Objetivos do exame

O dia a dia do SOC: arquitetura, indicadores de atividade maliciosa, ferramentas de análise, threat intelligence e melhoria de processo.

1. 1.1com conteúdo

   Explicar conceitos de arquitetura de sistemas e de rede em operações de segurança

   • Logging: ingestão, configuração, integridade e segurança, sincronização de tempo, retenção
   • Sistemas operacionais: hardening, estrutura de arquivos e arquivos críticos, processos
   • Infraestrutura: cloud native, virtualização, conteinerização, APIs
   • Gestão de dispositivos: móveis e endpoints
   • Arquitetura de rede: ZTNA, SASE, nuvem híbrida
   • IAM: PAM, métodos de autenticação e autorização, secrets management
   • Técnicas de criptografia
   • Proteção de dados
   • Infraestrutura crítica: OT, ICS e SCADA

   Estudado em:Seção 2: Fundamentos de operações de segurançaSeção 4: Conceitos de infraestrutura de sistemasSeção 5: Arquitetura de redeSeção 6: Infraestrutura crítica: OT, ICS e SCADA

2. 1.2com conteúdo

   Analisar indicadores de possível atividade maliciosa

   • Rede: dispositivos rogue, enumeração, atividade anômala, portas inesperadas
   • Host: consumo de recursos, software não autorizado, processos suspeitos, LOLBins e scripts, mudanças no sistema de arquivos, exfiltração
   • Configuração não autorizada
   • Aplicação: interrupção de serviço e atividade anômala
   • Nuvem: atividade anômala e comprometimento de recursos
   • Engenharia social: typosquatting e encurtadores de URL
   • Identidade: conta IAM comprometida, acesso não autorizado, impossible travel
   • E-mail: business email compromise (BEC)

   Estudado em:Seção 6: Infraestrutura crítica: OT, ICS e SCADA

3. 1.3em produção

   Usar ferramentas para determinar atividade maliciosa

   • Decodificação e parsing: CyberChef
   • Análise de pacotes: Wireshark, tcpdump, Snort, Suricata, Zeek
   • Análise de log e SIEM
   • Threat intelligence: OTX, MISP, OpenCTI
   • Endpoint: EDR, XDR e MDM
   • Reputação de domínio e IP: WHOIS, AbuseIPDB, GeoIP
   • Análise de arquivos: strings, VirusTotal, YARA
   • Sandboxing: Joe Sandbox e Cuckoo Sandbox
   • Reconhecimento de padrões: expressões regulares e comandos suspeitos
   • Análise de e-mail: MXToolbox
   • UEBA e OpenUBA
   • Formatos: JSON, XML, YAML, EVTX
   • Linguagens: Python, PowerShell e shell script
4. 1.4em produção

   Explicar conceitos de threat intelligence e threat hunting

   • Atores de ameaça: APT e ameaça interna
   • TTPs: heat maps, Pyramid of Pain, MITRE ATT&CK, atribuição
   • Nível de confiança: atualidade, relevância e precisão
   • Coleta: OSINT, fontes fechadas e compartilhamento de inteligência
   • IoC: coleta, análise, aplicação e tipos (atômico e comportamental)
   • Modelagem de ameaças: STRIDE
   • Mapeamento de ameaças
   • Cyber deception
5. 1.5com conteúdo

   Explicar a importância de eficiência e melhoria de processo em operações de segurança

   • Padronização de processos: coordenação da equipe, playbooks e runbooks
   • Otimização: automação e orquestração com SOAR e IaC
   • Enriquecimento de dados: tuning de regras e alertas, criação de dashboards
   • Integração de tecnologia: APIs, webhooks e plug-ins

   Estudado em:Seção 1: Começando: o analista, o exame e o percursoSeção 2: Fundamentos de operações de segurança

6. 1.6em produção

   Resumir conceitos do uso de IA em operações de segurança

   • Riscos: alucinações, exposição de dados, envenenamento de modelo, prompts maliciosos
   • Governança: conformidade legal e regulatória, políticas de uso de IA
   • Casos de uso: comparar artefatos, analisar logs, criar documentos, investigar incidentes, correlacionar eventos, automatizar

Ciclo completo: descoberta, varredura, interpretação de resultados, priorização por contexto e acompanhamento da correção.

