Awesome SOC

Um manual operacional e base de conhecimento para construir, operar e amadurecer um SOC (incluindo CSIRT). Abrangendo:

• Fundamentos de SOC
• engenharia de detecção
• threat intelligence
• métricas/KPI de SOC
• automação de SOC
• casos de uso de IA e melhores práticas
• SOP (playbooks de SOC)

Essas são as minhas visões, baseadas na minha própria experiência como analista de SOC/CSIRT e gestor de equipe, bem como em artigos conhecidos. O foco está mais no SOC do que no CERT/CSIRT.

Meu lema é: sem reação (resposta), a detecção é inútil.

NB: De modo geral, SOC aqui se refere à atividade de detecção, e CERT/CSIRT à atividade de resposta a incidentes. CERT é uma marca registrada (anteriormente) bem conhecida nos EUA, gerenciada pelo CERT-CC, mas prefiro o termo CSIRT, pois se refere precisamente à resposta a incidentes.

Índice

• Leitura obrigatória
• Conceitos fundamentais
• Meios críticos (ferramentas/sensores)
• Interioridades/núcleo do SOC
• IA (ML, LLM, GenAI, Agentic AI)
• Monitoramento de TI/segurança
• SOAR
• Engenharia de detecção
• Threat intelligence
• Playbooks/SOP
• Métricas de SOC (KPI/SLA)
• Gestão de SOC
• RH e treinamento
• Arquitetura de TI
• Para ir além (próximos passos)
• Apêndice

Leitura obrigatória

Para um SOC

• Construção de SOC:
  • MITRE, 11 strategies for a world-class SOC (ou use arquivo local): parte 0 (Fundamentos).
  • FIRST, Building a SOC
  • NCSC, Building a SOC
  • Gartner, SOC model guide
  • Splunk, State of Security 2025
  • Microsoft, Secure your business with 365
• Treinamento de SOC para entrevista:
  • LetsDefend SOC analyst interview questions
• Gestão de SOC:
  • FIRST, ISO 27035 Practical value for CSIRT and SOCs
  • SANS, 2025 SOC survey
  • SOC CMM, SOC Metrics
  • Gartner, Market Guide for Managed Detection and Response
• Avaliação de SOC:
  • CMM, SOC-CMM
  • Rabobank CDC, DeTTECT
  • SANS, Continous purple teaming

Para um CERT/CSIRT

• Visão geral global:
  • SANS, Incident Response
  • FlexibleIR, IR phases
• Construção de CSIRT:
  • FIRST, CERT-in-a-box
  • FIRST, CSIRT Services Framework
• Gestão de resposta a incidentes de segurança:
  • ENISA, Good practice for incident management
  • EE-ISAC Incident Response whitepaper
  • LinkedIn Pulse, Security incident management according to ISO 27035
  • Microsoft/EY/Edelman, Incident response reference guide
  • Microsoft, IR lessons on cloud ID compromise
• Forense:
  • NIST, SP800-86, integration forensics techniques into IR
  • ForensicsArtefacts
  • ForensicsWiki
• Playbooks e metodologia de resposta a incidentes:
  • Kaspersky, Incident Response Playbook: Dark Web Breaches
  • CISA, Incident Response playbooks
  • CERT-SG, Incident Response Methodology