Detection engineering: o SOC que pega ataque

A empresa compra um SIEM, liga as fontes de log e espera ficar protegida. Meses depois, o painel mostra milhares de alertas por dia, o time ignora quase todos e um ataque real passa no meio do ruído. O SIEM entrega a plataforma. A capacidade de perceber um ataque vem da engenharia de detecção, um trabalho contínuo de gente qualificada em cima dessa plataforma.

Por que o SIEM sozinho gera mais ruído que segurança

Um SIEM cru coleta log e dispara as regras genéricas que vêm de fábrica. Essas regras não conhecem o seu ambiente, então geram falso positivo em volume. O time se acostuma a ignorar, e o alerta que importava vira mais uma linha no painel. A ferramenta faz a parte dela. A detecção que pega ataque começa depois, com alguém que escreve e mantém as regras certas.

O que faz um detection engineer

O detection engineer projeta, escreve e mantém as regras que transformam log em alerta útil. O trabalho vai muito além de ligar as detecções prontas:

• Escreve detecções para o comportamento de ataque relevante ao seu ambiente, com base em como o adversário age.
• Reduz falso positivo, porque alerta que ninguém confia é alerta morto.
• Versiona detecção como código, com teste e revisão, no mesmo rigor de software.
• Mede cobertura contra táticas conhecidas e fecha as lacunas.
• Cria o retrato que a resposta a incidente usa quando algo dispara.

MITRE ATT&CK e detection as code

Duas ideias organizam a disciplina hoje.

A matriz MITRE ATT&CK cataloga táticas e técnicas de adversário. Um detection engineer sério mapeia as detecções contra essa matriz e sabe dizer onde tem cobertura e onde está cego. Quando alguém afirma "estamos protegidos" sem esse mapa, está torcendo para estar, com base em nada mensurável.

Detection as code trata cada regra como software: fica em repositório, passa por revisão, tem teste automatizado que valida se ela dispara no evento certo. Isso acaba com a detecção artesanal que só o autor entende e que ninguém mexe com medo de quebrar.

As métricas que separam um SOC útil de um teatro

Peça números antes de acreditar na maturidade de uma operação:

• MTTD e MTTR (tempo médio para detectar e para responder). Caem quando a detecção é boa.
• Taxa de falso positivo. Um SOC afogado em falso positivo perde o alerta que importa.
• Cobertura ATT&CK. Percentual de técnicas relevantes com detecção testada.
• Detecções validadas. Quantas regras passaram por simulação de ataque e dispararam mesmo.

Um SOC que não sabe informar esses números opera no escuro, por mais telas coloridas que tenha.

O que perguntar na avaliação

• "Descreva uma detecção que você escreveu do zero. Qual comportamento ela pega e como você validou que funciona."
• "Como você reduz falso positivo sem criar ponto cego."
• "Como você sabe que a sua cobertura de detecção é boa." A resposta certa cita ATT&CK e teste de detecção como base.
• "Conte um ataque ou simulação que a sua detecção pegou, e um que passou. O que você mudou depois do que passou."

Red flags

• Confunde ligar regra pronta do fornecedor com engenharia de detecção.
• Mede sucesso por quantidade de alerta, quando o valor está na qualidade.
• Nunca ouviu falar de ATT&CK ou trata como enfeite de slide.
• Escreve detecção sem teste e sem versionamento.
• Ignora falso positivo como se fosse detalhe.

Sênior ou júnior disfarçado

O júnior opera o SIEM: recebe alerta, segue o runbook, escala. O sênior cria a inteligência que gera o alerta certo e melhora a operação a cada incidente. Ele pensa como o atacante, sabe onde a telemetria falta e negocia com a infraestrutura para conseguir o log que precisa. Essa diferença decide se o seu SOC pega o ataque ou o descobre pelo noticiário.

Modelos: interno, MSSP ou alocação

• SOC interno faz sentido para quem tem escala e quer o conhecimento dentro de casa. Exige contratar e reter um perfil escasso, o que pressiona custo e turnover.
• MSSP (serviço gerenciado de segurança) entrega monitoramento terceirizado com SLA. Bom para cobertura 24x7 sem montar time próprio. O ponto de atenção é a detecção genérica, pouco ajustada ao seu ambiente.
• Alocação de um detection engineer sênior no seu time combina profundidade e controle quando você quer detecção sob medida sem o processo de contratação. Veja staff augmentation e, para uma operação completa com SLA, managed services.

Por onde começar

Antes de comprar mais ferramenta, pergunte quem escreve e mantém as suas detecções. Uma plataforma cara com detecção fraca é dinheiro parado. Comece medindo a sua cobertura contra ATT&CK e trazendo quem saiba fechar as lacunas.

Se o seu SOC precisa pegar ataque antes que ele vire incidente, a Cyberwalk aloca detection engineers validados por par técnico. Contratar um SOC detection engineer começa por um retrato honesto da sua detecção atual.