Claro empresas detalha ao Crypto ID projeto de SIEM com Microsoft Sentinel, IA e resposta automatizada

A companhia fala em detalhes sobre arquitetura, integração de dados, playbooks, operação do SOC e limites da automação

A Claro empresas detalhou ao Crypto ID como estruturou seu serviço de Gerenciamento de Informações e Eventos de Segurança, o SIEM, baseado no Microsoft Sentinel. A oferta combina coleta e correlação de eventos, análise comportamental, automação de respostas e serviços especializados para monitorar ambientes em nuvem, infraestruturas locais e ecossistemas híbridos.

O aprofundamento técnico mostra que a proposta vai além da centralização de logs. O serviço busca transformar grandes volumes de eventos produzidos por identidades digitais, aplicações, endpoints, servidores, dispositivos de rede e firewalls em incidentes priorizados e contextualizados para as equipes de segurança.

Esse processo responde a um problema recorrente nos Centros de Operações de Segurança, os SOCs: a dificuldade de identificar ameaças reais em meio a milhares de alertas gerados diariamente por ferramentas diferentes.

Claro detalhou como os dados são ingeridos e normalizados, onde a inteligência artificial já participa da operação, quais respostas podem ser automatizadas e como são divididas as responsabilidades entre a companhia e as equipes dos clientes.

A empresa também informou que a adoção da inteligência artificial generativa por meio do Microsoft Security Copilot será uma próxima etapa da oferta. Atualmente, os recursos nativos de IA do Microsoft Sentinel já são utilizados na análise, na investigação e no enriquecimento dos eventos monitorados.

Do dado bruto ao incidente priorizado

O Microsoft Sentinel funciona como o principal pilar tecnológico da solução.

Segundo a Claro empresas, a plataforma recebe eventos originados por diferentes componentes do ambiente corporativo, incluindo soluções de identidades digitais, aplicações, endpoints, servidores, equipamentos de rede e firewalls.

A ingestão é realizada por conectores nativos e, quando necessário, por customizações destinadas a integrações especializadas. O objetivo é reunir informações que normalmente permanecem distribuídas por ferramentas e infraestruturas distintas em um único ambiente analítico.

Após a coleta, os eventos passam por processos de enriquecimento e normalização. Isso permite que registros produzidos em formatos diferentes sejam analisados de maneira conjunta, ampliando a visibilidade sobre o ambiente monitorado.

Na prática, a correlação pode revelar que eventos aparentemente isolados fazem parte de uma mesma sequência de ataque. Uma tentativa de autenticação incomum, uma alteração em uma credencial, a execução de um processo suspeito em um endpoint e uma comunicação de rede atípica podem adquirir outro significado quando analisadas em conjunto.

De acordo com a Claro empresas, essa visão centralizada facilita a identificação de ameaças que poderiam passar despercebidas se cada evento fosse avaliado separadamente.

Correlação busca reduzir o ruído operacional

Coletar todos os eventos possíveis não significa, por si só, melhorar a segurança. Quanto maior o número de fontes conectadas, maior também pode ser o volume de alertas encaminhados aos analistas.

Por isso, uma das funções centrais do serviço é transformar grandes volumes de registros em incidentes priorizados e contextualizados.

A Claro empresas afirma que combina os recursos analíticos do Microsoft Sentinel com sua experiência operacional para correlacionar informações provenientes de fontes diferentes, identificar padrões suspeitos e reduzir alertas sem relevância para a operação.

Além das regras tradicionais de correlação, a plataforma utiliza inteligência baseada em comportamento e enriquecimento de contexto. O propósito é destacar as ocorrências que realmente exigem investigação ou resposta das equipes de segurança.

Esse modelo pode contribuir para diminuir falsos positivos e reduzir o tempo gasto pelos analistas com eventos que não representam ameaças reais. A eficiência, no entanto, depende da qualidade das fontes integradas, das regras configuradas, do conhecimento sobre o ambiente do cliente e do ajuste contínuo dos mecanismos de detecção.

IA já participa da investigação

A inteligência artificial já é utilizada no serviço, mas sua aplicação atual precisa ser diferenciada dos recursos generativos que ainda serão incorporados.

Segundo a Claro empresas, as funcionalidades nativas de IA do Microsoft Sentinel já são empregadas principalmente na análise, na investigação e no enriquecimento dos eventos monitorados.

A companhia prevê iniciar o uso do Microsoft Security Copilot para auxiliar na contextualização dos alertas, na identificação de indicadores de comprometimento e na priorização das ocorrências que apresentam maior risco para cada cliente.

