O papel do cybersecurity analyst

O CySA+ não é "mais um cert de TI"

Muita gente acha que o CySA+ é só um Security+ mais difícil. Não é. O Security+ diz que você entende conceitos e controles. O CySA+ diz outra coisa:

Você é capaz de detectar ameaças, analisar ataques e responder a incidentes dentro de uma operação de segurança real.

Isso é um conjunto de habilidades fundamentalmente diferente de configurar firewall e rodar scanner.

O que faz um cybersecurity analyst

No nível mais básico, o analista é a pessoa responsável por monitorar o ambiente, detectar ameaças, analisar atividade suspeita e conduzir a resposta quando algo dá errado.

• Você não escreve as regras do firewall — você observa o tráfego que passa por ele.
• Você não redige a política de vulnerabilidades — você faz a varredura e reporta o que encontrou.

A cena que define o trabalho

São 23h no SOC e um alerta dispara no SIEM. A mesma conta de usuário autenticou em Nova York às 22h45 e em Londres às 22h52. Sete minutos de diferença — fisicamente impossível.

Neste momento, você é a pessoa responsável por descobrir o que aconteceu, qual o tamanho do problema e o que fazer em seguida. Esse é o papel do analista: você é o detetive. Todo o resto do curso existe para te deixar melhor nisso.

Como o trabalho se organiza: os tiers

A maioria das equipes de operações de segurança se organiza em tiers 1 a 3. Isso cai na prova e existe no trabalho, porque define o seu escopo de responsabilidade.

Tier 1 — alert monitoring e triage

Você acompanha a fila do SIEM, olha alertas, decide o que merece escalar e resolve o que é rotina. É o primeiro par de olhos em tudo que chega. O volume é alto e a maior parte é ruído: seu trabalho é achar o sinal no ruído, rápido.

Na prova, questões que pedem para priorizar alertas são pensamento de tier 1 — velocidade e precisão de triagem, e saber separar true positive de false positive em pouco tempo.

Tier 2 — investigação de incidentes

O chamado chega do tier 1 porque algo não fechou. Aqui você faz o mergulho: correlaciona eventos entre várias fontes de log, olha telemetria de endpoint no EDR e responde três perguntas:

1. Isso é mesmo um ataque?
2. Até onde se espalhou?
3. No que o atacante tocou?

É onde ferramentas como o Splunk viram sua melhor amiga — você escreve queries, correlaciona eventos e monta a timeline do que aconteceu. E começa a aplicar frameworks como o MITRE ATT&CK (attack.mitre.org), que mapeia comportamento de adversário para táticas e técnicas.

Exemplo: um alerta mostra execução de PowerShell com comando codificado e, em seguida, uma conexão de saída para um IP incomum. Você mapeia isso para as táticas de Execution e Command and Control no ATT&CK. Esse mapeamento diz o que procurar em seguida e dá linguagem comum para comunicar o achado.

Tier 3 — threat hunting e investigação avançada

São os analistas mais experientes. Aqui você não espera o alerta: sai procurando ameaças que ainda não fizeram barulho. Constrói o caso a partir de threat intelligence e caça evidência no ambiente.

Quando um relatório diz que um grupo está usando técnicas de living off the land — abusando de ferramentas legítimas do Windows como WMI, certutil ou PowerShell em vez de largar malware — você leva isso para o EDR (CrowdStrike Falcon, Microsoft Defender for Endpoint) e caça esses comportamentos de forma proativa. Você procura ferramentas legítimas fazendo coisas ilegítimas.

E o "tier 4"

Muitos SOCs têm ainda uma função de security engineering: constrói as regras de detecção, faz o tuning do SIEM e mantém o ferramental. São eles que garantem que tier 1 e tier 2 tenham os alertas certos para trabalhar.

O ambiente moderno do analista

Este trabalho é diferente do que era há cinco anos. Hoje o analista opera em ambiente híbrido: de manhã monitora infraestrutura on-premise, de tarde investiga a execução suspeita de uma função Lambda na AWS.

O papel expandiu: você não monitora só log de rede — monitora identidades, recursos de nuvem, containers e endpoints ao mesmo tempo.

E os SOCs usam cada vez mais plataformas SOAR (Security Orchestration, Automation and Response), como Palo Alto XSOAR ou Splunk SOAR, para automatizar o repetitivo. Um alerta rotineiro de phishing pode ser enriquecido com threat intelligence e fechado ou escalado sem ninguém tocar no teclado. A automação não substitui o analista: libera você para o que exige julgamento humano.