O que é SOC em segurança cibernética, o centro de operações de segurança, e como ele funciona
Como um SOC trabalha do log à resposta, os níveis de analista, o SOC as a Service, SOC x NOC e SIEM e as métricas que importam.
Em resumo: SOC (Security Operations Center, ou centro de operações de segurança) é a equipe que monitora o ambiente de uma empresa de forma contínua para detectar, analisar e responder a incidentes de cibersegurança, com processos definidos e tecnologia de apoio, como SIEM, SOAR e EDR. O SOC coleta e correlaciona eventos de redes, servidores, estações, nuvem, identidades e aplicações, separa a ameaça real do ruído e coordena a contenção. Pode ser interno, terceirizado (SOC as a Service) ou híbrido.
O que é um SOC e o que ele faz?
Um SOC é a função de segurança que monitora o ambiente o tempo todo, em geral 24 horas por dia, todos os dias. Reúne pessoas (analistas e engenheiros), processos (como tratar cada alerta e cada incidente) e tecnologia (as ferramentas que coletam, correlacionam e automatizam). O objetivo é encontrar o ataque cedo: quanto antes a ameaça é contida, menor o dano.
Boa parte do trabalho é separar três coisas que o NIST define no guia de resposta a incidentes (SP 800-61, revisão 3). Evento é qualquer ocorrência observável, como uma tentativa de login. Evento adverso é o que tem consequência negativa. Incidente é o que compromete, de fato ou de forma iminente e sem autorização legal, a integridade, a confidencialidade ou a disponibilidade de uma informação ou de um sistema, ou que viola, ou ameaça violar, leis, políticas e procedimentos de segurança ou políticas de uso aceitável.
Por que ter um SOC?
Ataques não respeitam o horário comercial, e sem monitoramento contínuo a empresa corre o risco de descobrir o incidente pelo efeito. O custo pesa: no Cost of a Data Breach Report 2026, da IBM e do Ponemon Institute, o custo médio global de uma violação de dados chegou a US$ 4,99 milhões, um novo recorde e alta de 12% sobre o ano anterior (IBM).
Regras setoriais também pedem monitoramento e resposta: veja os guias CMN 4.893 e BCB 85, do setor financeiro, e IEC 62443, ANEEL e ONS, do setor elétrico.
Como funciona um SOC, do log à resposta?
O dado entra, vira alerta, é analisado e, se for incidente, recebe resposta.
- Etapa 1 SIEM, EDR, NDR, nuvem e identidade
Coleta
Logs e telemetria de firewalls, servidores, estações, rede, nuvem, identidades e aplicações chegam a uma plataforma central, em geral um SIEM.
- Etapa 2 Casos de uso e análise comportamental
Detecção
Regras de correlação, casos de uso e análise comportamental (UEBA) procuram padrões de ataque e geram alertas.
- Etapa 3 Nível 1 e automação
Triagem
Cada alerta é classificado como falso positivo, evento sem risco ou possível incidente. A automação e a IA já fazem boa parte desse filtro.
- Etapa 4 Nível 2 e threat intelligence
Investigação
O analista confirma o incidente, reúne evidências e mede o alcance: quais contas, máquinas e dados foram afetados.
- Etapa 5 Playbooks, nível 3 e a empresa
Resposta
Contenção (isolar a máquina, bloquear a conta, o IP ou o arquivo), erradicação e recuperação, com playbooks e, quando preciso, decisão conjunta com a empresa.
- Sempre Engenharia de detecção
Melhoria contínua
As lições de cada incidente ajustam regras, casos de uso e playbooks, em todas as etapas, e não só no fim.
Qual é o ciclo de resposta a incidentes do NIST?
A revisão 3 do NIST SP 800-61, de abril de 2025, substituiu a revisão 2 (2012) e propõe, no lugar do ciclo de quatro fases, um modelo baseado nas seis funções do NIST CSF 2.0: Governar, Identificar e Proteger preparam a empresa; Detectar, Responder e Recuperar são a resposta ao incidente; e a categoria Melhoria (ID.IM) recebe as lições de todas elas.
| Fase na revisão 2 | Funções do CSF 2.0 na revisão 3 |
|---|---|
| Preparação | Governar, Identificar e Proteger |
| Detecção e análise | Detectar e Identificar (Melhoria) |
| Contenção, erradicação e recuperação | Responder, Recuperar e Identificar (Melhoria) |
| Atividade pós-incidente | Identificar (Melhoria) |
Fonte: tabela 1 do NIST SP 800-61, revisão 3.
Quais são os níveis de analista de um SOC?
