24 h).
2. Notificar o dono do produto/finanças; executar o passe reset/2FA-rebind.
3. Verificar contas vizinhas para o gráfico device/IP/ASN; Ampliar o bloco por clusters.
4. RCA: Adicione detectores de repetição, reforce o limite velocity em '/withdraw '.

P2: Execrão no servidor (T1059)

1. Isolamento EDR, remoção de memória/artefatos.
2. Inventário dos últimos depósitos/segredos; Rotação de chaves.
3. Caça de Fleet IOC; verificação do C2 no DNS/Proxy.
4. Pós-incidente: Rule «Parente = nginx → bash» + Sigma para Sysmon/Linux-Auditoria.

Erros frequentes

Sobrecarga SIEM ruído sem normalização ou TTL.
Detecções sem mapping em ATT&CK → «zonas cegas».
Sem SOAR/enriquecimento - longa MTTA, rotinas manuais.
Omissão UEBA/comportamento - omissão de insiders «lentos».
Blocos TI globais rígidos sem TTL cortam o tráfego de negócios.
Não há testes de regressão.

Mapa de tráfego de implementação

1. Inventário de logs e normalização (ECS/CEF), «conjunto mínimo».
2. Matriz de revestimento ATT&CK e detecção básica high-risk.
3. SLO e filas: P1-P4, on-call e escalação.
4. playbooks SOAR: enriquecimento, acções containment, blocos TTL.
5. UEBA e rastreamento de risco, perfis, anomalias, monitoramento à deriva.
6. Purple Team/testes de detecção shadow, canários, regressão pack.
7. Relatórios e complicações, retenções, privacidade, negócios.

Resultado

O SOC maduro é uma telemetria completa + detecção de qualidade + disciplina de resposta. Vincule as regras a MITRE ATT&CK, automatize o enriquecimento e containment em SOAR, mede o resultado do SLO, verifique regularmente a cobertura no Purple Team - e seu monitoramento será resistente ao ruído, responderá rapidamente a ameaças reais e manterá as métricas de negócios.