Excesso de alertas desafia a defesa cibernética
Receber mais notificações não significa, necessariamente, detectar mais ameaças. Um levantamento global da Splunk, empresa da Cisco, ouviu 2.058 profissionais de segurança e identificou um problema recorrente: 59% lidam com alertas em excesso, enquanto 55% precisam filtrar muitos falsos positivos. Além disso, 57% afirmam perder tempo significativo investigando falhas relacionadas à gestão dos dados.
Esse cenário ajuda a explicar a importância crescente dos sistemas SIEM – sigla em inglês para gerenciamento de informações e eventos de segurança. Antes mais associados à concentração de registros para monitoramento e auditoria, eles passaram a desempenhar um papel central na defesa de ambientes corporativos complexos e distribuídos.
Um SIEM reúne dados de diferentes fontes, como firewalls, sistemas de identidade, computadores, servidores, aplicações, bancos de dados e serviços em nuvem. Ao correlacionar essas informações, a ferramenta pode revelar conexões entre ocorrências que, examinadas separadamente, pareceriam pouco relevantes.
“O SIEM é a camada que sustenta toda a operação de segurança. É nele que a telemetria chega, é normalizada e correlacionada. Isso permite enxergar o ataque como uma sequência de eventos, e não como alertas soltos”, afirma Heber Hessel, diretor de operações da Alias Tecnologia.
A consolidação dos registros também é importante depois que um incidente acontece. Com dados organizados, torna-se possível reconstruir a sequência das ações, identificar os sistemas afetados e verificar quais medidas foram adotadas durante a resposta. Essa rastreabilidade é especialmente relevante para organizações que lidam com informações sensíveis ou precisam demonstrar conformidade regulatória.
É o caso da Alias Tecnologia, que integra e trata dados ligados a contratos de financiamento de veículos entre instituições financeiras e Detrans. Nesse contexto, a segurança envolve tanto a detecção de comportamentos suspeitos quanto a capacidade de comprovar como os dados foram acessados e processados.
A Resolução CONTRAN nº 1.016, de 2024, ampliou as exigências de segurança e privacidade aplicáveis às registradoras de contratos. Entre os requisitos estão controles de acesso, recursos de monitoramento, gestão de incidentes e certificação ISO 27001, além de responsabilidades relacionadas à proteção dos dados usados no registro contratual.
No setor financeiro, a versão vigente da Resolução CMN nº 4.893 determina que instituições autorizadas pelo Banco Central mantenham controles para rastrear informações sensíveis. A norma também prevê registro de incidentes relevantes, análise de suas causas e avaliação dos impactos, além de planos de resposta, testes e trilhas de auditoria. O Conselho Monetário Nacional estabelece diretrizes para as políticas monetária e de crédito e regulamenta aspectos do funcionamento das instituições financeiras.
Mas reunir registros em uma única plataforma não basta. Sem mecanismos capazes de distinguir as atividades habituais de possíveis ameaças, a concentração de dados pode apenas aumentar o número de notificações. “O grande desafio é transformar milhões de eventos em poucos alertas que realmente merecem investigação. Se tudo vira alerta, nada é prioridade”, explica Hessel.
Por isso, o tratamento começa antes de os dados chegarem à análise dos especialistas. Informações produzidas por tecnologias diferentes precisam ser convertidas e padronizadas para que possam ser comparadas. Em um cenário real da operação da Alias, cerca de 16 milhões de eventos tiveram uma redução aproximada de 70% no volume ocupado após esse processamento, sem perda dos dados necessários à investigação.
Esse tipo de otimização pode melhorar o desempenho das correlações e reduzir os custos associados à ingestão e ao armazenamento de grandes quantidades de registros. Também ajuda as equipes a direcionar a atenção para ocorrências com maior potencial de risco, em vez de gastar tempo examinando notificações repetitivas ou pouco relevantes.
Outro componente essencial é a revisão das regras que definem quais combinações de eventos devem gerar alertas. Na Alias, essas regras passam por auditorias e podem ser ajustadas quando uma detecção começa a produzir falsos positivos – situações em que o sistema aponta uma ameaça que, na realidade, não está ocorrendo.
Para contextualizar os sinais identificados, a operação também considera referências como MITRE ATT&CK e Cyber Kill Chain, além de informações sobre ameaças. O contexto é decisivo: uma tentativa isolada de login malsucedida pode ser apenas um erro. Já uma sequência de acessos fora do padrão, mudanças de privilégios e conexões entre servidores pode indicar uma tentativa de avançar dentro da rede.
A inteligência artificial e a automação começam a assumir parte das tarefas repetitivas realizadas pelos Centros de Operações de Segurança. Segundo a pesquisa da Splunk, 59% dos profissionais consultados relataram ganhos moderados ou significativos de eficiência com o uso de IA. A confiança, contudo, ainda é limitada: apenas 11% disseram confiar plenamente na tecnologia para atividades consideradas críticas.
Essa diferença mostra que automatizar não significa retirar as pessoas do processo. A IA pode ajudar a agrupar ocorrências, identificar padrões, resumir informações e sugerir prioridades, mas decisões de alto impacto ainda exigem supervisão, validação e critérios claros. Se os dados usados pelo sistema forem incompletos ou as regras estiverem mal calibradas, a automação também pode ampliar erros.
Para reduzir a sobrecarga, as organizações precisam combinar tecnologia com processos bem definidos. Isso inclui revisar periodicamente os alertas, eliminar duplicidades, estabelecer níveis de prioridade e documentar como cada tipo de incidente deve ser investigado. A equipe também deve saber quando uma notificação exige resposta imediata e quando pode ser tratada em uma análise programada.
Métricas ajudam a verificar se essas medidas estão funcionando. Entre os indicadores úteis estão o tempo necessário para identificar e responder a um incidente, a proporção de alertas confirmados como ameaças e o volume de falsos positivos. Acompanhar esses resultados permite aperfeiçoar regras e processos sem comprometer a capacidade de detectar ataques reais.
Em um ambiente com sistemas distribuídos e grandes volumes de informação, a eficiência da defesa cibernética depende menos da quantidade de alertas e mais da qualidade do contexto que acompanha cada ocorrência. Uma operação bem estruturada organiza os dados, correlaciona sinais, reduz ruídos e mantém registros confiáveis para que as equipes possam agir com rapidez e explicar suas decisões.