Triagem de alertas é o processo de revisar, classificar e priorizar os alertas de segurança para decidir quais são incidentes reais e quais atender primeiro. O analista valida cada alerta com o contexto do equipamento, do usuário e de inteligência de ameaças e o descarta como falso positivo ou o escala. É tarefa do nível 1 de um SOC (centro de operações de segurança).
Como a TecnetOne resolve isso: TecnetSOC
alert triage, priorização de alertas, classificação de alertas, triagem no SOC de segurança, triagem de incidentes
Termos relacionados
Microsoft Sentinel
Microsoft Sentinel é a plataforma em nuvem da Microsoft que funciona como SIEM (gerenciamento de informações e eventos de segurança) e SOAR (orquestração, automação e resposta de segurança). Reúne logs do Microsoft 365, Azure, firewalls e outras fontes, detecta ameaças com regras e análise de comportamento e automatiza respostas. Antes se chamava Azure Sentinel, e suas consultas usam a linguagem KQL (Kusto Query Language).
Contenção e erradicação de incidentes
Contenção e erradicação são duas fases da resposta a incidentes. A contenção limita o dano e impede que o ataque se espalhe, por exemplo isolando um equipamento da rede ou desativando uma conta comprometida. A erradicação elimina a causa: apaga o malware, corrige a vulnerabilidade explorada e remove os acessos do invasor antes de passar à recuperação.
Fadiga de alertas
Fadiga de alertas é o desgaste que os analistas de segurança sofrem quando recebem mais alertas do que conseguem revisar, muitos deles falsos positivos. O volume reduz a atenção e aumenta a chance de deixar passar um incidente real no meio do ruído. Ela diminui ajustando as regras de detecção, correlacionando eventos, eliminando alertas duplicados e automatizando parte da triagem.
Níveis do SOC de segurança (N1, N2 e N3)
Os níveis do SOC (centro de operações de segurança) organizam o trabalho dos analistas em camadas. O N1 (tier 1) analisa cada alerta e decide se é real; o N2 investiga os casos confirmados e os contém; o N3 busca ameaças que as regras não detectaram e melhora a detecção. Cada nível escala para o seguinte o que não consegue resolver.
BAS (simulação de violações e ataques)
BAS (breach and attack simulation, ou simulação de violações e ataques) é uma tecnologia que executa de forma automática e contínua técnicas de ataque reais, sem danificar os sistemas, para verificar se os controles de segurança as bloqueiam ou detectam. Diferente de um pentest (teste de invasão) pontual, repete os testes com frequência e mostra quais controles precisam de ajustes.
Quer levar o conceito para a sua operação?
Conte o que você precisa e um engenheiro da TecnetOne responde.
Falar com um engenheiroFalar com um engenheiro
Conte o que você precisa e respondemos em português.