A Clavis participou da BRHueCon, levando para o evento uma discussão sobre um dos desafios mais recorrentes das operações modernas de segurança: como aumentar a capacidade de detecção sem transformar o SOC em uma estrutura sobrecarregada por milhões de eventos, alertas e regras isoladas.
Durante o evento, Deivison Lourenço, Head de Pesquisa e Inovação, apresentou a palestra “Zero-Point Detection: modelagem de ameaças como ponto de partida para engenharia de detecção”. A apresentação propôs uma mudança na lógica tradicional de monitoramento: em vez de começar a pensar na ameaça somente depois que um log é gerado, utilizar inteligência e modelagem para estabelecer previamente aquilo que a organização espera identificar.
A proposta parte de uma realidade conhecida pelas equipes de SOC. O problema não está apenas no volume de informações, mas na dificuldade de transformar milhões de eventos em sinais que realmente representem riscos para o negócio. Filtrar demais pode eliminar informações relevantes, gerar alertas demais aumenta o ruído e, até mesmo quando a regra e o log existem, uma ameaça pode passar sem ser identificada.
A detecção precisa começar antes do primeiro log
Tradicionalmente, uma operação de segurança recebe o log, gera um alerta, aplica filtros e, a partir daí, determina se existe um caso que precisa ser investigado. A abordagem apresentada por Deivison propõe inverter parte dessa lógica.
No Zero-Point Detection, a inteligência entra antes da primeira coleta. A modelagem de ameaças estabelece quais comportamentos e sequências de eventos são esperados em determinados cenários de ataque. A partir desse contexto, os logs deixam de ser interpretados apenas como ocorrências individuais e passam a compor cadeias que podem revelar a progressão de uma ameaça.
Para isso, o modelo apresentado na BRHueCon é estruturado em sete estágios: threat modeling, mapeamento de arquitetura, detecção dinâmica, correlação de eventos, análise com IA, simulação de ataques e inteligência contínua. Não se trata de uma sequência que termina depois da detecção, mas de um ciclo no qual as lacunas encontradas voltam a alimentar e aprimorar o próprio modelo.
Contexto de negócio muda a forma de enxergar uma ameaça
Um dos primeiros passos dessa abordagem é transformar o Threat Modeling em algo diretamente aplicável à engenharia de detecção.
Na apresentação, a modelagem deixa de funcionar apenas como um documento de arquitetura e passa a definir uma sequência ordenada daquilo que deveria ser observado durante um possível ataque. Essa construção é complementada pelo mapeamento da arquitetura, que adiciona contexto sobre os ativos envolvidos, suas dependências e sua importância para a organização.
Essa diferença é importante porque um mesmo comportamento não representa necessariamente o mesmo risco em todos os pontos do ambiente. Um evento envolvendo um ativo crítico, uma dependência essencial entre serviços ou um ponto único de falha pode exigir uma resposta diferente daquela aplicada a outro ativo.
Correlação para reduzir ruído sem perder o que importa
Modelar o que precisa ser detectado resolve apenas parte do problema. O SOC ainda precisa lidar com um grande volume de informações produzidas continuamente pelo ambiente.
Nesse ponto, a apresentação trouxe resultados do motor de correlação. Em uma base de 3.393.154 alertas, havia inicialmente 1.111.640 alertas de severidade 4 ou superior. Após a correlação, esse número caiu para 272.791, representando uma redução de 75,46%.
Além disso, 247.263 tickets foram agrupados, enquanto 25.488 novos tickets foram gerados. A correlação, portanto, permite relacionar eventos que fazem parte de um mesmo contexto e entregá-los para análise de maneira mais estruturada.
É importante reforçar que reduzir alertas não pode se tornar sinônimo de simplesmente esconder ruído. Quando um mecanismo apenas rebaixa eventos sem conseguir promover aquilo que ganhou relevância pelo contexto, existe o risco de reduzir números sem necessariamente melhorar a detecção.
IA analisa a cadeia, não apenas o alerta
A Inteligência Artificial aparece na etapa seguinte do modelo, mas com uma diferença fundamental: ela recebe contexto.
Em vez de avaliar apenas um alerta isolado, a IA analisa a cadeia construída ao longo das etapas anteriores para produzir um veredito. Na base apresentada durante a palestra, foram 17.554 tickets analisados, com tempo médio de 51,2 segundos por ticket.
Em uma amostra de 750 tickets que já possuíam resposta do SOC para comparação, o modelo alcançou 90% de assertividade no veredito. Os 10% restantes, classificados como parciais ou não assertivos, são direcionados para um processo de melhoria contínua que envolve curadoria dedicada e novo treinamento do modelo.
O resultado reforça um princípio importante da abordagem: a IA ganha capacidade de decisão quando recebe uma cadeia contextualizada, e não apenas mais dados isolados.
Detecção também precisa ser testada
Outro componente fundamental do Zero-Point Detection é a validação contínua daquilo que deveria ser detectado.
Por meio de simulações de ataque e Pentests, a operação pode avaliar não apenas os alertas que foram disparados, mas principalmente aqueles que deveriam ter sido gerados e não foram. Uma falha encontrada durante esse processo se transforma em informação para aprimorar a modelagem e a engenharia de detecção.
O mesmo acontece com incidentes não identificados, novos aprendizados obtidos pelo CSIRT e pesquisas sobre ameaças. Como a própria arquitetura das organizações muda, o modelo também precisa ser revisto periodicamente. Cada lacuna identificada retorna ao início do ciclo como um novo elemento a ser considerado.
Essa lógica transforma a detecção em um processo vivo, no qual modelagem, monitoramento, inteligência, testes e resposta a incidentes contribuem continuamente para melhorar a capacidade de identificar ataques.
Uma nova forma de pensar a engenharia de detecção
Os resultados consolidados apresentados na BRHueCon ajudam a demonstrar o potencial da abordagem: aproximadamente 75% de redução de alertas, mais de 90% de assertividade no veredito apoiado por IA e nenhuma infraestrutura adicional necessária para os indicadores de desempenho da detecção, que podem operar sobre os recursos já existentes.
Mais importante do que os números, porém, é a mudança de perspectiva proposta pela palestra. Engenharia de detecção não precisa começar quando uma ferramenta recebe um log. Ela pode começar antes, a partir da compreensão do ambiente, dos ativos que realmente importam e das sequências que caracterizam possíveis ataques.
Como sintetizado no encerramento da apresentação, quando nenhuma ação da esteira acontece antes da primeira ingestão de logs, a detecção começa no meio da história.
Ao aproximar modelagem de ameaças, arquitetura, correlação, Inteligência Artificial, simulações e pesquisa contínua, o Zero-Point Detection apresentado pela Clavis propõe justamente antecipar esse ponto de partida — reduzindo ruído sem sacrificar visibilidade e direcionando a capacidade dos especialistas para os sinais que realmente importam.