A divisão mais comum é em três níveis, com papéis especializados em volta. Os nomes variam; o que importa é cada alerta ter dono e caminho de escalonamento.
| Nível ou papel | O que faz |
|---|---|
| Nível 1 (triagem) | Acompanha a fila, faz a primeira análise, descarta falsos positivos e abre o incidente. É o nível que a automação mais alivia |
| Nível 2 (investigação) | Investiga os incidentes confirmados, correlaciona fontes e define e executa a contenção |
| Nível 3 (especialista) | Trata os casos complexos, faz análise forense e de malware e apoia os incidentes graves |
| Threat hunting | Procura, de forma proativa, sinais de ataque que as regras ainda não detectam |
| Engenharia de detecção | Cria e ajusta casos de uso e regras, mede a cobertura e reduz o ruído |
| Gestão do SOC | Responde por processos, métricas, SLA e comunicação com a liderança |
Quais ferramentas um SOC usa?
Ferramenta sozinha não é SOC, mas o SOC depende delas:
- SIEM. Centraliza logs e eventos, correlaciona e gera alertas.
- SOAR. Orquestra e automatiza a resposta com playbooks.
- EDR. Detecta e responde a ameaças em estações e servidores, inclusive isolando a máquina.
- NDR. Analisa o tráfego da rede em busca de movimentação lateral, comando e controle e exfiltração.
- XDR. Integra a detecção e a resposta de endpoint, rede, e-mail, identidade e nuvem numa plataforma.
- UEBA. Aprende o comportamento normal de usuários e máquinas e aponta desvios, mesmo com credenciais legítimas.
- MITRE ATT&CK. Base de conhecimento pública sobre táticas e técnicas de atacantes, baseada em observações reais. A versão 20 (outubro de 2026) tem 15 táticas na matriz Enterprise e serve para mapear o que os casos de uso detectam (MITRE).
O que é SOC as a Service?
SOC as a Service (SOC como serviço, ou SOC terceirizado) é o SOC contratado de um fornecedor especializado, que opera o monitoramento, a detecção e a resposta 24x7 com equipe e processos próprios, com a plataforma dele ou a da empresa, sob um SLA.
O NIST cita a terceirização do SOC para um provedor de serviços gerenciados de segurança (MSSP) e trata a contratação de terceiros como responsabilidade compartilhada: o contrato precisa deixar claro quem faz o quê (NIST SP 800-61r3, seção 2.2). Pontos a definir:
- Autoridade para agir. Quais ações o fornecedor executa sozinho e quais dependem de aprovação.
- Acesso privilegiado. O fornecedor costuma ter acesso amplo; o NIST pede que esse risco seja considerado e tratado e cita acordos de confidencialidade e cláusulas no contrato como opções.
- Visão de vários clientes. Um prestador pode detectar atividade maliciosa antes, porque correlaciona eventos de vários clientes.
Próximos passos: o modelo e o fornecedor
Qual a diferença entre SOC, NOC e SIEM?
SOC e NOC são equipes com objetivos diferentes; SIEM é uma ferramenta que o SOC usa.
| Aspecto | SOC | NOC | SIEM |
|---|---|---|---|
| O que é | Centro de operações de segurança | Centro de operações de rede | Plataforma que coleta e correlaciona eventos e logs |
| Pergunta que responde | Estamos sob ataque? Qual é o impacto? | A rede e os serviços estão no ar e com bom desempenho? | O que aconteceu, onde e quando? |
| Foco | Ameaças, incidentes e resposta | Disponibilidade e desempenho | Correlação, alertas, busca e retenção |
| Como se relaciona | Usa o SIEM e aciona o NOC quando a resposta mexe na rede | Pode ser o primeiro a ver uma queda causada por ataque | Sem um SOC, gera alertas que ninguém investiga |
SOC tradicional x NG-SOC: o que mudou?
Na leitura da Vortex, o SOC passou por três gerações, da correlação de eventos à convergência dos ambientes:
| Geração | Foco | Como opera |
|---|---|---|
| 01 · SOC tradicional | Detecção | Nível 1 humano dominante e escala por número de analistas; o volume de alertas vence o time |
| 02 · Automação e orquestração | Tempo de resposta | Orquestração no lugar do nível 1, triagem antes do humano e copiloto de IA generativa na investigação |
| 03 · NG-SOC Convergente | Risco de negócio, com IT, OT e IA | Visão unificada de risco, correlação cruzada entre IT e OT e contexto de IA na superfície de ataque |
Gerações da apresentação institucional da Vortex. A curva animada está no Cyber Defense Center, e o post O SOC tradicional não é mais suficiente aprofunda o tema.
SOC para OT: o que muda em ambientes industriais?
Em OT (CLPs, sistemas SCADA e relés que comandam processos físicos), a continuidade do processo vem antes de tudo: um bloqueio que em IT seria rotina pode parar a produção. O guia IEC 62443, ANEEL e ONS compara o SOC de TI e o SOC OT em detalhe. O essencial:
- Coleta passiva de logs e do tráfego industrial, com protocolos como Modbus, DNP3 e IEC 61850.
- Resposta decidida com a operação, para não parar o processo nem desligar carga.
- Patches em janelas de manutenção, com controles compensatórios no intervalo.
