Correlação de eventos é a análise conjunta de registros (logs) de diferentes fontes, como firewalls, servidores e endpoints, para identificar padrões que isoladamente parecem inofensivos, mas juntos revelam um ataque. É feita por um SIEM (gerenciamento de informações e eventos de segurança) com regras e modelos de comportamento. Por exemplo, dez logins malsucedidos seguidos de um bem-sucedido de outro país geram um alerta.
Como a TecnetOne resolve isso: TecnetSOC
event correlation, correlação de logs, correlação SIEM, regras de correlação, análise de eventos de segurança
Termos relacionados
Microsoft Sentinel
Microsoft Sentinel é a plataforma em nuvem da Microsoft que funciona como SIEM (gerenciamento de informações e eventos de segurança) e SOAR (orquestração, automação e resposta de segurança). Reúne logs do Microsoft 365, Azure, firewalls e outras fontes, detecta ameaças com regras e análise de comportamento e automatiza respostas. Antes se chamava Azure Sentinel, e suas consultas usam a linguagem KQL (Kusto Query Language).
Contenção e erradicação de incidentes
Contenção e erradicação são duas fases da resposta a incidentes. A contenção limita o dano e impede que o ataque se espalhe, por exemplo isolando um equipamento da rede ou desativando uma conta comprometida. A erradicação elimina a causa: apaga o malware, corrige a vulnerabilidade explorada e remove os acessos do invasor antes de passar à recuperação.
Fadiga de alertas
Fadiga de alertas é o desgaste que os analistas de segurança sofrem quando recebem mais alertas do que conseguem revisar, muitos deles falsos positivos. O volume reduz a atenção e aumenta a chance de deixar passar um incidente real no meio do ruído. Ela diminui ajustando as regras de detecção, correlacionando eventos, eliminando alertas duplicados e automatizando parte da triagem.
Triagem de alertas
Triagem de alertas é o processo de revisar, classificar e priorizar os alertas de segurança para decidir quais são incidentes reais e quais atender primeiro. O analista valida cada alerta com o contexto do equipamento, do usuário e de inteligência de ameaças e o descarta como falso positivo ou o escala. É tarefa do nível 1 de um SOC (centro de operações de segurança).
Níveis do SOC de segurança (N1, N2 e N3)
Os níveis do SOC (centro de operações de segurança) organizam o trabalho dos analistas em camadas. O N1 (tier 1) analisa cada alerta e decide se é real; o N2 investiga os casos confirmados e os contém; o N3 busca ameaças que as regras não detectaram e melhora a detecção. Cada nível escala para o seguinte o que não consegue resolver.
BAS (simulação de violações e ataques)
BAS (breach and attack simulation, ou simulação de violações e ataques) é uma tecnologia que executa de forma automática e contínua técnicas de ataque reais, sem danificar os sistemas, para verificar se os controles de segurança as bloqueiam ou detectam. Diferente de um pentest (teste de invasão) pontual, repete os testes com frequência e mostra quais controles precisam de ajustes.
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.