Um invasor leva, em média, 29 minutos para sair do ponto onde entrou e começar a se mover pela rede. Em uma das intrusões registradas no último ano, a cópia dos dados começou quatro minutos após o acesso inicial. Do outro lado dessa corrida, o tempo que esse invasor permanece dentro do ambiente antes de alguém perceber subiu para uma mediana global de 14 dias. Entre esses dois números existe uma pergunta que nenhum painel de monitoramento responde sozinho: quem tem autoridade para agir?
Essa é a distância entre ver e fazer. E é sobre ela que este artigo trata.
Neste artigo você vai ler
• Por que a sua operação está perdendo uma corrida de 29 minutos
• O que é um SOC reativo, e por que a sua empresa provavelmente tem um
• Monitorar já é obrigação, não diferencial
• As seis capacidades que transformam um SOC em SOC proativo
• Como medir se o seu SOC já é proativo
• Quanto custa a distância entre detectar e agir
• LGPD, ANPD e o que muda para quem opera no Brasil
• Cinco perguntas para fazer ao seu fornecedor de SOC
• Perguntas frequentes sobre SOC proativo
A corrida que a sua operação está perdendo
Três números publicados em 2026 explicam por que o modelo clássico de segurança parou de funcionar.
O primeiro vem do relatório anual da CrowdStrike: o tempo médio de breakout, ou seja, o intervalo entre o comprometimento inicial e o começo do movimento lateral pela rede, caiu para 29 minutos, um aumento de 65% na velocidade em relação a 2024. O mais rápido já registrado foi de 27 segundos.
O segundo vem da Unit 42, da Palo Alto Networks, que investigou incidentes reais e mediu o caminho completo: do acesso inicial até a exfiltração confirmada de dados em 72 minutos, uma aceleração de quatro vezes em um ano.
O terceiro é o que dói. Segundo o M-Trends 2026, da Mandiant e do Google Cloud, a mediana global de permanência do invasor subiu de 11 para 14 dias. A narrativa confortável de que esse tempo cai a cada ano deixou de ser verdade.
Some a isso o Verizon Data Breach Investigations Report, que apurou: apenas 26% das vulnerabilidades críticas foram totalmente remediadas em 2025, contra 38% no ano anterior, e o tempo mediano de correção subiu para 43 dias. Enquanto isso, a CrowdStrike observou que 88% da exploração de vulnerabilidades com prova de conceito pública acontece em até 48 horas da divulgação.
O atacante trabalha em minutos. A operação responde em dias. Nós já tratamos desse desequilíbrio quando escrevemos sobre ameaças aceleradas por inteligência artificial, e o quadro só ficou mais nítido desde então.
O que é um SOC reativo (e por que a sua empresa provavelmente tem um)
Um SOC, ou Security Operations Center, é o centro de operações de segurança: a estrutura de pessoas, processos e tecnologia que observa o ambiente em busca de sinais de ataque. Quase toda empresa de médio ou grande porte tem alguma versão disso hoje, mesmo que não chame assim.
O problema é que a maior parte dessas estruturas para na primeira metade do trabalho. Elas detectam. Não necessariamente agem.
Os números da rotina real de um SOC mostram o tamanho do gargalo. Na pesquisa mais recente da Vectra AI, com 1.450 profissionais de segurança, o volume caiu para 2.992 alertas por dia, contra 3.832 no ano anterior. Mesmo com menos ruído, 63% dos alertas nunca são tratados e o tempo gasto em triagem manual continuou exatamente onde estava: 2,5 horas por dia. Em 41% das equipes, passa de três horas.
A pesquisa da Splunk com mais de dois mil líderes de segurança aponta a causa mecânica: 78% dizem que suas ferramentas de segurança são dispersas e desconectadas, e 46% gastam mais tempo mantendo ferramentas do que defendendo a organização. Cada ferramenta gera a sua própria fila. Ninguém fecha nenhuma delas.
