Alerta, caso e incidente: a diferença que muda a operação do SOC
Alerta é o sinal gerado por uma ferramenta, como SIEM ou EDR. Caso é o conjunto de alertas relacionados que um analista investiga. Incidente é o caso confirmado como evento de segurança com impacto real ou potencial. Separar essas três camadas é o que permite a um SOC tratar milhares de sinais sem acionar a empresa por cada um deles.
Por que essa separação importa
Quando tudo vira alerta para o cliente, o resultado é fadiga: o time interno passa a ignorar notificações e o incidente real se perde no meio do ruído. Um SOC maduro absorve o volume de alertas, investiga casos e só aciona a empresa quando há um incidente e uma ação a tomar.
Como cada camada é tratada
| Camada | O que é | Quem trata |
|---|---|---|
| Alerta | Sinal gerado pelo SIEM, EDR ou outra ferramenta, em alto volume | Automação e agentes de IA |
| Caso | Alertas correlacionados sobre o mesmo evento | Analista do SOC, com apoio dos agentes |
| Incidente | Caso confirmado, com impacto real ou potencial | SOC e cliente, com SLA |
O que uma boa notificação de incidente traz
- Severidade e o processo de negócio afetado.
- Evidências do que aconteceu.
- A técnica do MITRE ATT&CK envolvida.
- O passo a passo de contenção.
- Depois da contenção, a confirmação nos logs de que ela funcionou.
Como medir o SLA de forma honesta
O SLA de um SOC deve ser medido caso a caso, e não pela média do mês. Os relógios mais usados:
- MTTD: do evento coletado ao alerta criado.
- MTTA: do alerta ao reconhecimento pelo analista.
- MTTN: até a notificação com orientação de contenção.
- MTTC: até a contenção.
- MTTR: até a resolução.
Como o CyberWatch MA trata alerta, caso e incidente
No CyberWatch MA, a detecção é automatizada e acontece em segundos. O agente de Triagem agrupa alertas em casos e descarta o ruído conhecido; os agentes de Inteligência e Investigação enriquecem o caso e montam o dossiê; o analista confirma o incidente e o agente de Comunicação rascunha a notificação, que só sai depois da revisão humana. Para incidente crítico, o reconhecimento acontece entre 15 e 30 minutos e a notificação com orientação de contenção entre 30 minutos e 1 hora, conforme o contrato. Tudo fica registrado no caso e visível no portal.
Perguntas frequentes do CyberWatch · Serviço de MDR · CyberWatch na Tripla
Perguntas frequentes
Qual a diferença entre alerta e incidente?
Alerta é um sinal automático que pode ou não indicar ameaça. Incidente é um evento de segurança confirmado, com impacto real ou potencial, que exige resposta.
O que é um caso no SOC?
É o agrupamento de alertas relacionados ao mesmo evento, que o analista investiga para confirmar ou descartar um incidente.
O que é fadiga de alertas?
É quando o volume de alertas é tão alto que o time deixa de reagir a eles, e incidentes reais passam despercebidos.
O que é MTTD, MTTA e MTTR?
MTTD é o tempo até a detecção, MTTA o tempo até o reconhecimento pelo analista e MTTR o tempo até a resolução do incidente.