Este artigo faz parte do Detecção e triagem.
O problema da fadiga de alerta
Quando tudo alerta, nada alerta. Times inundados de notificações aprendem a ignorá-las, e o sinal real se perde no ruído.
O objetivo não é monitorar mais, e sim monitorar melhor: gerar sinais que levam a ação. Um alerta que nunca resulta em nada é custo, não proteção.
Fontes de sinal
Detecção combina várias fontes: logs de aplicação e infraestrutura, métricas de comportamento, alertas de segurança e relatos internos.
Nenhuma fonte basta sozinha. O valor está na correlação: comportamentos suspeitos costumam aparecer em mais de um lugar antes de virar incidente.
- Logs de aplicação e infraestrutura.
- Métricas e comportamento anômalo.
- Alertas de segurança.
- Relatos internos e de usuários.
Triagem por gravidade
Triagem separa ruído de incidente real e estima impacto: o que foi afetado, quão grave é e quem acionar. Classificar por gravidade mantém a resposta consistente.
A classificação precisa de critérios objetivos, não de intuição. Sem critério, o mesmo evento pode ser tratado de formas diferentes dependendo de quem está de plantão.
- Separar ruído de incidente real.
- Estimar impacto e alcance.
- Classificar por gravidade com critério.
- Acionar quem precisa, sem excesso.
Sinais que valem a pena
Alguns sinais têm alto valor: acessos incomuns, picos anômalos, falhas repetidas de autenticação, mudanças inesperadas de configuração.
O que importa é o sinal ser acionável: quando aparece, o time sabe o que fazer. Sinal que não tem resposta associada só ocupa atenção.
- Acessos e comportamentos incomuns.
- Picos e padrões anômalos.
- Falhas repetidas de autenticação.
- Mudanças inesperadas de configuração.
Registro desde o início
A linha do tempo começa na detecção, não quando o incidente é confirmado. Registrar o que foi visto e quando ajuda a entender a evolução e a causa depois.
Registro também serve de evidência e alimenta o aprendizado pós-incidente. Perder o começo da história é perder contexto valioso.
Melhoria contínua
Detecção melhora com o tempo. Cada incidente revela sinais que faltavam, e cada falso alarme revela regras a ajustar.
Revise alertas periodicamente: os que nunca disparam podem estar errados, e os que disparam demais precisam de calibração. Detecção é processo vivo, não configuração única.
Perguntas frequentes
Como evitar fadiga de alerta?
Gerando menos alertas e melhores. Um alerta só se justifica se leva a ação. Revise periodicamente os que disparam demais e os que nunca disparam, calibrar é parte do trabalho.
O que registrar na triagem?
A linha do tempo desde a detecção: o que foi visto, quando, o que foi classificado e quem foi acionado. Esse registro ajuda a entender a evolução do incidente e alimenta o aprendizado depois.