SOC gerenciado para empresas é a operação que roda sobre a plataforma de detecção: coleta, correlação, triagem, severidade, escalonamento, contenção e pós-incidente. Este guia detalha o ciclo de um evento, a diferença entre runbook e playbook, como o SLA é medido, o que muda de 8×5 para 24×7 e o que o relatório executivo entrega.
SOC gerenciado para empresas é o serviço que opera continuamente a detecção e a resposta a incidentes, com equipe, turno, procedimento escrito e prazo medido. A plataforma, um SIEM como o Microsoft Sentinel ou um XDR como o Microsoft Defender, é o instrumento; o serviço é o ciclo que roda sobre ela. Quando esse ciclo tem dono, horário e prazo, existe um SOC gerenciado. Quando não tem, existe uma licença acesa.
São 3h13 de um sábado. Uma estação do financeiro gera um log de autenticação fora do padrão, e nada do que vem a seguir pode depender de alguém da sua empresa estar acordado. É nesse intervalo que o modelo se prova, porque ransomware não espera expediente.
Este guia vai direto à mecânica: o caminho de um evento, do log das 3h13 até a linha no relatório do mês seguinte, passando por runbook, playbook, cálculo de SLA e pelo que a Resolução CD/ANPD nº 15/2024 cobra em três dias úteis.
O ciclo operacional: da telemetria ao pós-incidente
Coleta e ingestão: de onde vem o sinal
A operação começa em conectores que puxam log e sinal de endpoints, identidades no Microsoft Entra ID, e-mail, SaaS, firewall, servidores e nuvem para um workspace único.
A saúde do conector é tarefa diária, e quase ninguém conta isso ao comprador: o guia operacional do Microsoft Sentinel manda revisar todo dia o status dos conectores, a conexão de servidores e estações ao workspace e os limites de ingestão.
Um conector caído não gera alarme, gera silêncio, e silêncio parece segurança. Auditar ingestão todo dia impede a empresa de pagar por um SOC cego. E ingestão é custo: o que entra no SIEM quente e o que vai para retenção longa é decisão de FinOps.
Correlação: como ruído vira incidente
Regras analíticas geram alertas, mas o SOC trabalha incidente: no Sentinel, um agrupamento de alertas com fidelidade suficiente para abrir um caso. É a camada que evita fadiga de alerta, porque sem correlação o time recebe milhares de eventos por dia e para de olhar.
Triagem: a primeira decisão humana
O incidente nasce com status New, recebe um owner, passa para Active quando alguém assume e encerra em Closed, com classificação obrigatória no fechamento: verdadeiro positivo, positivo benigno, falso positivo por lógica ou por dado incorreto, ou indeterminado.
Essa classificação é o histórico que permite calibrar regras e reduzir falso positivo mês a mês. Um SOC que fecha tudo como “resolvido” nunca melhora, e você paga pela mesma imaturidade todo mês.
Classificação de severidade: o que define a fila
No Sentinel a severidade tem quatro valores, alta, média, baixa e informativa, e pode ser elevada por analista ou por regra quando o caso toca um ativo crítico.
Severidade não é gravidade técnica, é prioridade de fila. O mesmo alerta de credencial comprometida vale coisas diferentes para um estagiário e para o CFO, e quem define isso é o mapa de ativos críticos do assessment. Mal calibrada, queima dinheiro nos dois sentidos: alta demais, o plantão perde credibilidade; baixa demais, o incidente que importava dorme na fila.
Escalonamento: quando o N1 passa o bastão
Times de SOC são estruturados em camadas: analistas N1, N2 e N3, caçadores de ameaça e um gerente de operação. O escalonamento acontece pela troca de owner, com contexto registrado no caso.
Existe um segundo escalonamento que o comprador esquece de negociar: o que sai do SOC e chega na sua empresa. Quem é acordado, em que número, com qual autoridade para autorizar ação que derruba produção. Isso vai no runbook antes do incidente.
Contenção e resposta: parar o sangramento
O espectro vai do manual ao automático. No extremo automático, a interrupção automática de ataque do Microsoft Defender correlaciona sinais de endpoint, identidade, e-mail e SaaS em um incidente de alta confiança e contém em tempo real: isola dispositivo, contém IP, desabilita usuário, revoga sessão no Entra ID.
A governança é declarada: confiança de 99% ou superior para conter, baseada em dados reais de produção; ação reversível pelo time de segurança; e lista de exclusão para ativos críticos.
Essa contenção limita movimentação lateral nos minutos iniciais, a janela em que um ransomware decide se vira incidente ou crise, e também pode derrubar um usuário legítimo. Por isso a pergunta certa não é “vocês têm resposta automática?”, e sim “quais ações vocês executam sem me perguntar?”. Essa fronteira é decisão do CEO, não do analista de plantão.