Aqui vale desfazer um diagnóstico apressado. É comum atribuir tudo isso à falta de gente, mas 69% dos profissionais ouvidos pela Vectra dizem ter analistas em número suficiente. O problema não é headcount. É capacidade de ação: alguém com dado, contexto, ferramenta e mandato para intervir antes que o alerta virasse incidente.
E parte dessa incapacidade nem chega ao painel. Aplicações e serviços contratados fora da governança da TI, aquilo que chamamos de Shadow IT, ampliam a superfície de ataque sem gerar um único log no lugar certo. Não se responde ao que não se vê.
Monitorar já é obrigação, não diferencial
Esta é a virada mais importante do artigo, e ela é normativa, não retórica.
O NIST Cybersecurity Framework 2.0, publicado em fevereiro de 2024, organiza a segurança em seis funções: Govern, Identify, Protect, Detect, Respond e Recover. Repare em como o documento define as duas que interessam aqui. Detect é encontrar e analisar possíveis ataques. Respond é, na letra do framework, "ações relativas a um incidente detectado são tomadas".
Ou seja: coletar evento e acender luz vermelha não fecha nem a função Detect, que já exige análise. E não toca na função Respond.
Os CIS Critical Security Controls, do Center for Internet Security, dizem a mesma coisa em linguagem operacional, em três degraus:
• Control 8, Audit Log Management: coletar, alertar, revisar e reter logs de auditoria. Coletar log é um quarto do controle.
• Control 13, Network Monitoring and Defense: monitoramento e defesa. Monitoramento sem defesa não cumpre o controle.
• Control 17, Incident Response and Management: manter capacidade de resposta com políticas, planos, papéis definidos, treinamento e comunicação, para "preparar, detectar e responder rapidamente a um ataque".
Muitas operações estão no degrau 8, acreditam estar no 13 e não têm o 17.
A ISO/IEC 27001:2022 traz o monitoramento como controle 8.16 do Anexo A, e a série ISO/IEC 27035 descreve o ciclo completo de gestão de incidentes, da detecção à conclusão, em nove etapas. O monitoramento contínuo cobre, essencialmente, a primeira.
E há um detalhe que quase nenhum conteúdo em português registrou: o NIST reescreveu a sua norma de resposta a incidentes em 2025, depois de treze anos. A SP 800-61 Revisão 2, de 2012, foi formalmente retirada. A Revisão 3 abandonou o antigo ciclo linear de quatro fases e reorganizou a resposta a incidentes em torno das seis funções do CSF 2.0, tratando-a como parte contínua da gestão de risco, e não como manual de emergência guardado na gaveta.
A conclusão prática é direta: monitoramento é o piso regulatório. O diferencial começa nos minutos seguintes ao alerta.
As seis capacidades que transformam um SOC em SOC proativo
Proatividade não é um produto que se compra. É um conjunto de capacidades que se constrói. São seis.
1. Threat hunting: procurar o que nenhum alerta apontou
Threat hunting, ou caça a ameaças, é a busca ativa pelo invasor que já passou pelas defesas automáticas, sem esperar que um alerta soe. O caçador parte de uma hipótese, do tipo "se um atacante estivesse usando esta técnica, que rastro deixaria nos meus logs", e vai procurar esse rastro nos dados.
O modelo de maturidade de caça criado por David Bianco separa cinco níveis. No HMM0, a organização depende exclusivamente de alertas automatizados e, nas palavras do autor, não é considerada capaz de caçar. No HMM4, cada caça bem-sucedida é convertida em detecção automática, liberando os analistas para procurar a próxima coisa.
Esse arco, do HMM0 ao HMM4, é literalmente o caminho do monitoramento à ação. E ele produz resultado concreto: foi durante atividades de Cyber Threat Intelligence e Threat Hunting que o nosso próprio time identificou uma campanha de malware que se disfarçava de atualização do XProtect no macOS para instalar um backdoor. Os indicadores de comprometimento foram compartilhados com a Apple, o AlienVault OTX e o VirusTotal. O caso completo está aqui: malware no macOS, o falso XProtect que instala backdoor em Macs.
