Roadmap / defesa

SOC e Blue Team

Do primeiro alerta à caça de ameaças: o caminho de quem trabalha no centro de operações. Clique em um tópico para abrir e marque seu progresso.

1. 01

   Base do SOC

   Como um centro de operações funciona e o que se espera de quem entra no primeiro nível.

   Funcionamento

   O que é um SOCNíveis L1, L2 e L3Turnos e passagem de plantãoSLA e severidadeTickets e casosMétricas (MTTD, MTTR)

   Fontes de dados

   Logs de autenticaçãoEventos do WindowsFirewall, proxy e DNSGateway de e-mailTelemetria de EDRLogs de nuvem
2. 02

   Triagem e investigação

   Do alerta à decisão: separar ruído de sinal com método e registrar o porquê.

   Método

   Triagem de alertasEnriquecimento de contextoHipótese verificávelQuando escalarRelato do caso

   Casos comuns

   Phishing reportadoForça bruta e sprayMalware em endpointViagem impossívelExfiltração de dadosConta privilegiada nova
3. 03

   Ferramentas do SOC

   As telas e linguagens do dia a dia.

   Plataformas

   SIEMSOAREDRPlataforma de threat intelSandbox

   Linguagens de busca

   SPL (Splunk)KQL (Sentinel/Defender)Regras SigmaRegras YARA
4. 04

   Detecção e caça

   O passo seguinte: criar detecções boas e procurar o que ainda não gerou alerta.

   Engenharia de detecção

   Cobertura ATT&CKAjuste de regrasDetecção como códigoTestes purple team

   Threat hunting

   Caça por hipóteseLinha de baseLOLBinsPersistência

Estrutura inspirada nos roadmaps públicos da comunidade roadmap.sh. Textos da Yatari, recursos de terceiros abertos em nova aba.