Nesse modelo, a IA não é apresentada como substituta do analista. Seu papel é acelerar atividades que normalmente exigiriam a consulta manual a diferentes fontes, a reconstrução da sequência de eventos e a avaliação do nível de risco de cada ocorrência.

A empresa também estabeleceu um limite importante: decisões estratégicas e ações capazes de provocar impactos significativos no ambiente continuam submetidas à supervisão humana e às políticas de governança de cada organização.

Essa separação é particularmente relevante em ações como bloqueio de usuários, isolamento de dispositivos, revogação de credenciais ou interrupção de comunicações. Uma resposta executada sem o contexto adequado pode conter um ataque, mas também pode interromper processos legítimos e afetar sistemas críticos.

Playbooks reduzem o intervalo entre detecção e resposta

A automação da resposta a incidentes é realizada por meio de fluxos previamente definidos, conhecidos como playbooks.

Esses fluxos determinam o que deverá acontecer quando determinadas condições forem identificadas. Dependendo das políticas do cliente, o sistema pode abrir chamados, enriquecer eventos com informações adicionais, notificar as equipes responsáveis, bloquear acessos suspeitos – como desativar uma conta após múltiplas tentativas de autenticação falhadas -e executar outras medidas de mitigação.

O objetivo é diminuir o intervalo entre a detecção de uma ameaça e a adoção das primeiras ações de contenção.

A automação não possui, entretanto, um nível único de autonomia para todos os clientes. Os procedimentos que podem ser executados dependem das políticas internas, do perfil de risco, das integrações disponíveis e do modelo de governança estabelecido por cada organização.

A Claro afirma que os playbooks são utilizados desde o início da operação do serviço, preservando o nível de controle definido pelo cliente.

Integração não fica restrita ao ecossistema Microsoft

Embora o Microsoft Sentinel seja a base da solução, a Claro empresas afirma que o serviço foi concebido para operar em ambientes corporativos heterogêneos.

Isso significa que a empresa não precisa substituir todas as ferramentas existentes nem utilizar exclusivamente tecnologias Microsoft para adotar o SIEM.

A plataforma pode receber e correlacionar informações provenientes de diferentes soluções de segurança, infraestrutura e aplicações — desde que elas disponham de conectores nativos ou APIs compatíveis. A proposta é criar uma camada unificada de monitoramento e inteligência sobre tecnologias de múltiplos fabricantes.

Essa capacidade é relevante porque os ambientes empresariais normalmente reúnem ferramentas de Endpoint Detection and Response, o EDR, Extended Detection and Response, o XDR, Gestão de Identidades e Acessos, o IAM, firewalls, aplicações em nuvem e sistemas desenvolvidos ou contratados em momentos diferentes.

Ao centralizar esses sinais, o SIEM pode ampliar a visibilidade sem exigir que a organização descarte investimentos tecnológicos já realizados.

Segundo a Claro, preservar o ecossistema existente do cliente é uma das premissas da oferta.

Retenção de dados pode seguir requisitos regulatórios

Os eventos monitorados são armazenados em uma infraestrutura escalável em nuvem.

A Claro empresas informou que as políticas de retenção podem ser configuradas de acordo com os requisitos regulatórios, operacionais e de auditoria de cada organização.

A arquitetura foi projetada para permitir o crescimento gradual da capacidade de monitoramento conforme aumentam o ambiente do cliente, o número de fontes integradas e as necessidades de segurança.

O período de retenção é uma decisão importante porque os registros podem ser necessários para investigações, auditorias, produção de evidências e atendimento a exigências regulatórias.

A companhia informou que a arquitetura é escalável, mas não especificou como o aumento de volume de dados ou a ampliação do período de retenção impactam a composição do custo do serviço.

Modelo pode reduzir a necessidade de expansão do SOC interno

O serviço combina tecnologia de análise e correlação, automação e atuação de profissionais especializados em cibersegurança.

A Claro empresas assume o monitoramento contínuo e a análise dos eventos. Dependendo do modelo acordado, também pode prestar apoio na condução dos incidentes ou participar diretamente da tratativa.

Essa flexibilidade permite atender organizações com estruturas de segurança e níveis de maturidade diferentes.

Uma empresa pode utilizar o serviço como extensão de seu próprio SOC, mantendo internamente decisões e procedimentos críticos. Outra pode contratar uma participação mais ampla da Claro na análise e na resposta aos incidentes.

Segundo a companhia, o modelo permite ampliar a capacidade de monitoramento sem que o cliente necessariamente tenha de expandir sua equipe interna de segurança.

A divisão exata das responsabilidades, contudo, depende do escopo contratado. Por isso, pontos como autoridade para bloquear acessos, comunicação de incidentes, escalonamento, preservação de evidências e acionamento das áreas de negócio precisam ser definidos antes do início da operação.