Nenhum alerta pediu aquela investigação. Foi ela que gerou a detecção.
2. Inteligência de ameaças: detectar comportamento, não endereço IP
A Pirâmide da Dor, também de David Bianco, ordena os indicadores de ameaça pelo custo que a detecção deles impõe ao atacante. São sete níveis, da base ao topo: valores de hash, endereços IP, nomes de domínio, artefatos de rede, artefatos de host, ferramentas e, no alto, táticas, técnicas e procedimentos, os TTPs.
A lição vale o parágrafo: bloquear um endereço IP é um inconveniente de minutos para o adversário, que troca de infraestrutura sem esforço. Detectar no nível de comportamento o obriga a fazer a coisa mais demorada que existe, que é aprender a agir de outro jeito.
Isso explica por que 82% das detecções em 2025 foram sem malware. O adversário não invade, ele faz login. Nos casos investigados pela Sophos, fatores ligados a identidade respondem por 67,32% das causas-raiz, e havia ausência ou má configuração de autenticação multifator em 59,46% dos incidentes. Assinatura de vírus não enxerga credencial legítima usada por quem não deveria.
3. Engenharia de detecção: tratar regra de detecção como software
Detection engineering é escrever, versionar, testar, medir e aposentar regras de detecção com o mesmo rigor com que se trata código. O formato aberto Sigma, por exemplo, dá a cada regra um
status de ciclo de vida, de experimental a stable e deprecated, e uma taxonomia de severidade em que regras marcadas como críticas não devem gerar falsos positivos.
O contraste de adoção é o dado mais revelador desta seção: 74% dos líderes de segurança apontam engenharia de detecção como a habilidade mais importante para o futuro do SOC, mas apenas 35% praticam detection as code hoje, contra 63% que gostariam de praticar. Consenso amplo, execução minoritária.
Sem esse trabalho, o catálogo de detecções só cresce, nunca melhora. É assim que uma operação acumula milhares de regras e, ainda assim, deixa 63% dos alertas sem tratamento.
4. Automação e inteligência artificial: entregar à máquina o que é repetitivo
Enriquecer o alerta com contexto, abrir e classificar o ticket, isolar uma máquina, bloquear um usuário. Esse trabalho é previsível e mecânico, e é exatamente o que a automação deve absorver, liberando o analista para investigar e caçar.
O ganho é mensurável. Segundo o Google Cloud, a triagem manual tem linha de base de cerca de 30 minutos por tarefa e passa a uma validação quase instantânea com apoio de agentes. Em operação real de caça, os leads de detecção disparados por agentes de inteligência artificial cresceram 2,5 vezes a taxa dos leads humanos.
E o número que fecha o business case: organizações que usam inteligência artificial e automação em segurança de forma extensiva economizam US$ 1,93 milhão por violação em relação às que não usam, na medição da IBM.
Dito isso, vale a honestidade técnica. A Gartner projeta que mais de 40% dos projetos de inteligência artificial agêntica serão cancelados até o final de 2027, por custo, valor de negócio pouco claro ou controle de risco insuficiente, e alerta para o "agent washing", a prática de rebatizar assistentes e chatbots antigos como soluções autônomas. Automação em segurança funciona com supervisão humana declarada, não com autonomia sem responsável. Quando a autonomia da máquina passa a valer por si, o risco muda de natureza, assunto que tratamos em ataques a agentes de IA e no caso do incidente que revelou o que a IA agindo sozinha significa para governança e SOC.
5. Validação contínua: testar a defesa antes que o atacante teste
A gestão contínua de exposição a ameaças, ou CTEM na sigla em inglês, é definida pela Gartner como "uma abordagem pragmática e sistêmica que organizações podem usar para avaliar continuamente a acessibilidade, a exposição e a explorabilidade de ativos digitais e físicos". A consultoria previu que, até 2026, organizações que priorizassem investimentos com base em um programa de CTEM alcançariam redução de dois terços nas violações.
