Lendo um alerta às 3 da manhã: como é uma boa triagem
A diferença entre um SOC maduro e um caro encaminhador de alertas aparece nos primeiros quatro minutos de um incidente. Esta é a sequência.
SOC console, live detection view
Real console screenshot with a genuine timeline and alert queue, identifiers removed. Do not fabricate alert volumes.
2400×1350 · PNG · @2x
Um alerta dispara às 03:12. Viagem impossível: a mesma conta autenticou de Richmond e de um provedor de hospedagem em outro país com onze minutos de diferença. Isso uma ferramenta consegue dizer. O que acontece em seguida depende inteiramente de pessoas e processo.
Minuto um — isso é real?
Viagem impossível é uma das detecções mais barulhentas que existem. Uma VPN, um proxy corporativo, uma operadora móvel roteando por outra região, uma tarefa agendada numa VM de nuvem usando conta de serviço. Antes de qualquer coisa, o analista determina se a segunda localização tem explicação. Se a perna "impossível" vem da sua própria faixa de saída, o alerta é problema de ajuste, não incidente.
Minuto dois — o que a sessão fez?
É aqui que a maioria dos serviços de encaminhamento de alertas para e onde as investigações de verdade começam. Um login não é um incidente. Um login seguido de uma regra de caixa que encaminha tudo para um endereço externo e apaga a cópia enviada é um incidente — e os dois eventos moram em logs diferentes.
- Novas regras de caixa ou de fluxo de e-mail, especialmente encaminhamento ou exclusão automática
- Método de MFA adicionado, alterado ou registrado a partir da nova localização
- Consentimento concedido a um aplicativo OAuth
- Acesso ou download em massa no armazenamento de documentos
- Qualquer mudança de privilégio na conta ou em outras
Um login não é um incidente. Um login mais uma nova regra de encaminhamento é uma violação em curso com quinze minutos de vantagem.
Minuto três — dimensione antes de agir
O instinto é desativar a conta imediatamente. Às vezes é o certo. Mas um atacante que perde acesso de forma abrupta sabe que foi visto, e se ele estabeleceu um segundo ponto de apoio, você acabou de mandar usá-lo. Dois minutos para estabelecer se essa conta é a única afetada normalmente são bem gastos — e é um julgamento que exige um analista, não uma ramificação de playbook.
Minuto quatro — contenha, depois acorde alguém
Revogue sessões e tokens de atualização, não só a senha — só redefinir a senha deixa um token existente válido até expirar. Remova as regras maliciosas depois de registrá-las. Então faça a ligação. Às 3 da manhã, acordar a pessoa certa por um comprometimento real de conta é o correto, e um SOC que evita essa ligação para não incomodar ninguém não está entregando o serviço que você comprou.
O que acontece na manhã seguinte
A parte que separa um serviço de uma assinatura: a detecção é ajustada. Se o alerta era ruído, a regra é corrigida para o mesmo falso positivo não disparar de novo. Se era real, a lacuna que permitiu — sem acesso condicional naquela conta, sem proteção de token, sem alerta de consentimento OAuth — vira uma recomendação escrita com um responsável. Um incidente do qual você não aprende é um incidente que você concordou em ter de novo.