SLOs de SOC e tuning contínuo
Sem números, o SOC só conta histórias. Com SLOs claros (tempo de triagem, de contenção, precisão e recall) cada ajuste vira uma decisão com evidência.
O que é
Um (service level objective) de segurança é uma meta numérica para o que o time promete entregar: por exemplo, triar alertas críticos em poucos minutos ou conter ataques de antes de tantos por cento das tentativas passarem. Ele transforma um desejo vago ("responder rápido") em algo mensurável e discutível.
As quatro métricas que sustentam o resto
- (tempo médio de triagem): do alerta até alguém classificá-lo como real ou falso.
- (tempo médio de contenção): da confirmação até o ataque estar contido.
- Precisão: dos alertas ou bloqueios que a detecção emitiu, quantos eram realmente ataque.
- Recall: dos ataques que existiam, quantos a detecção pegou.
Precisão e recall puxam em direções opostas
Subir a sensibilidade aumenta o recall e derruba a precisão, com mais falso positivo; apertar a regra faz o contrário. O ponto certo depende do custo: no login de um banco um bloqueio errado custa um cliente irritado, mas um ataque que passa custa muito mais; em um catálogo público, o equilíbrio é outro. Por isso o limiar é uma decisão de negócio apoiada em dados, não um ajuste técnico solitário.
-- 'confirmed' vem da revisão semanal dos eventos que a regra atuou
SELECT rule_id,
COUNTIF(confirmed_attack) AS true_pos,
COUNTIF(NOT confirmed_attack) AS false_pos,
SAFE_DIVIDE(COUNTIF(confirmed_attack), COUNT(*)) AS precision
FROM sec.rule_actions_reviewed
WHERE week = DATE_TRUNC(CURRENT_DATE(), WEEK)
GROUP BY rule_id
ORDER BY precision;Tuning semanal
Um ritual curto e fixo mantém a qualidade: revisar as regras com pior precisão, olhar os falsos positivos reclamados, checar o que passou (recall) pelos incidentes da semana e decidir ajustes. O objetivo declarado é reduzir falso positivo sem perder cobertura, e a prova é a métrica de precisão subindo enquanto o recall se mantém.
Indicadores para a liderança
O que a diretoria precisa não são alertas, e sim tendência: ataques contidos, tempo de resposta, impacto evitado, regras em shadow prontas para virar enforcement. Poucos números estáveis, apresentados com o mesmo formato todo mês, constroem confiança no programa e sustentam o investimento.
conexões no mapa
- SLOs de SOC e tuning contínuomede a precisãoWAF - observação, shadow e enforcement
- SLOs de SOC e tuning contínuoguia o tuningEngenharia de detecção
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- Métricas de segurança e relatórios para a liderançagrcdo SLO operacional ao relatório para a diretoria
- Confiabilidade: SLOs, error budgets e incidentesdevopsSLOs e orçamento de erro, aplicados à detecção
- Observabilidade da própria plataforma de segurançasecengSLOs do SOC e SLOs da própria plataforma
Estude antes
teste o que entendeu
Carregando perguntas…