Observabilidade da própria plataforma de segurança
Uma detecção que parou de funcionar não faz barulho: ela só deixa de pegar ataques. Observar o próprio pipeline é o que transforma essa falha silenciosa em alerta.
O que é
A plataforma de segurança é um sistema em produção como outro qualquer e precisa de métricas, logs e traces próprios. A diferença é o custo da falha silenciosa: se o pipeline atrasa uma hora, ninguém recebe um erro, mas todo ataque desse período fica sem detecção.
Os sinais que importam
- Lag do consumidor: quanto o processamento está atrás do fim do log. É o indicador mais direto de detecção atrasada.
- Latência fim a fim: do evento na borda até a decisão, em percentis (p50, p95, p99).
- Taxa de erro e de eventos descartados ou enviados à .
- Saturação: uso de CPU, memória e profundidade das filas internas.
- Frescor: tempo desde o último evento por fonte. Fonte que parou de enviar é uma falha, não calma.
Alertar sobre o silêncio
O alerta mais valioso é o de ausência: "a fonte X não enviou nada nos últimos 10 minutos". Em Prometheus, isso se escreve com a métrica de eventos recebidos. O exemplo mostra um alerta para lag alto e outro para fonte silenciosa.
groups:
- name: security-pipeline
rules:
- alert: DetectionLagHigh
expr: max(pipeline_consumer_lag{group="detect-login-failures"}) > 50000
for: 5m
labels: { severity: page }
annotations:
summary: "Detecção atrasada: lag acima de 50k eventos há 5 min"
- alert: EdgeSourceSilent
expr: sum(rate(edge_events_received_total[5m])) by (source) == 0
for: 10m
labels: { severity: page }
annotations:
summary: "Fonte {{ $labels.source }} sem eventos há 10 min"Traces para achar o gargalo
Quando a latência fim a fim sobe, um trace mostra em qual etapa o tempo foi gasto (consumo, enriquecimento, chamada externa, escrita). Com OpenTelemetry, o contexto do trace acompanha o evento entre os serviços, inclusive através de filas, e o mesmo padrão serve a todas as equipes.
SLOs da plataforma
Trate a plataforma como um produto com metas: por exemplo, "99% dos eventos viram decisão em menos de 60 segundos" e "nenhuma fonte crítica silenciosa por mais de 10 minutos". As metas dão critério objetivo para priorizar trabalho de confiabilidade contra funcionalidades novas.
conexões no mapa
- Confiabilidade em escala: idempotência, retries e backpressureé medida porObservabilidade da própria plataforma de segurança
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- SLOs de SOC e tuning contínuosecopsSLOs do SOC e SLOs da própria plataforma
Estude antes
teste o que entendeu
Carregando perguntas…