2026 chegou. A pergunta que vale fazer internamente é simples: a sua empresa prioriza correção por exposição real e explorabilidade, ou ainda prioriza por nota de vulnerabilidade em planilha?
A peça que quase ninguém executa é a validação. Exercícios de purple team, em que quem ataca e quem defende trabalham na mesma sala, permitem executar uma técnica, observar se ela apareceu nos painéis e corrigir a detecção na hora, em vez de esperar o relatório anual de teste de intrusão. A MITRE publica planos de emulação de adversário gratuitos e automatizados justamente para tornar isso viável.
Detecção que nunca foi testada não é detecção. É expectativa.
6. Resposta ensaiada: o plano que ninguém treinou é o plano que falha
Preparação para incidente é decidir antes o que fazer depois: quem decide, quem comunica, quem desliga o quê. O valor não está no documento, está no ensaio.
Por que o ensaio importa tanto? Porque em 87% dos incidentes investigados pela Unit 42 foi preciso cruzar evidências de duas ou mais fontes distintas, chegando a dez nos casos complexos. Um plano que dependa de convocar pessoas por telefone e procurar log em silos separados não cabe em 72 minutos.
A CISA determina, entre suas metas de desempenho em cibersegurança, que planos de resposta de TI e de tecnologia operacional sejam mantidos e ensaiados com regularidade, no mínimo anualmente. No Brasil, o Decreto nº 12.573, de agosto de 2025, que instituiu a nova Estratégia Nacional de Cibersegurança, fala explicitamente em planos de contingência e exercícios simulados.
Vale lembrar que responder bem inclui conseguir voltar. Contenção sem capacidade de restauração apenas troca um problema por outro, e é por isso que tratamos alta disponibilidade, recuperação de desastres e backup como parte da mesma conversa.
Quanto custa a distância entre detectar e agir
O custo médio global de uma violação de dados chegou a US$ 4,99 milhões, alta de 12% e recorde histórico, impulsionado justamente por custos maiores de detecção, escalação e negócio perdido. Uma em cada quatro violações maliciosas já é habilitada por inteligência artificial, e essas custam em média US$ 6 milhões. A própria IBM resume o mecanismo: quando existe um intervalo longo entre descoberta e remediação, "esse desequilíbrio aparece diretamente no custo da violação".
No Brasil, o custo médio de uma violação subiu para R$ 7,19 milhões, chegando a R$ 11,43 milhões na saúde e R$ 8,92 milhões no setor financeiro, segundo o recorte nacional da edição anterior do mesmo estudo.
Mas a evidência mais direta a favor do modelo proativo não é de custo, é de tempo. A Sophos analisou 661 casos reais e comparou dois grupos: ambientes acompanhados por detecção e resposta gerenciadas tiveram mediana de permanência do invasor de 2 dias, contra 5 dias nos casos de resposta reativa acionada depois do estrago. A conclusão do relatório é explícita: o monitoramento proativo do ambiente produziu resultados melhores do que a investigação reativa.
Dois dias contra cinco. É a mesma ameaça, o mesmo tipo de empresa e um resultado diferente, decidido pela postura da operação.
Para quem dirige empresa de médio porte e acha os milhões da média global distantes, há um número mais próximo: o estudo de impacto do Verizon aponta mediana de US$ 38 mil de perda em empresas com receita abaixo de US$ 25 milhões, sendo que interrupção de negócios é o maior componente de perda e saltou de 21% para 32% do total em um ano. Interrupção é exatamente o que a resposta rápida evita.
LGPD, ANPD e o que muda para quem opera no Brasil
No Brasil, detecção e resposta deixaram de ser boa prática e passaram a ser exigência com nome e artigo.
O art. 46 da Lei Geral de Proteção de Dados obriga os agentes de tratamento a adotar medidas de segurança técnicas e administrativas aptas a proteger dados pessoais. O art. 48 obriga a comunicar à Autoridade Nacional de Proteção de Dados e ao titular o incidente que possa acarretar risco ou dano relevante. O art. 52 prevê multa de até 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração. Quem quiser entender como tratamos conformidade na prática pode consultar a nossa página sobre LGPD.