Pós-incidente: a parte que quase ninguém faz
Fechamento com classificação, comentário, revisão da regra que gerou o incidente e ajuste do runbook. O NIST reescreveu sua recomendação na SP 800-61 Revisão 3, de abril de 2025, mapeando a resposta às funções do Cybersecurity Framework 2.0: responder a incidente integra a gestão de risco.
O pós-incidente é o único momento em que o dinheiro gasto vira ativo permanente. Sem ele, você compra o mesmo incidente todo trimestre.
Runbook e playbook: o que já está decidido antes do incidente
Runbook: a checklist que não depende de quem está de plantão
Runbook é o roteiro humano, os passos que o analista executa em cada tipo de incidente. No Sentinel isso se materializa em tarefas de incidente, uma checklist anexada ao caso. A documentação é explícita: padronizar garante que, independentemente de quem está de plantão, o incidente recebe o mesmo tratamento e o mesmo SLA.
Playbook: a automação que executa sem esperar aprovação
Playbook é o roteiro automatizado: no Sentinel, um fluxo de Logic Apps disparado por regra ou manualmente, que executa enriquecimento, notificação ou resposta. Regra de automação serve para tarefa estática, playbook para caso avançado.
Por que padronizar vale mais que contratar o analista genial
Um SOC que depende do analista brilhante tem ponto único de falha com CPF; com runbook escrito, entrega o mesmo resultado na madrugada de domingo e na terça de manhã. Por isso “quantos analistas vocês têm?” é pergunta pior do que “me mostra o runbook para ransomware”.
SLA de segurança: o que realmente está sendo cronometrado
Tempo de detecção e tempo de resposta não são a mesma coisa
Tempo de detecção mede do início do evento até a operação identificar o problema; tempo de resposta, da identificação até a contenção. Um SLA que não separa os dois não significa nada: detecção rápida com resposta lenta indica gargalo depois do alerta, a operação vê e não age.
Como esses tempos são medidos de fato
No Sentinel os tempos não são declaratórios: são calculados sobre a tabela SecurityIncident no Log Analytics, onde cada atualização grava um registro. Na documentação de métricas de SOC, tempo até triagem é a diferença entre a primeira modificação e a criação, e tempo até fechamento, entre o encerramento e a criação.
Preste atenção nos percentis, porque é ali que mora a honestidade do número: a média esconde o desastre, o percentil 99 mostra o pior dia do trimestre.
As perguntas que derrubam um SLA de fachada
- O relógio começa quando o evento ocorre, quando o alerta é gerado ou quando um humano abre o incidente?
- O SLA é de detecção, de notificação ou de contenção? Notificar rápido não é conter.
- Vale para todas as severidades ou só para as altas, nas 24 horas ou só em horário comercial?
- Vocês reportam média ou percentil, e como eu audito isso sem depender do PDF de vocês?
SLA sem gatilho definido e sem base de cálculo auditável é marketing caro: cria a sensação de proteção sem a proteção.
Turno e cobertura: o que muda de 8×5 para 24×7
A janela em que o atacante trabalha
Em cobertura 8×5, um incidente iniciado às 22h de sexta pode ficar na fila até segunda de manhã. Esse intervalo é a diferença entre restaurar um servidor e reconstruir a empresa.
O que sustenta um plantão real
Cobertura 24×7 exige escala de turnos, passagem de plantão formalizada, runbook escrito e volume que justifique manter gente acordada. É aqui que o modelo gerenciado vence o time interno: uma empresa de 50 a 300 colaboradores não sustenta três turnos para o próprio ambiente. O provedor sustenta porque dilui a operação entre muitos clientes.
Além do plantão existe uma cadência: diariamente, triagem, caça a ameaças, revisão de regras e saúde de conectores; semanalmente, atualização de conteúdo e auditoria de alterações; mensalmente, revisão de acesso e de retenção. Essa cadência separa o SOC que se mantém do que se degrada em silêncio.
Modelos híbridos: quando 24×7 não precisa ser total
Cobertura humana em horário comercial com automação de contenção e sobreaviso fora dele é arranjo legítimo. A condição é o contrato dizer o que a automação faz sozinha de madrugada e em quanto tempo um humano entra.
