Introdução ao Security Operations Center
O que um SOC é, os três modelos de operação, as quatro funções centrais e a diferença entre SIEM e SOAR.
Objetivo 1.5 — Explicar a importância de eficiência e melhoria de processo em operações de segurança
O que é um SOC
Um Security Operations Center é uma equipe e um ambiente tecnológico centralizados, dedicados a monitorar, detectar, analisar e responder a ameaças 24 horas por dia.
Essa última parte importa. Atacante não limita expediente. Às 2h de um domingo é excelente hora para movimentar lateralmente pela rede — tem menos gente olhando.
Pense em uma instituição financeira grande: milhares de endpoints, dezenas de workloads em AWS e Azure, usuários remotos por VPN, fornecedores acessando sistemas internos. Cada um desses é um ponto de entrada possível. O SOC observa tudo isso, correlaciona os sinais e separa ameaça real de ruído.
Sem SOC, a organização vive em modo reativo — e descobre a violação semanas depois, quando um cliente liga ou um jornalista publica. O SOC é o que muda a postura de reativa para proativa.
Os três modelos de SOC
| Modelo | Como funciona | Costuma ser adotado por |
|---|---|---|
| Interno | Equipe, ferramentas e gestão próprias | Grandes empresas e governo, quando o controle sobre dado sensível é crítico |
| Gerenciado (MSSP) | Funções terceirizadas para um provedor que monitora remotamente | Organizações menores, que precisam de cobertura 24/7 sem montar o time |
| Híbrido | Tier 1 e 2 internos, monitoramento fora do horário no MSSP | Organizações de médio porte |
Entender as trocas — custo, controle e cobertura — ajuda a responder questões sobre decisões organizacionais, alocação de recursos e por que certas lacunas de cobertura existem.
As quatro funções centrais
1. Monitoramento contínuo. O SIEM ingere logs de firewalls, endpoints, workloads de nuvem e aplicações, reunindo tudo em um lugar onde dá para enxergar padrão. O SIEM é o sistema nervoso central do SOC: coleta, correlaciona e alerta.
2. Triagem e investigação de alertas. Quando o SIEM gera um alerta, alguém precisa avaliar: é ameaça real ou false positive? Qual o escopo? Que sistemas foram afetados? Na prática você pivota do SIEM para o EDR (CrowdStrike Falcon, SentinelOne) para ver execução de processo, alteração de arquivo e conexões de rede naquele host, na mesma janela de tempo. O cruzamento das duas visões é o que dá o quadro completo.
3. Coordenação da resposta a incidentes. Confirmada a ameaça, o SOC dispara o fluxo de resposta: contenção, erradicação, recuperação e comunicação com stakeholders.
4. Métricas e reporting. O SOC acompanha três medidas que a prova cobra:
- MTTD (mean time to detect) — tempo entre a ameaça aparecer e o SOC percebê-la
- MTTR (mean time to respond) — tempo para agir sobre o incidente confirmado
- Mean time to remediate — tempo para resolver completamente, não só responder
Cenário típico de prova: um SOC com MTTD alto. Qual controle mais reduz esse tempo? Resposta: melhor cobertura de detecção — regras de correlação ajustadas e ingestão de log mais completa e eficiente.
SIEM e SOAR não são a mesma coisa
O SIEM (Security Information and Event Management) é o motor de coleta e correlação. Pode ser Splunk on-premise ou, em SOC voltado para nuvem, Microsoft Sentinel ou Splunk Cloud, com armazenamento elástico e modelos de machine learning que sinalizam anomalia comportamental que o tuning manual não pegaria.
O SOAR (Security Orchestration, Automation and Response) fica em cima do SIEM e automatiza a resposta. Disparado o alerta, o SOAR percorre um runbook sozinho: consulta o IP numa feed de threat intelligence, coloca o endpoint em quarentena via API do EDR e abre o chamado — sem humano no meio.
Isso importa porque alert fatigue é real: um SOC movimentado vê centenas de alertas por dia, e sem automação o analista queima tentando triar tudo na mão. O SOAR cuida do repetitivo e bem definido; o analista fica com os casos ambíguos, que exigem interpretação.
Se um analista passa o turno fechando alertas de password spray um a um, o SOAR não está configurado direito.
O que precisa ficar
- SOC é a função centralizada de monitorar, detectar, analisar e responder — 24/7
- Três modelos: interno, gerenciado (MSSP) e híbrido, com trocas de custo, controle e cobertura
- Quatro funções: monitoramento contínuo, triagem e investigação, coordenação da resposta, métricas e reporting
- Três métricas: MTTD, MTTR e mean time to remediate — saiba distinguir
- SIEM coleta e correlaciona; SOAR automatiza e responde
- MITRE ATT&CK é a linguagem comum do SOC moderno
Na prova
Se a questão fala em reduzir carga do analista por automação, a resposta é SOAR. Se fala em centralizar coleta de log e definir regras de detecção, a resposta é SIEM. Não confunda as funções.
Antes da próxima lição
Volte ao attack.mitre.org e escolha uma técnica da matriz Enterprise. Leia o que ela faz, veja a orientação de detecção e pense: qual log source eu precisaria ter no SIEM para pegar isso?