A palavra que carrega o peso ali é apta. Uma medida que registra o incidente e não o interrompe é apta?
A fiscalização deixou de ser hipótese. A ANPD publica nove decisões em processos sancionadores, e oito envolvem órgãos públicos. Em julho de 2026, a autoridade instaurou processo contra uma organização social por um ransomware que expôs cerca de 500 mil registros de pacientes de unidades públicas de saúde, entre eles 78.772 crianças e adolescentes.
O caso mais didático, porém, é anterior. Em uma apuração sobre o Ministério da Saúde, a ANPD documentou uma vulnerabilidade que permitiu acesso a dados pessoais sem autenticação, de novembro de 2021 a maio de 2022. O incidente foi comunicado à autoridade em 3 de maio de 2022, mas os titulares só foram avisados em 16 de setembro, quase quatro meses depois. Cinco meses de exposição e quatro meses de atraso na comunicação são, tecnicamente, falha de detecção seguida de falha de resposta.
O contexto de ameaça acompanha. No primeiro semestre de 2026, o Brasil registrou 249,3 bilhões de tentativas de ataque e 6.932 incidentes de ransomware, no levantamento do FortiGuard Labs. O volume total caiu em relação ao ano anterior, mas o perfil mudou: as varreduras de reconhecimento cresceram 44% e mais de 95% da atividade mapeada já está na etapa final da cadeia de ataque. Menos ruído, mais precisão.
Dois recortes merecem atenção de quem opera aqui:
• Saúde. O Brasil concentrou 51% das ocorrências de ransomware no setor de saúde da América Latina, e 96% dos incidentes envolveram exfiltração de dados antes da criptografia. Quando o pedido de resgate aparece na tela, o dado já saiu. Backup resolve a disponibilidade, não o vazamento.
• Setor público municipal. Em agosto de 2026, um ataque à cadeia de suprimentos atingiu ao menos 24 instituições municipais do Espírito Santo por meio de um único fornecedor de sites, que atende dezenas de prefeituras e câmaras. Em 2021, o comprometimento de um servidor de federação municipal afetou 245 municípios de uma vez. Nenhuma prefeitura isolada detecta esse padrão. Uma operação que monitora o conjunto, sim.
Some-se a isso o quadro de pessoal: 10% das empresas brasileiras não têm nenhum profissional dedicado à cibersegurança e 35% têm menos de cinco. Um turno verdadeiramente contínuo exige, no mínimo, de seis a oito pessoas. E mesmo quem reconhece o problema encontra barreira: na pesquisa da Fortinet, 56% dos líderes de tecnologia apontam a falta de expertise como causa primária das violações, pelo terceiro ano consecutivo, enquanto 49% não conseguem aprovação corporativa para contratar.
Cinco perguntas para fazer ao seu fornecedor de SOC
Se você levar apenas uma coisa deste artigo, leve estas perguntas. Elas separam operação madura de painel bonito, e nenhuma delas se responde com material de marketing.
1. Qual é a nossa cobertura de detecção medida em MITRE ATT&CK, e contra qual perfil de ameaça? A resposta precisa ser um percentual e um perfil, não um "cobrimos tudo".
2. Quando essa detecção foi testada pela última vez, e como? Detecção nunca validada é expectativa. Pergunte por exercício de emulação de adversário, não por relatório de varredura.
3. Quem tem autoridade para isolar um host às três da manhã, sem abrir chamado e sem esperar aprovação? A MITRE coloca "dar ao SOC a autoridade para fazer o seu trabalho" como a segunda das onze estratégias de um centro de operações de classe mundial. Autoridade não se compra junto com a ferramenta.
4. O MTTR informado no contrato significa iniciar a resposta ou concluir a recuperação? São coisas diferentes, com donos diferentes. Fornecedor que não distingue as duas está vendendo ambiguidade.
5. O nosso plano de resposta foi ensaiado nos últimos doze meses, com quem, e o que mudou depois? Plano sem ensaio e sem lição registrada é documento, não capacidade.
