SOC105 · Engenharia de detecção com ferramentas SIEM
Sobre o curso
Projete, escreva, teste e ajuste regras de detecção como código. Você vai usar o Sigma para escrever detecções portáveis, convertê-las para um SIEM e submetê-las a um processo repetível de testes e ajustes.
Para quem é
Analistas e engenheiros de segurança responsáveis pela qualidade dos alertas de um SIEM.
Pré-requisitos
Concluir o SOC103 e o SOC104, ou ter experiência prática com buscas em SIEM e mapeamento no ATT&CK.
O que você será capaz de fazer
- Escrever uma especificação de detecção com objetivo, fonte de dados, lógica, fontes de falsos positivos e resposta
- Criar regras Sigma e convertê-las com o sigma-cli para o Elasticsearch ou outro SIEM
- Testar detecções com eventos de exemplo sabidamente legítimos e maliciosos e registrar os resultados
- Ajustar regras com base em precisão, volume de alertas e retorno dos analistas sem criar pontos cegos
Aulas
- Aula 1 · Engenharia de detecção como disciplina
- Aula 2 · Escrevendo regras portáveis com Sigma
- Aula 3 · Testando, ajustando e medindo detecções
- Aula 4 · Laboratório e atividade
Laboratório: Crie e teste três detecções Sigma
Você vai escrever três regras Sigma para comportamentos identificados na análise de lacunas do SOC104, convertê-las com o sigma-cli em consultas do Elasticsearch e executá-las no Kibana contra eventos Windows de exemplo gerados por você. Regras, notas de teste e resultados ficam em um repositório Git, seguindo um fluxo simples de detecção como código.
Ferramentas gratuitas: Elastic Stack no plano básico gratuito em Docker Desktop (ou o laboratório Wazuh do SOC103), sigma-cli (pySigma, gratuito), VS Code e um repositório gratuito no GitHub
Atividade avaliada
Entregue um pacote com três regras de detecção prontas para produção para um pequeno escritório de serviços profissionais. Para cada regra, apresente a especificação, o YAML Sigma, a consulta convertida, as evidências de teste (casos de verdadeiro e falso positivo), o volume esperado de alertas e um guia curto de triagem. Explique uma decisão de ajuste que você tomou e o risco residual que ela cria.
| Critério | Peso | Como é um trabalho excelente |
|---|---|---|
| Especificações de detecção | 25% | Cada regra tem objetivo claro, mapeamento no ATT&CK, fonte de dados, lógica, falsos positivos conhecidos e passos de resposta. |
| Qualidade das regras | 30% | As regras Sigma são válidas, convertem sem erros e miram comportamentos, e não indicadores frágeis. |
| Evidências de teste | 25% | Casos positivos e negativos estão documentados com capturas de tela ou saída das consultas. |
| Ajuste e triagem | 20% | O ajuste é justificado, o risco residual é declarado e o guia de triagem pode ser usado por um analista de nível 1. |
Peça de portfólio
Um repositório Git com um pacote testado de três regras Sigma e guias de triagem.
Próximo passo
Continue com SOC106 · Gestão de vulnerabilidades e atualizações · 8 horas · R$ 80,00
Conteúdo do curso
SOC105 · Engenharia de detecção com ferramentas SIEM (8 h)
-
Aula 1 · Engenharia de detecção como disciplina
-
Aula 2 · Escrevendo regras portáveis com Sigma
-
Aula 3 · Testando, ajustando e medindo detecções
-
Aula 4 · Laboratório e atividade
-
SOC105 Avaliação · Engenharia de detecção com ferramentas SIEM