Excesso de alertas desafia defesa cibernética

Em segurança cibernética, receber mais alertas nem sempre significa estar mais protegido. Um levantamento global da Splunk, empresa da Cisco, com 2.058 profissionais de segurança mostrou que 59% afirmam lidar com alertas demais e 55% precisam administrar um volume excessivo de falsos positivos. Outros 57% dizem perder tempo relevante de investigação por problemas na gestão dos dados.

O cenário ajuda a explicar a evolução do SIEM, sigla para gerenciamento de informações e eventos de segurança. A tecnologia, tradicionalmente utilizada para concentrar registros de sistemas para fins de monitoramento e auditoria, ganhou outra função à medida que as infraestruturas corporativas se tornaram mais distribuídas. Hoje, ela permite reunir informações geradas por firewalls, identidades, computadores, servidores, aplicações, bancos de dados e ambientes em nuvem para identificar relações entre eventos que, isoladamente, poderiam parecer irrelevantes.

“O SIEM é a camada que sustenta toda a operação de segurança. É nele que a telemetria chega, é normalizada e correlacionada. Isso permite enxergar o ataque como uma sequência de eventos, e não como alertas soltos”, afirma Heber Hessel, diretor de operações da Alias Tecnologia.

Para empresas que atuam em ambientes de dados críticos, esse trabalho tem ainda uma segunda função. Além de detectar comportamentos suspeitos, o registro organizado dos eventos permite reconstruir o que aconteceu durante um incidente, quais sistemas foram atingidos e quais ações foram executadas durante a resposta.

Na Alias Tecnologia, que realiza integração e tratamento de dados relacionados a contratos de financiamento de veículos entre instituições financeiras e Detrans, essa rastreabilidade também está relacionada ao ambiente regulatório em que a companhia atua.

A Resolução do Conselho Nacional de Trânsito (CONTRAN) 1.016, de 2024, ampliou requisitos de segurança e privacidade aplicáveis às registradoras de contratos, incluindo controles de acesso, ferramentas para monitoramento, gestão de incidentes e certificação ISO 27001. A norma também estabelece responsabilidades relacionadas à proteção dos dados utilizados no registro de contratos.

No setor financeiro, a Resolução do Conselho Monetário Nacional (CMN) 4.893, em sua versão vigente, estabelece que instituições autorizadas pelo Banco Central mantenham controles voltados à rastreabilidade de informações sensíveis e façam registro, análise de causa e avaliação do impacto de incidentes relevantes.

O CMN é um órgão superior do Sistema Financeiro Nacional, responsável por formular diretrizes para as políticas monetária e de crédito e por regulamentar aspectos do funcionamento das instituições financeiras. A norma também prevê planos de resposta, testes e trilhas de auditoria.

Segundo Hessel, entretanto, concentrar todos esses registros em um mesmo ambiente não resolve o problema se o sistema não conseguir separar comportamento normal de atividade potencialmente maliciosa. “O grande desafio é transformar milhões de eventos em poucos alertas que realmente merecem investigação. Se tudo vira alerta, nada é prioridade”, explica.

Esse filtro começa antes da análise humana. Os dados brutos produzidos por diferentes sistemas precisam ser convertidos e padronizados para que possam ser comparados. Em um cenário real da operação da Alias, aproximadamente 16 milhões de eventos tiveram redução de cerca de 70% no volume ocupado após esse processamento, sem perda das informações necessárias para análise.

A redução tem impacto tanto no desempenho da correlação quanto nos custos associados à ingestão de grandes quantidades de registros.

Outra etapa envolve as regras que determinam quais combinações de eventos devem gerar um alerta. Na Alias, essas regras são auditadas, permitindo ajustes quando determinada detecção começa a produzir falsos positivos, ou seja, situações em que um sistema, teste ou análise indica que algo está presente ou acontecendo, quando na verdade não está.

A operação utiliza ainda referências como MITRE ATT&CK e Cyber Kill Chain e informações sobre ameaças para acrescentar contexto às ocorrências analisadas.

O objetivo é identificar padrões, já que uma tentativa isolada de autenticação malsucedida pode não indicar um ataque. Uma sequência de acessos incomuns, alterações de privilégios e conexões entre servidores, porém, pode revelar uma tentativa de movimentação dentro da rede.

É nesse ponto que inteligência artificial e automação começam a assumir parte do trabalho repetitivo dos Centros de Operações de Segurança. Em outro ponto, Pesquisa da Splunk mostrou que 59% dos profissionais consultados afirmaram ter obtido ganhos moderados ou significativos de eficiência com inteligência artificial. Apesar disso, apenas 11% disseram confiar completamente na tecnologia para tarefas consideradas críticas.

Na operação da Alias, agentes de inteligência artificial ajudam a contextualizar informações e realizar a triagem inicial dos alertas. A decisão sobre medidas como isolamento de máquinas, bloqueio de acessos ou contenção de um incidente permanece sob responsabilidade dos profissionais especializados. “A IA entra onde realmente ajuda, contextualizar muito dado em pouco tempo e acelerar a primeira análise. A IA prioriza, o humano decide”, afirma Hessel.

A automação entra na etapa seguinte. Uma ocorrência confirmada pode gerar registros em sistemas de gestão de incidentes, abertura de chamados e acionamento de procedimentos previamente definidos. Dependendo do evento e das permissões existentes, medidas podem ser executadas em endpoints, firewalls, serviços de identidade e outras plataformas integradas.

Quando a ocorrência exige investigação especializada, equipes de resposta a incidentes assumem ações de contenção, erradicação e recuperação, além da preservação de evidências. A abordagem acompanha a evolução das recomendações do National Institute of Standards and Technology (NIST), ou Instituto Nacional de Padrões e Tecnologia, agência do governo dos Estados Unidos, que em 2025 atualizou suas orientações de resposta a incidentes e passou a integrá-las ao Cybersecurity Framework 2.0, o framework de cibersegurança criado pela agência para ajudar organizações a gerenciar e reduzir riscos de segurança digital.

Para Hessel, porém, a eficiência de uma operação de segurança não pode ser medida apenas pela quantidade de ferramentas ou alertas produzidos. O indicador relevante está na capacidade de reconhecer rapidamente um comportamento anormal, entender seu contexto e agir antes que ele se transforme em um incidente de maior impacto. “O diferencial está na operação completa e auditada por trás dela, não se restringindo à ferramenta. E o valor disto se encontra na redução do tempo para detectar e responder, na diminuição do ruído para os profissionais e na manutenção de evidências que permitam entender exatamente o que aconteceu”, afirma.

A Alias possui cinco certificações ISO relacionadas a segurança da informação, privacidade, qualidade, antissuborno e compliance, incluindo ISO 27001 e ISO 27701. Em um ambiente no qual empresas acumulam cada vez mais dados e ferramentas de segurança, o desafio é  descobrir, entre milhões de eventos, quais contam a história de um ataque antes que um episódio termine em interrupção, fraude ou vazamento.