Arquitetura de SIEM: Ingestão, Análise e Correlação de Registros

Uma plataforma de Gerenciamento de Informações e Eventos de Segurança (SIEM) agrega dados de registros de toda a infraestrutura de uma organização e os analisa em busca de sinais de incidentes de segurança. O SIEM combina duas capacidades: o Gerenciamento de Informações de Segurança (SIM) — armazenamento e análise de dados históricos de registros — e o Gerenciamento de Eventos de Segurança (SEM) — monitoramento e geração de alertas em tempo real. Juntos, eles dão às equipes de segurança visibilidade de todo o Environment a partir de uma única interface.

Um SIEM ingere registros de diversas fontes: Firewalls e IDS/IPS, sistemas operacionais (Windows Event Logs, syslog do Linux), sistemas de autenticação (Active Directory, RADIUS, Okta), Endpoints (agentes EDR), plataformas de nuvem (AWS CloudTrail, Azure Activity Log), aplicações (servidores Web, bancos de dados) e dispositivos de rede (switches, roteadores, gateways de VPN). A amplitude da ingestão determina a cobertura de detecção do SIEM.

Os registros Raw chegam em formatos diferentes: CEF (Common Event Format), LEEF (Log Event Extended Format), syslog, JSON, XML do Windows e formatos proprietários. O analisador do SIEM extrai campos estruturados (carimbo de data e hora, IP de origem, IP de destino, usuário, tipo de evento) do texto Raw. A normalização mapeia esses campos para um esquema comum, permitindo que consultas e regras funcionem uniformemente em todas as fontes de registros, independentemente do formato de origem.

A correlação de eventos é o processo de combinar eventos relacionados de várias fontes para identificar padrões que indiquem um incidente de segurança. Um único Login malsucedido é ruído; 50 Logins malsucedidos em 10 contas durante 5 minutos, provenientes do mesmo IP, constituem um ataque de força bruta. Os mecanismos de correlação aplicam regras baseadas em janelas de tempo a fluxos de eventos, agrupando eventos relacionados e gerando alertas quando padrões suspeitos surgem em meio ao ruído.

As plataformas SIEM apresentam dois principais estilos arquiteturais. Os SIEMs locais (Splunk Enterprise, IBM QRadar, ArcSight) oferecem controle total dos dados, mas exigem uma infraestrutura significativa e uma grande sobrecarga operacional. Os SIEMs nativos de nuvem (Microsoft Sentinel, Google Chronicle, Elastic SIEM) oferecem escalabilidade elástica, menor carga operacional e integração nativa com serviços de nuvem. Muitas organizações operam arquiteturas híbridas, usando SIEM na nuvem para registros da nuvem e SIEM local para dados confidenciais que não podem sair do Environment.

Os SIEMs organizam os dados ingeridos em índices ou tabelas por tipo de registro ou período. Os pipelines de dados pré-processam os registros antes do armazenamento: filtram ruídos (excluindo pings de verificação de integridade), enriquecem campos (adicionando geolocalização aos endereços IP) e encaminham registros de alto volume para camadas de armazenamento mais baratas. As políticas de retenção determinam por quanto tempo os registros são mantidos — os requisitos de conformidade geralmente exigem 12 meses on-line, além de armazenamento para arquivamento por 7 anos.

As plataformas SIEM usam linguagens de consulta especializadas para pesquisar dados de registros. A Splunk SPL (Search Processing Language) usa uma sintaxe baseada em pipes. O Microsoft Sentinel usa KQL (Kusto Query Language). O Elastic usa EQL (Event Query Language) e Lucene. Essas linguagens permitem que os analistas filtrem, agreguem, juntem e visualizem dados de registros para investigar incidentes e criar regras de detecção. O domínio da linguagem de consulta do SIEM é uma competência essencial do analista.

Os SIEMs modernos integram-se a plataformas de inteligência de ameaças (TIP) para enriquecer automaticamente os eventos com contexto. Quando um evento contém um endereço IP ou nome de domínio, o SIEM verifica os feeds de inteligência de ameaças (VirusTotal, AlienVault OTX e feeds comerciais) e acrescenta informações sobre se o indicador é conhecido como malicioso, sua categoria de ameaça e sua pontuação de confiança. Esse enriquecimento acelera significativamente a triagem — os analistas veem o contexto sem precisar consultar manualmente cada indicador.

Os painéis do SIEM fornecem visibilidade operacional imediata às equipes do SOC. Os painéis geralmente incluem: principais fontes de alertas por gravidade, tendências de falhas de autenticação ao longo do tempo, mapas geográficos de connections recebidas, pontuações de anomalia da atividade dos usuários e quantidade de incidentes ativos. Os painéis atendem a diferentes públicos — os analistas precisam de detalhes operacionais, enquanto os gestores precisam de resumos de KPI, como o tempo médio para detectar (MTTD) e as tendências do volume de alertas.

Fadiga de alertas ocorre quando um excesso de falsos positivos sobrecarrega os analistas, fazendo com que ameaças reais não sejam percebidas. O gerenciamento de falsos positivos em um SIEM exige: ajuste das regras de correlação adicionando exclusões para comportamentos conhecidos como legítimos, pontuação de risco para priorizar alertas de alta confiabilidade, regras de supressão para silenciar padrões benignos repetitivos e revisão regular das métricas de volume de alertas. O objetivo é obter um volume gerenciável de alertas de alta fidelidade que os analistas possam investigar minuciosamente.

As plataformas de Orquestração, Automação e Resposta de Segurança (SOAR) integram-se aos SIEMs para automatizar a resposta a tipos comuns de alertas. Quando um SIEM dispara um alerta, o SOAR pode automaticamente: consultar a atividade do usuário, verificar o status de conformidade do dispositivo, consultar o IP em fontes de inteligência de ameaças, bloquear o IP no firewall, desabilitar a conta do usuário e criar um chamado de incidente — tudo em questão de segundos. O SOAR permite que as equipes do SOC lidem com volumes maiores de alertas sem aumentar proporcionalmente o número de funcionários.

Teste sua compreensão dos conceitos do CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: os SIEMs agregam e normalizam registros de diversas fontes em um esquema comum; os mecanismos de correlação de eventos aplicam regras baseadas em janelas de tempo para detectar padrões de ataque em vários eventos; e a integração com inteligência de ameaças e a automação SOAR aceleram a resposta dos analistas e reduzem a fadiga de alertas. A seguir, exploraremos como escrever regras e alertas eficazes de detecção para SIEM.