MTTD, MTTR e falsos positivos estão entre os indicadores

A Claro informou que o desempenho da solução pode ser acompanhado por indicadores como o Tempo Médio de Detecção, conhecido pela sigla MTTD, e o Tempo Médio de Resposta, o MTTR.

Também podem ser avaliados a redução de falsos positivos, os ganhos de produtividade dos analistas, a eficiência das investigações e a ampliação da visibilidade sobre o ambiente monitorado.

Como referência, a empresa apresentou resultados obtidos em um projeto com a Companhia Siderúrgica Nacional, a CSN, divulgados em uma iniciativa realizada com o Valor Econômico.

De acordo com os indicadores informados pela Claro, o projeto registrou aumento de 207% na eficiência operacional do SOC, redução de 87% no ruído e diminuição de 35% no volume de vulnerabilidades em estações de trabalho.

Os números representam um caso específico e não devem ser interpretados como resultados automaticamente reproduzíveis em qualquer organização. A própria Claro ressalta que os indicadores podem variar conforme o cenário e o nível de maturidade de cada cliente.

O projeto com a CSN oferece uma excelente perspectiva, mas resultados variam.

Os 207% de ganho operacional, 87% de redução de ruído e 35% de queda em vulnerabilidades refletem um cenário específico, em uma empresa de infraestrutura crítica, com determinado nível de maturidade. Seus resultados dependerão das integrações realizadas, do desenho dos playbooks, da definição de governança e do contexto operacional do seu ambiente.

Defesa também precisa acompanhar o uso ofensivo da IA

A inteligência artificial não está sendo utilizada apenas por equipes de defesa.

Agentes maliciosos podem empregar IA para automatizar etapas de ataques, ampliar campanhas de phishing, acelerar atividades de reconhecimento e produzir conteúdos fraudulentos mais convincentes.

Nesse cenário, a Claro defende que as ferramentas de segurança também precisam incorporar recursos capazes de analisar volumes de dados que seriam difíceis de processar manualmente no tempo necessário.

Na solução apresentada, a IA auxilia na identificação de padrões anômalos, no enriquecimento dos alertas e na priorização dos incidentes considerados mais relevantes.

Isso não significa que o SIEM identifique necessariamente que um ataque foi produzido por inteligência artificial. O foco está em reconhecer os sinais, comportamentos e anomalias deixados pela atividade maliciosa, independentemente da tecnologia utilizada pelo atacante.

Para a Claro, a IA amplia a capacidade de análise e tomada de decisão dos especialistas, mas não substitui sua experiência.

Da visibilidade à capacidade de resposta

Os esclarecimentos fornecidos pela Claro empresas mostram que o valor de um SIEM não deve ser avaliado apenas pela quantidade de fontes que consegue conectar ou pelo volume de eventos que armazena.

A efetividade depende da capacidade de transformar dados dispersos em contexto, reduzir o ruído, priorizar riscos e acionar respostas compatíveis com as políticas da organização.

A combinação entre Microsoft Sentinel, automação por playbooks, inteligência artificial e serviços especializados pode ampliar a capacidade operacional do SOC. Entretanto, os resultados também dependem da qualidade das integrações, do desenho dos casos de uso, da definição das responsabilidades e da governança sobre as ações automatizadas.

É essa análise mais aprofundada que permite às empresas compreender o que está sendo contratado, quais processos permanecerão sob seu controle e até onde o prestador de serviço poderá atuar diante de um incidente real.

Agradecimentos

O Crypto ID agradece à Claro empresas pela disponibilidade em responder às questões encaminhadas pela redação e por detalhar os aspectos técnicos e operacionais de seu serviço de SIEM.

Os esclarecimentos permitem que profissionais responsáveis por especificar, contratar, integrar e operar soluções de segurança conheçam a arquitetura da oferta, as possibilidades de automação, o papel da inteligência artificial e os limites de governança que precisam ser estabelecidos em cada projeto.

Agradecemos também à equipe de comunicação pela interlocução e pela organização das informações.

Resecurity expande ecossistema de inteligência contra ameaças com integração ao IBM QRadar SIEM

Jeferson Propheta, VP da CrowdStrike, compartilha desafios enfrentados pelas SOCs na escolha de um SIEM e inovações de cibersegurança

ID Talk | Antônio Carlos, da GlobalSign, detalha o papel do Code Signing na segurança do software

O Crypto ID conecta tecnologia, regulação voltada à segurança da informação com inteligência editorial porque acreditamos no poder da informação bem posicionada para orientar decisões.

Conheça a coluna Cibersegurança.