A perspetiva da Cyber Academy
Um SIEM agrega logs, normaliza eventos e executa regras de deteção em toda a sua infraestrutura. É a camada de visibilidade da qual o SOC depende. Os principais fornecedores de SIEM (Splunk, Sentinel, Elastic, Sumo) integram cada vez mais SOAR e UEBA. O trabalho difícil não é adquirir o SIEM; é a engenharia de dados e o pipeline de deteção como código que se segue.
O que um SIEM realmente faz
Um SIEM situa-se no centro das operações de segurança como motor de coleta e correlação. Ingere registos e eventos de todo o parque: firewalls, endpoints, fornecedores de identidade, plataformas em nuvem, servidores, aplicações e dispositivos de rede. Em seguida normaliza esses eventos num esquema comum, de modo que uma falha de autenticação do Windows, um início de sessão por VPN e uma chamada a uma API em nuvem possam ser analisados em conjunto, e executa regras de deteção sobre esse fluxo unificado para gerar alertas. A questão é a visibilidade. Sem um SIEM, os sinais de segurança ficam presos em dezenas de consolas que ninguém correlaciona, e um ataque que toca em cinco sistemas parece cinco eventos sem relação.
Duas funções fazem de um SIEM muito mais do que uma ferramenta de pesquisa em registos. A primeira é a correlação: regras que só disparam quando ocorre uma sequência, por exemplo uma tentativa de força bruta seguida de um início de sessão bem-sucedido e depois de uma escalada de privilégios, algo que nenhuma fonte isolada assinalaria. A segunda é a retenção e a pesquisa, que tornam o SIEM no sistema de referência para as investigações e no local a que um analista recorre para reconstituir o que aconteceu. Como nota a shortDefinition, plataformas modernas como Splunk, Microsoft Sentinel, Elastic e Sumo Logic integram cada vez mais o SOAR para resposta automatizada e o UEBA para análise comportamental, de modo que as fronteiras entre estas categorias se esbatem.
SIEM, SOC, SOAR e EDR: quem faz o quê
Estes termos costumam andar juntos e é fácil confundi-los, mas descrevem coisas diferentes: uma ferramenta, uma equipa, uma camada de automação e um sensor.
| Termo | O que é | Relação com o SIEM |
|---|---|---|
| SIEM | A plataforma de agregação, normalização e deteção | A própria camada de visibilidade. |
| SOC | A equipa e o processo que monitorizam e respondem | Consome os alertas do SIEM; o SIEM é a sua consola principal. |
| SOAR | Orquestração e playbooks de resposta automatizada | Atua sobre os alertas do SIEM para os enriquecer, triar e conter. |
| EDR | Sensor de endpoint com telemetria aprofundada do host | Uma fonte de alta fidelidade que alimenta o SIEM. |
A leitura prática: o SIEM é a tecnologia que vê tudo, o SOC é o conjunto de pessoas que trabalham os alertas, o SOAR é a automação que reduz o seu esforço manual, e o EDR é uma das fontes de dados mais ricas que chegam. Um SIEM sem um SOC por trás gera alertas que ninguém lê. Um SOC sem um SIEM está cego. São adquiridos separadamente, mas só entregam valor em conjunto.
Por que o SIEM é a parte difícil
Comprar um SIEM é um exercício de aquisição. Torná-lo útil é engenharia de dados. O trabalho que verdadeiramente determina o sucesso consiste em ligar as fontes de registo certas com cobertura completa, analisar corretamente cada fonte para que os campos aterrem no sítio certo, e afinar o conteúdo de deteção para que os analistas obtenham verdadeiros positivos em vez de uma enxurrada de ruído que os treina a ignorar os alertas. É por isso que as equipas maduras tratam as deteções como código: as regras vivem num controlo de versões, são testadas, são revistas por pares e são implementadas através de uma pipeline, exatamente como o software de aplicações. A shortDefinition é categórica quanto a isto. O trabalho difícil não é comprar o SIEM; é a pipeline de detection-as-code que se segue.
Do ponto de vista da governação, o SIEM é o que impede que vários objetivos de controlo continuem a ser meras aspirações. No âmbito de um SGSI ISO/IEC 27001 sustenta os controlos de registo, monitorização e a vertente de deteção da gestão de incidentes, e produz as evidências que um auditor espera ver de que os eventos são efetivamente capturados e revistos. Operacionaliza também a capacidade de deteção e resposta que o NIST Cybersecurity Framework pressupõe, e que regulamentos como NIS2 e DORA esperam que as organizações mantenham e sejam capazes de demonstrar durante um incidente.
Perguntas frequentes
01Qual é a diferença entre um SIEM e um SOC?
Um SIEM é a plataforma tecnológica que agrega registos e gera alertas. Um SOC é a equipa e o processo que monitorizam esses alertas e respondem. O SIEM é a ferramenta principal a partir da qual o SOC trabalha; é possível ter um sem o outro, mas nenhum entrega muito valor sozinho.
02Em que difere um SIEM de um EDR?
O EDR é um sensor focado na telemetria aprofundada dos endpoints. Um SIEM é mais amplo: ingere dados do EDR a par dos registos de firewall, identidade, nuvem e aplicações, e depois correlaciona-os a todos. O EDR é uma fonte rica; o SIEM é onde as fontes convergem.
03O SOAR e o UEBA substituem um SIEM?
Não, estendem-no. O SOAR automatiza a resposta aos alertas e o UEBA acrescenta análise comportamental à deteção, e os fornecedores modernos integram cada vez mais ambos na plataforma SIEM. Assentam na correlação que o SIEM fornece, em vez de a substituírem.
04Por que os projetos de SIEM falham?
Normalmente porque a engenharia de dados é subestimada. Uma cobertura incompleta dos registos, uma análise deficiente e regras não afinadas produzem ruído em vez de sinal, pelo que os analistas deixam de confiar nos alertas. O sucesso vem de uma pipeline deliberada de detection-as-code, não da compra em si.
05Um SIEM é obrigatório para a conformidade?
Nenhuma norma menciona especificamente o SIEM, mas as suas capacidades de registo, monitorização e deteção correspondem diretamente aos objetivos de controlo da ISO/IEC 27001 e às expectativas do NIST CSF e de regulamentos como NIS2 e DORA. Na prática, é a forma padrão de demonstrar que os eventos são capturados e revistos.