1. 2.1em produção

   Implementar o método apropriado de varredura de vulnerabilidades

   • Inventário de ativos
   • Planejamento: agendamento, operação, desempenho, sensibilidade, segmentação, exigência regulatória
   • Tipos de varredura: interna e externa, com e sem agente, credenciada e não credenciada, passiva e ativa
   • Descoberta: mapping scans e fingerprinting de dispositivos
   • Baseline de segurança: PCI DSS, benchmarks CIS, série ISO 27000
2. 2.2em produção

   Analisar a saída de ferramentas de avaliação de vulnerabilidades

   • Varredura e mapeamento de rede: Angry IP Scanner e Masscan
   • Ferramentas multipropósito: Nmap, Metasploit, Maltego, Recon-ng
   • Scanners de aplicação web: Burp Suite, ZAP, Nikto
   • Scanners de vulnerabilidade: Nessus, Nuclei, OpenVAS
   • Avaliação de infraestrutura de nuvem: ScoutSuite, Prowler, Trivy, Checkov
   • Breach and attack simulation: Atomic Red Team e Caldera
3. 2.3em produção

   Analisar dados para priorizar e mitigar vulnerabilidades

   • Critérios: explorabilidade, exploração ativa, valor do ativo, impacto, disponibilidade de correção, falsos positivos e negativos
   • Pontuação: métricas CVSS e EPSS
   • Consciência de contexto: interno, externo e isolado
   • Mitigação: gestão de superfície de ataque, código seguro, patching e configuração, exceções, controles compensatórios
   • Validação da remediação
4. 2.4com conteúdo

   Explicar conceitos de tipos de controle, riscos e gestão de vulnerabilidades

   • Tipos de controle: administrativo, técnico e físico
   • Funções de controle: preventivo, detectivo, responsivo e corretivo
   • Risco: apetite, risco residual e risco inerente
   • Estratégias: aceitar, transferir, evitar e mitigar
   • Políticas, governança e SLOs
   • Segurança de aplicação: SAST, DAST e SAMM
   • Risco de terceiros: cadeia de suprimentos, SCA e SBOM

   Estudado em:Seção 3: Gestão de risco e controles de segurança

Do preparo à atividade pós-incidente, com ferramentas de resposta, análise de artefatos e conceitos forenses.

1. 3.1em produção

   Resumir conceitos de frameworks de metodologia de ataque

   • Cyber Kill Chain
   • Diamond Model of Intrusion Analysis
   • MITRE ATT&CK
2. 3.2em produção

   Resumir o processo de resposta a incidentes

   • Preparação
   • Detecção
   • Análise
   • Contenção
   • Erradicação
   • Recuperação
   • Pós-incidente
3. 3.3em produção

   Implementar técnicas de resposta a incidentes

   • Planos de resposta e de comunicação; playbooks; definição de papéis
   • Treinamento: tabletop e simulação
   • Logs: coleta, correlação, aumento e enriquecimento
   • Alertas e notificações, triagem, linha do tempo, severidade e priorização
   • Evidência: cadeia de custódia, validação de integridade, preservação, legal hold
   • Isolamento de alvos afetados, escalonamento, remediação e verificação
   • Liberação do isolamento, restauração, análise de causa raiz, ação corretiva

Comunicar achados de vulnerabilidade e de incidente ao público certo, com métricas, causa raiz e recomendações acionáveis.

1. 4.1com conteúdo

   Explicar a importância do relatório e da comunicação em gestão de vulnerabilidades

   • Relatórios de varredura, achados de conformidade e risk scorecards
   • Planos de ação: escalonamento e dependências
   • Inibidores da remediação: contrato, governança, interrupção de processo, degradação de função, sistema legado, sistema proprietário, disponibilidade de patch
   • Identificação e comunicação com stakeholders
   • Métricas e KPIs: tendências, principais riscos e SLA

   Estudado em:Seção 3: Gestão de risco e controles de segurança

2. 4.2com conteúdo

   Explicar a importância do relatório e da comunicação em operações de segurança e resposta a incidentes

   • Declaração e escalonamento de incidente; sumário executivo
   • Plano de comunicação: stakeholders, jurídico, relações públicas, órgãos reguladores, autoridades e clientes
   • Conscientização operacional e canais de comunicação
   • Relatório pós-incidente: after action report, lições aprendidas, causa raiz
   • Handover de turno e de incidente
   • Relatório interno de threat intelligence, adaptado à organização
   • Métricas e KPIs: volume de alertas, taxa de falso e verdadeiro positivo, MTTC, MTTD, MTTR, MTTRem, taxa de clique em phishing

   Estudado em:Seção 2: Fundamentos de operações de segurançaSeção 3: Gestão de risco e controles de segurança