Monitoramento e correlação de eventos no SOC
Rotina de monitoramento contínuo com IBM QRadar: triagem de ofensas, correlação entre fontes e encaminhamento para resposta.
Descrito a partir da atuação profissional na Neotel Segurança Digital. Clientes, regras, indicadores e configurações são confidenciais e foram omitidos.
Problema
Ambientes corporativos híbridos geram um volume alto de eventos vindos de firewalls, proxy, WAF e endpoints. Sem correlação, o sinal relevante se perde no ruído e a investigação demora mais do que deveria.
Objetivo técnico
Detectar e qualificar atividades suspeitas com rapidez, encurtando o caminho entre o alerta e a decisão de resposta.
Como foi feito
Acompanhar as ofensas e as filas de alerta do SIEM durante o turno.
Fazer a triagem: validar a fonte, o contexto do ativo e a criticidade antes de escalar.
Correlacionar com logs de firewall, proxy e WAF e com a telemetria do EDR para montar a linha do tempo.
Classificar o caso como falso positivo, atividade benigna ou incidente, e registrar a análise.
Encaminhar para contenção e acompanhar até o encerramento.
Criar e ajustar regras de correlação e casos de uso mapeados ao MITRE ATT&CK a partir do que cada caso ensinou.
Evidências
SELECT sourceip, username, COUNT(*) AS falhasFROM eventsWHERE QIDNAME(qid) ILIKE '%login failed%'GROUP BY sourceip, usernameHAVING falhas > 20ORDER BY falhas DESCLAST 1 HOURSPrincipais aprendizados
- O contexto do ativo pesa tanto quanto a assinatura do alerta.
- Triagem bem documentada acelera a próxima investigação.
- Ajuste de regra é contínuo: cada falso positivo ensina algo sobre o ambiente.