SOC108 · Automação e resposta de segurança (SOAR)

Automatize com segurança o trabalho repetitivo do SOC. Você vai desenhar playbooks, construir um fluxo de enriquecimento e resposta com ferramentas gratuitas e incluir as proteções e aprovações humanas que mantêm a automação confiável.

Avançar · 8 horas · 4 aulas, um laboratório, uma atividade avaliada e uma peça de portfólio

Para quem é

Analistas e engenheiros de segurança que querem reduzir o tempo de triagem manual sem perder o controle.

Pré-requisitos

Concluir o SOC105 e o SOC107 e saber ler JSON.

O que você será capaz de fazer

• Identificar tarefas do SOC adequadas à automação usando critérios de frequência, consistência e risco
• Desenhar um playbook com gatilhos, enriquecimento, decisões, ações e pontos de aprovação humana
• Construir um fluxo funcional de enriquecimento e resposta a alertas no n8n auto-hospedado com APIs gratuitas de inteligência de ameaças
• Aplicar proteções como listas de permissão, limites de taxa, registro de auditoria e reversão às ações automatizadas

Aulas

• Aula 1 · Conceitos de SOAR e o que automatizar
• Aula 2 · Desenhando playbooks
• Aula 3 · Proteções, testes e operação da automação
• Aula 4 · Laboratório e atividade

Laboratório: Construa um playbook de enriquecimento de alertas de phishing

Você vai construir um fluxo no n8n que recebe um alerta de phishing de exemplo por webhook, extrai IP do remetente, URLs e hash do anexo, enriquece esses dados com APIs gratuitas de inteligência de ameaças e calcula uma pontuação de risco. Casos de alto risco aguardam aprovação humana antes de uma ação de bloqueio simulada, e cada etapa é gravada no registro de casos.

Ferramentas gratuitas: n8n auto-hospedado no Docker Desktop (edição comunitária gratuita), planos gratuitos das APIs do VirusTotal e do AbuseIPDB, e um registro de casos em CSV local ou Google Planilhas

Atividade avaliada

Desenhe e documente um programa de automação para um SOC pequeno que recebe cerca de 200 alertas por dia. Escolha três casos de uso, justifique cada um com tempo economizado e risco, e entregue o playbook completo de um deles, com diagrama do fluxo, o JSON exportado do n8n, limites de decisão, pontos de aprovação, proteções e tratamento de falhas. Inclua um registro de testes com pelo menos três alertas processados: um benigno, um suspeito e um malicioso, por exemplo um falso aviso de cobrança via Pix.

Peça de portfólio

Um playbook de enriquecimento de phishing no n8n, documentado e funcionando, com proteções e evidências de teste.

No seu ritmo, com 12 meses de acesso. Dúvidas são respondidas por escrito pelo painel do aluno. Ao concluir o curso, você recebe um registro de conclusão.