Relatório executivo: o que o CEO e o CFO recebem
O que precisa estar no relatório mensal
- Incidentes por severidade: com variação contra o mês anterior
- Tempo até triagem e até fechamento: com percentis, não apenas média
- Classificações de encerramento: verdadeiro positivo, benigno e falso positivo
- Incidentes com contenção: quais ações foram executadas
- Ativos e identidades recorrentes: onde o problema se repete
- Mudanças de runbook e de regra: o que o mês ensinou à operação
- Saúde da ingestão: fontes conectadas e fontes que pararam de enviar
Compliance: o relógio da ANPD começa antes da sua reunião
Pela Resolução CD/ANPD nº 15/2024, se o incidente atingir dado pessoal e puder causar risco ou dano relevante ao titular, o controlador tem três dias úteis para comunicar à ANPD e aos titulares.
Três dias úteis não são para descobrir o que aconteceu, são para descrever com precisão de peça oficial: categorias de dados afetados, medidas técnicas, riscos, impactos, mitigação e data de conhecimento. Sem log retido, linha do tempo e classificação de encerramento, a empresa chega no prazo sem saber o que foi afetado. O SOC gerenciado produz a evidência que a lei cobra, mas a responsabilidade continua do controlador. Esse ponto se resolve junto com a adequação à LGPD.
Como usar o relatório em decisão de orçamento
O relatório do SOC é insumo de orçamento, não troféu. Se três meses seguidos apontam a mesma origem de incidente, a decisão vira de investimento: controle de acesso, treinamento ou troca de sistema legado. Assim ele converte custo de segurança em decisão de risco, a conversa que interessa ao CFO.
A operação da Qualiserve: NOC próprio, mais de 20.000 dispositivos monitorados
A Qualiserve opera NOC próprio monitorando mais de 20.000 dispositivos. Esse número interessa por três motivos, nenhum deles vaidade.
Escala prova que a operação existe: manter 20 mil dispositivos exige turno, runbook, passagem de plantão e calibragem contínua de regra. Escala torna a cobertura estendida viável para o porte médio, porque o custo do plantão se dilui na base. E escala gera repertório: um incidente inédito para a sua empresa é padrão conhecido para quem observa milhares de ativos todo dia.
O NOC é próprio: o runbook é da casa e a responsabilidade não é repassada a uma quarta parte. Isso vem de uma trajetória de monitoramento em escala: a plataforma que suportou a correção do ENEM em 2011, com 280 mil acessos nos primeiros segundos, e o monitoramento do Metrô de São Paulo e da CPTM entre 2014 e 2015, para 4 milhões de usuários por dia. Em 2019 a Qualiserve fez internamente a virada de break-fix para serviços gerenciados.
Ligar o Sentinel não é ter um SOC. O ambiente Microsoft moderno já traz detecção e resposta no pacote de boa parte das empresas; o que quase nenhuma tem é quem opere aquilo todo dia. O desenho completo de proteção está no hub de segurança, e a operação contínua em monitoramento de segurança e SOC.
O risco de uma empresa de porte médio não é ser alvo escolhido, é ser alvo de oportunidade: ataque oportunista não escolhe faturamento, escolhe exposição. A pergunta de decisão não é quanto custa o SOC, é quanto custam três dias de operação parada, a notificação à ANPD e a conversa com o maior cliente da carteira.
Perguntas frequentes
Meu SOC precisa ser 24 horas por dia?
Depende da janela de operação, da exposição e do apetite a risco. O que não pode é o contrato ser vago sobre o que ocorre fora do horário coberto e quem responde ali.
Como sei se o SOC está funcionando se não houve incidente?
Pela cadência auditável: saúde dos conectores, regras revisadas, playbooks sem falha e classificações de encerramento bem distribuídas. Ausência de notícia não é evidência de proteção.
O SOC gerenciado resolve minha obrigação de LGPD?
Não transfere a responsabilidade, que continua do controlador. Mas produz a linha do tempo e a evidência sem as quais a comunicação em três dias úteis à ANPD é impossível de cumprir.
A resposta automática pode derrubar um sistema legítimo?
Pode. Por isso a fronteira entre ação automática e ação com autorização precisa estar em contrato, com a lista de ativos críticos excluídos e o procedimento de reversão.
Ter Microsoft Sentinel já significa ter um SOC?
Não. O Sentinel é a plataforma. SOC é a operação que roda sobre ela, com gente, turno, runbook e prazo medido. Contratar a ferramenta sem a operação deixa a empresa com custo de ingestão e sem resposta.
Próximo passo
Antes de comparar propostas, entenda o que a sua operação já produz de sinal e o que está deixando passar. O assessment da Qualiserve mapeia fontes de telemetria, lacunas de cobertura e os ativos críticos da régua de severidade.
A operação é da casa: NOC próprio, mais de 20.000 dispositivos monitorados, runbook escrito e turno coberto. Agende o assessment pelo formulário do site ou pelo WhatsApp 11 4941-1500.
