Com o crescimento exponencial de incidentes cibernéticos e a proliferação de vetores automatizados de invasão, os Centros de Operações de Segurança (SOC) enfrentam um dos maiores gargalos da indústria de tecnologia: a fadiga de alertas (alert fatigue). Diariamente, analistas de Nível 1 são soterrados por milhares de logs, falsos-positivos e eventos isolados, tornando o tempo médio de resposta (MTTR) lento e custoso para as organizações.
Como Business Analyst e Engenheira de Qualidade (QA), meu foco sempre foi conectar processos de negócio, análise crítica de riscos e engenharia de software para construir soluções robustas. Foi a partir dessa visão que decidi conceber e projetar o AI-SOC Virtual Operations: uma sala de operações 2D interativa (inspirada na dinamicidade colaborativa do Gather.town), onde agentes autônomos de Inteligência Artificial trabalham cooperativamente, investigam ameaças e executam playbooks de resposta automática (SOAR).
1. A Divisão de Papéis da Equipe Multi-Agentes
Um dos pilares da Análise de Negócios é o desenho de papéis e responsabilidades claras (RACI). Em um SOC, delegar tarefas genéricas a uma única IA monolítica gera alucinações e perda de contexto. Por isso, a arquitetura foi dividida em 4 personas altamente especializadas:
Sentinel (Tier 1 Triage)
Responsável pelo monitoramento contínuo de tráfego HTTP/HTTPS, conexões SSH e queries DNS. Filtra o ruído e identifica picos anômalos em microssegundos.
Cipher (Threat Intelligence)
Caça a indicadores de comprometimento (IoCs). Conectado à API global do CIRCL CERT para ingestão de novas CVEs e checagem de reputação de IPs e nós Tor.
Aegis (Forense & MITRE)
Especialista em engenharia reversa de payloads e correlação com a matriz MITRE ATT&CK. Avalia o Software Bill of Materials (SBOM) e cria regras Sigma/YARA.
Flaviana Pina (Incident Commander / Lead)
Orquestradora estratégica. Avalia o impacto financeiro, operacional e de compliance (LGPD) antes de autorizar a execução do playbook automatizado no SOAR.
2. Ingestão de Dados Reais: Conexão com o CIRCL CERT
Um questionamento comum em simuladores é: "os dados são reais ou fictícios?". Para elevar a maturidade técnica da solução sem comprometer chaves de API privadas (visto que o portfólio é hospedado estaticamente no GitHub Pages), integrei a aplicação à API pública do CIRCL (Computer Emergency Response Center Luxembourg) via cve.circl.lu/api/last.
Essa API transmite em tempo real as últimas vulnerabilidades divulgadas globalmente, permitindo que o telão SIEM e o agente Cipher processem ameaças verdadeiras do dia:
async function fetchRealThreatFeed() {
try {
const response = await fetch('https://cve.circl.lu/api/last');
const data = await response.json();
// Extração e sanitização dos metadados da CVE
realThreatsList = data.map(item => ({
id: item.aliases?.[0] || item.id,
summary: item.details || 'Vulnerabilidade crítica de segurança.',
date: new Date(item.published).toLocaleDateString('pt-BR')
}));
startSIEMRealTicker(); // Alimenta o letreiro do SIEM em tempo real
} catch (err) {
loadResilientFallbackCVEs(); // Fallback resiliente com CVEs de 2024/2025
}
}
3. Mapeamento MITRE ATT&CK e Playbooks SOAR
Para demonstrar a resposta a incidentes na prática, estruturei 4 cenários baseados nas técnicas adversárias mais frequentes reportadas pelos relatórios globais de ameaças:
| Vetor de Ataque | Técnica MITRE | Severidade | Ação do Playbook SOAR |
|---|---|---|---|
| SQL Injection | T1190: Exploit Public App |
CRÍTICA | WAF Rule ID 10042 ativada, bloqueio de IP por 24h e Prepared Statements reforçados. |
| Brute Force SSH | T1110.001: Password Guessing |
ALTA | Fail2ban ativado no iptables, bloqueio de range /24 e imposição de chaves públicas. |
| Phishing + LockBit | T1566.001 + T1486 |
CRÍTICA | EDR Quarantine: Estação isolada da LAN, hash SHA-256 banida globalmente e purge de e-mails. |
| DDoS Volumétrico UDP | T1498.002: Amplification |
MÉDIA-ALTA | Cloudflare Under-Attack Mode, Rate Limiting agressivo e desvio de tráfego para Anycast Scrubbers. |
4. O Papel do Business Analyst na Gestão de Crises
Muitos profissionais acreditam que Segurança da Informação se resume a comandos no terminal e configurações de firewall. No entanto, sem uma sólida visão de Análise de Negócios, respostas técnicas podem causar danos piores que a própria invasão:
- Avaliação de Continuidade do Negócio (BCP): Bloquear uma subnet inteira de IPs pode derrubar transações de clientes legítimos e causar perdas financeiras severas.
- Conformidade Regulatória (LGPD / GDPR): Um vazamento de dados via SQL Injection exige notificação imediata à ANPD dentro dos prazos legais. O analista precisa mapear quais dados sensíveis foram acessados.
- Comunicação Estratégica com Stakeholders: A diretoria executiva não quer ver logs hexadecimais brutos; ela precisa entender o risco financeiro, o impacto operacional e o tempo estimado para restauração completa.
5. Experiência do Usuário (UX): Gamificação Estilo Gather
Para tornar a experiência imersiva e agradável para quem visita o portfólio, adotei elementos de gamificação 2D:
- Avatares com Movimentação Livre: Os agentes caminham pelo piso, alternam passos, mudam de direção e correm com efeito visual de impulso quando um alarme dispara.
- Interatividade Point-and-Click: O visitante pode clicar em qualquer lugar da sala para guiar o agente selecionado, ou convocar uma reunião de emergência na mesa do War Room.
- Efeitos Sonoros Retro (Web Audio API): Toda a sonorização de blips, alertas e sirenes foi sintetizada matematicamente pelo navegador sem a necessidade de baixar arquivos de áudio pesados (.mp3), garantindo performance impecável no carregamento.
Conclusão
O futuro da Qualidade de Software e da Cibersegurança não pertence a silos isolados, mas à convergência estratégica: Qualidade (QA) garantindo que a aplicação funcione corretamente, Segurança (SecOps) garantindo que ela resista a adversidades e Análise de Negócios (BA) assegurando que cada decisão gere valor real para a organização.
A sala do AI-SOC é uma materialização prática dessa mentalidade: tecnologia de ponta, inteligência artificial como aliada e foco obsessivo na proteção dos objetivos estratégicos do negócio.
🕹️ Que tal testar a Sala de Operações ao Vivo?
Acesse a sala interativa, guie os avatares pelo piso, teste os ataques simulados ou investigue as CVEs reais que estão sendo monitoradas no mundo agora.
Compartilhe com a sua rede profissional: