Revisado em por Roberto Lima
Neste artigo
O que e SIEM
SIEM (Security Information and Event Management) e a tecnologia central de um Security Operations Center (SOC). Ele coleta, normaliza, armazena e correlaciona logs de segurança de toda a infraestrutura, permitindo detectar ameaças, investigar incidentes e atender requisitos de compliance.
O termo SIEM combina duas funções historicamente separadas: SIM (Security Information Management) - armazenamento e analise de logs - e SEM (Security Event Management) - correlação e alertas em tempo real. Soluções modernas adicionam UEBA (User and Entity Behavior Analytics), SOAR (automação) e integração com threat intelligence.
Funções principais do SIEM
- Coleta de logs: Agregação centralizada de eventos de toda infraestrutura
- Normalizacao: Padronização de formatos diferentes para analise unificada
- Correlação: Identificação de padrões que indicam ameaças
- Alertas: Notificação de eventos que requerem atenção
- Investigação: Busca e analise forense de eventos históricos
- Relatórios: Dashboards e reports para compliance e gestão
- Retenção: Armazenamento de logs para requisitos regulatórios
Este artigo utiliza diversas siglas técnicas (SIEM, SOC, SOAR, UEBA, EDR, etc.). Consulte nosso glossário de acrônimos de TI e SI para referência rápida.
Arquitetura de SIEM
Uma implementação SIEM típica envolve múltiplos componentes trabalhando em conjunto:
Componentes da Arquitetura
- Coletores/Forwarders: Agentes que coletam logs nas fontes e enviam ao SIEM
- Agregadores: Servidores intermediarios que concentram logs antes do processamento
- Parser/Normalizer: Converte logs de diferentes formatos para schema padrão
- Correlation Engine: Aplica regras para detectar padrões de ameaça
- Storage: Armazenamento de logs (hot/warm/cold tiers)
- Search/Analytics: Motor de busca para investigação e hunting
- Console: Interface para analistas, dashboards e alertas
Considerações de dimensionamento
- EPS (Events Per Second): Volume de eventos processados - determina capacidade necessária
- Retenção: Quanto tempo manter logs (30 dias hot, 1 ano warm, 7 anos cold para compliance)
- Alta disponibilidade: Redundancia para garantir operação continua
- Escalabilidade: Capacidade de crescer conforme ambiente expande
Fontes de Log Essenciais
Nem todos os logs tem o mesmo valor. Priorize fontes com maior impacto na detecção de ameaças:
Prioridade Alta (implementar primeiro)
- Active Directory: Event IDs 4624/4625 (logon), 4728/4732 (grupos), 4662 (DCSync), 4769 (Kerberoasting)
- Firewall/Proxy: Conexões bloqueadas, tráfego para IPs maliciosos, downloads suspeitos
- EDR/Antivírus: Detecções de malware, comportamentos suspeitos, bloqueios
- VPN/Acesso remoto: Logins de locais anômalos, falhas de autenticação
- Email gateway: Phishing bloqueado, anexos maliciosos, SPF/DKIM failures
Prioridade Media
- Servidores Windows: Security Event Log, PowerShell logging, Sysmon
- Servidores Linux: auth.log, syslog, auditd
- Banco de dados: Acessos privilegiados, queries anomalas, falhas de auth
- Aplicações web: WAF, access logs, erros de aplicação
- Cloud: CloudTrail (AWS), Activity Log (Azure), Audit Log (GCP)
Prioridade Expansão
- DNS: Queries para domínios maliciosos, DNS tunneling
- DHCP: Correlação de IPs com hostnames
- Switches/Roteadores: Netflow, mudanças de configuração
- IoT/OT: Dispositivos industriais, cameras, impressoras
Cuidado com volume
Logs de debug, netflow detalhado e endpoints sem filtragem podem gerar EPS massivo e custos proibitivos. Filtre na origem, colete o que tem valor para segurança. Qualidade > quantidade.
Casos de Uso e Regras de Correlação
Casos de uso são regras que detectam comportamentos suspeitos correlacionando eventos. Comece com detecções de alto impacto e baixo falso positivo:
Detecção de Credenciais Comprometidas
- Múltiplas falhas de login seguidas de sucesso (password spray/brute force)
- Login de um usuário de múltiplas localizacoes geograficas em curto período
- Login em horários anômalos para o usuário
- Primeiro login de um dispositivo desconhecido
- Uso de credenciais em sistemas nunca acessados antes
Detecção de Movimentação Lateral
- Pass-the-Hash: NTLM auth sem logon interativo prévio
- Kerberoasting: Volume anômalo de TGS requests (Event ID 4769)
- Admin logando em workstation (violação de tiering)
- RDP para múltiplos hosts em sequência
- PsExec/WMI execution remota anomala
Detecção de Malware e Execução Maliciosa
- Processo filho anômalo (Word spawning PowerShell)
- Execução de scripts de diretórios temp/downloads
- Conexão para C2 conhecidos (threat intelligence)
- Criptografia massiva de arquivos (ransomware)
- Desabilitacao de antivírus/EDR
Detecção de Exfiltração
- Upload massivo para cloud storage (Dropbox, GDrive, etc.)
- Transferência de dados fora do horário comercial
- Acesso anômalo a file shares sensíveis
- DNS tunneling (queries longas, alto volume)
- Email com anexos grandes para destinatarios externos
Principais Soluções de SIEM
Microsoft Sentinel
Cloud-native SIEM no Azure. Otimo para ambientes Microsoft, pay-per-GB.
CloudIBM QRadar
SIEM tradicional robusto, forte em compliance e regulamentados.
EnterpriseGoogle Chronicle
SIEM cloud com preço fixo, escala massiva, integração com Mandiant TI.
CloudElastic Security
Baseado no Elasticsearch, versão gratuita e paga. Flexível e escalável.
Open SourceWazuh
SIEM open source com EDR integrado. Excelente custo-benefício para PMEs.
Open SourceImplementação Passo a Passo
Fase 1: Planejamento (2-4 semanas)
- Definir objetivos: detecção, compliance, ou ambos?
- Mapear fontes de log prioritárias
- Estimar EPS e necessidades de armazenamento
- Avaliar e selecionar solução
- Definir equipe e responsabilidades
Fase 2: Infraestrutura (2-4 semanas)
- Provisionar servidores/cloud resources
- Instalar e configurar SIEM
- Configurar alta disponibilidade
- Definir políticas de retenção
- Configurar backup
Fase 3: Integração de Fontes (4-8 semanas)
- Integrar fontes de alta prioridade primeiro
- Validar parsing e normalizacao
- Ajustar coletores para otimizar EPS
- Documentar cada integração
- Expandir gradualmente para outras fontes
Fase 4: Casos de Uso (4-8 semanas)
- Implementar regras de detecção prioritárias
- Tunar para reduzir falsos positivos
- Criar dashboards operacionais
- Configurar alertas e notificações
- Integrar com processo de resposta a incidentes
Fase 5: Operação (contínuo)
- Monitoramento 24x7 ou horário definido
- Triagem e investigação de alertas
- Refinamento contínuo de regras
- Adicao de novos casos de uso
- Métricas e reporting
Métricas de Sucesso do SIEM
- MTTD (Mean Time to Detect): Tempo para detectar ameaça - meta: minutos, não dias
- MTTR (Mean Time to Respond): Tempo para conter - integra com IR
- Alert Volume: Quantidade de alertas por dia - muitos = tune necessário
- True Positive Rate: % de alertas que são ameaças reais - meta: >50%
- Coverage: % de ativos enviando logs ao SIEM
- EPS: Eventos por segundo ingeridos
- Uptime: Disponibilidade do SIEM - meta: 99.9%
Perguntas Frequentes
Não, são complementares. EDR detecta ameaças em endpoints com visibilidade profunda. NDR detecta ameaças na rede. SIEM correlaciona eventos de ambos (e outras fontes) para visão holistica. A combinação e mais poderosa que qualquer um isoladamente.
Cloud SIEMs (Sentinel, Chronicle) oferecem escalabilidade elastica, menor overhead operacional e modelo de custo variável. On-premises (Splunk, QRadar) oferecem mais controle e podem ser mais econômicos em volumes muito altos. Tendência e cloud, especialmente para quem já usa cloud providers.
Filtre logs na origem - não envie tudo. Use tiering de storage (hot/warm/cold). Evite logs de debug. Considere pré-processamento com log forwarders. Avalie SIEMs com preço fixo (Chronicle) ou open source (Elastic, Wazuh). Monitore e otimize EPS continuamente.
Conclusão
SIEM e o coracao de qualquer operação de segurança madura. Sem ele, detectar ameaças depende de sorte e alertas isolados de ferramentas individuais. Com ele, você ganha visibilidade centralizada, capacidade de correlação e base para threat hunting proativo.
A implementação bem-sucedida requer planejamento cuidadoso: comece com fontes de alto valor, implemente casos de uso prioritários, e expanda gradualmente. Mais importante que a ferramenta escolhida e a qualidade dos logs coletados e a maturidade dos casos de uso. Um SIEM mal implementado e apenas um repositório caro de logs.
Invista tempo em tuning contínuo, medicao de métricas e evolução do programa. SIEM não e projeto - e capacidade operacional que precisa de atenção constante para entregar valor.
Precisa de Ajuda com SIEM?
Oferecemos consultoria de implementação, integração de fontes e desenvolvimento de casos de uso personalizados.
Falar com Especialista