- Convergência IT e OT: o ataque pode começar em IT e chegar à OT, e só quem olha as duas redes acompanha o caminho.
Quais métricas medem um SOC?
As mais usadas medem tempo, qualidade e cobertura. Como as siglas variam, o contrato precisa dizer o que inicia e o que encerra cada relógio.
| Métrica | O que mede | Ponto de atenção |
|---|---|---|
| MTTD (tempo médio para detectar) | Do início da atividade maliciosa até a detecção | Depende da cobertura dos casos de uso e da coleta |
| MTTA (tempo médio para reconhecer) | Do alerta até o primeiro atendimento por um analista | Mostra se a fila está sob controle nos alertas críticos |
| MTTR (tempo médio para responder ou resolver) | Do alerta até a contenção ou a solução | O "R" muda de um fornecedor para outro |
| Taxa de falsos positivos | Parcela dos alertas que não eram ameaça | Alta demais esgota a equipe |
| Cobertura do MITRE ATT&CK | Técnicas de ataque que os casos de uso detectam | Cobertura declarada não é cobertura testada: valide com emulação de ataques |
No SLA de referência do Cyber Defense Center da Vortex, por exemplo, o MTTA conta o primeiro atendimento do analista e o MTTR, o chamado solucionado.
O Cyber Defense Center, o SOC as a Service da Vortex
A Vortex Security é líder em MSSP no Brasil e opera o Cyber Defense Center (CDC), o NG-SOC Convergente da Vortex: um serviço gerenciado de detecção e resposta 24x7x365 para ambientes IT, OT e IA, com hiperautomação.
O CDC tem a maior biblioteca de casos de uso de detecção. Na prática:
- Mais de 5.000 casos de uso de detecção e mais de 3.000 playbooks, com engenharia de detecção contínua alinhada ao MITRE ATT&CK.
- SLA de referência de 15 minutos para o primeiro atendimento de incidentes de alta criticidade e MTTR de 2 horas, com as condições finais definidas em proposta.
- 70% de automação em data mining, menos de 4% de falsos positivos e threat intelligence de mais de 150 fontes.
- SOC redundante 24x7x365 em dois centros ativos, no Rio de Janeiro e em São Paulo, com células dedicadas para OT e operação certificada ISO/IEC 27001, ISO/IEC 27701 e ISO 22301.
- Agnóstico de SIEM e de fabricante: aproveita as ferramentas que a empresa já tem.
- Reconhecimento do ISG: Líder no ISG Provider Lens 2026 em Next-Gen SOC/MDR Services (Midmarket), no Brasil.
Perguntas frequentes
O que significa SOC?
SOC é a sigla em inglês de Security Operations Center, ou centro de operações de segurança: a equipe, com processos e tecnologia, que monitora o ambiente de uma empresa de forma contínua para detectar, analisar e responder a incidentes de cibersegurança.
O que é SOC as a Service?
É o SOC contratado como serviço. Um fornecedor especializado opera o monitoramento, a detecção e a resposta 24x7, sob um SLA, e o contrato define o que ele pode fazer em nome da empresa.
Qual a diferença entre SOC e NOC?
O SOC cuida da segurança: detecta e responde a ameaças. O NOC cuida da rede e dos serviços: disponibilidade e desempenho. Os dois conversam, mas têm objetivos, indicadores e equipes diferentes.
Qual a diferença entre SOC e SIEM?
SIEM é uma ferramenta que coleta, correlaciona e guarda eventos e gera alertas. SOC é a operação: as pessoas e os processos que usam o SIEM para investigar e responder. Um SIEM sem SOC gera alertas que ninguém trata.
Qual a diferença entre SOC e MDR?
SOC é a função, interna ou terceirizada. MDR (detecção e resposta gerenciadas) é um modelo de serviço que entrega essa função com investigação e resposta ativa pelo fornecedor. Veja o guia O que é MDR e, para escolher entre os modelos, o comparativo MDR, MSSP ou SOC interno.
O que é um SOC 24x7?
É o SOC que opera 24 horas por dia, 7 dias por semana, com analistas em turnos, porque ataques acontecem a qualquer hora.
Como a inteligência artificial é usada no SOC?
Na triagem de alertas, no enriquecimento, na correlação, na análise comportamental, na investigação com copilotos de IA generativa e na resposta com agentes e hiperautomação, com as decisões críticas nas mãos de analistas. Veja o guia Inteligência artificial no SOC. Para proteger a IA que a própria empresa usa, veja o guia Segurança de IA; na Vortex, essa frente é o Vortex AI Journey.
Fontes
Páginas consultadas em 02/11/2026.
Quer um SOC 24x7x365 para IT, OT e IA sem montar a operação do zero?
Conte o momento da sua operação de segurança e um especialista da Vortex entra em contato.
- Retorno de um especialista
- Resposta rápida
- Atendimento personalizado
Atualizado em