Se as respostas vierem vagas, você não tem um problema de tecnologia. Tem um problema de operação.
Perguntas frequentes sobre SOC proativo
Qual é a diferença entre SOC reativo e SOC proativo?
O SOC reativo espera o alerta e reage a ele. O SOC proativo faz três coisas que o reativo não faz: procura ameaças sem alerta prévio, por meio de threat hunting; constrói e testa as próprias detecções, em vez de usar apenas as que vêm de fábrica; e tem autoridade e automação para agir nos primeiros minutos. Na prática, a diferença aparece em dois números, o tempo de permanência do invasor e o percentual de incidentes descobertos internamente.
Monitoramento 24x7 é suficiente para atender à LGPD?
Não necessariamente. O art. 46 exige medidas de segurança aptas a proteger os dados, e o art. 48 exige comunicação do incidente que traga risco relevante. Monitoramento que registra o evento mas não o interrompe, e que não sustenta uma comunicação tempestiva com evidência, dificilmente será considerado apto. Detecção sem capacidade de resposta e sem trilha documentada é exposição jurídica, além de operacional.
Quanto tempo um invasor fica dentro de uma rede antes de ser detectado?
A mediana global é de 14 dias, segundo o M-Trends 2026, com alta em relação aos 11 dias do ano anterior. Em casos de espionagem, a mediana chega a 122 dias. Ambientes com detecção e resposta gerenciadas registram mediana de 2 dias, contra 5 dias em resposta reativa.
Vale mais montar um SOC interno ou contratar um SOC gerenciado?
Depende de escala e de continuidade. Um turno verdadeiramente ininterrupto exige de seis a oito profissionais especializados, mais tecnologia, mais inteligência de ameaças, mais engenharia de detecção. Para a maior parte das empresas de médio porte, e para a maioria dos órgãos públicos municipais, montar isso internamente é mais caro e mais lento do que contratar. O critério de decisão não deve ser preço isolado, e sim as cinco perguntas da seção anterior.
Quais métricas mostram se um SOC está funcionando?
As quatro essenciais são tempo médio de detecção, tempo até o início da resposta, taxa de falsos positivos e cobertura de detecção medida contra o perfil de ameaça da organização. A elas somamos duas de contexto: o percentual de incidentes descobertos internamente e o número de investigações iniciadas sem alerta prévio.
Qual a diferença entre NOC e SOC?
O NOC, ou Network Operations Center, cuida de disponibilidade e desempenho: garante que a operação não pare. O SOC cuida de ameaça e resposta: garante que a operação não seja tomada. São funções complementares, com ferramentas e rotinas próprias, e operam melhor integradas do que separadas.
Da implantação à operação, sem intervalo entre as duas
Segurança não é um painel. É uma decisão tomada às três da manhã por alguém que tem contexto, ferramenta e mandato para tomá-la.
É assim que operamos o SOC Shield: analistas em turnos contínuos, 24 horas por dia, 7 dias por semana, 365 dias por ano, com correlação que separa sinal de ruído, playbooks documentados seguindo o ciclo de resposta a incidentes do NIST, cobertura de endpoints, redes, servidores, aplicações e ambientes em nuvem, e integração com as plataformas Fortinet e IBM. A nossa certificação Fortinet atesta a qualidade técnica dessa entrega. Quem preferir ver resultado antes de discurso pode consultar os nossos cases e a nossa abordagem completa de cibersegurança.
Não somos um monitoramento automático que dispara um alerta e espera você agir. Somos uma equipe técnica certificada que implanta a solução certa e depois permanece, identificando, analisando e respondendo antes que o problema vire indisponibilidade.
Operação não tem horário. Proteção também não.
Quer saber em que nível de maturidade está a sua operação hoje? Nós avaliamos o seu ambiente, medimos onde a detecção para e mostramos onde a resposta precisa começar. Atendemos empresas privadas e organizações públicas, e a resposta sai em até um dia útil.
