Analista de segurança (SOC)

Passar por centenas de alertas num turno e decidir quais são os dois que merecem ser vistos.

Dar o passo: acordar pessoas, tirar um sistema da rede, dizer ao negócio que tem um problema, com informação incompleta e antes de se poder ter a certeza.

Transformar o que aprendeste com um incidente numa regra que apanhe o seguinte sem afogar a fila.

Partir de uma hipótese e não de um alerta: assumir que alguma coisa já está lá dentro e ir procurá-la.

Uma avaliação ao estilo dos serviços de informações, com linguagem de probabilidade calibrada, e não uma medição: «quase de certeza» e «muito provavelmente» são termos definidos na própria escala do NCSC, que o relatório publica ao lado dos juízos. A sua relevância para esta ocupação é indireta mas concreta: mais ataques e engenharia social mais eficaz significam uma fila de alertas maior e mais barulhenta, que é a tarefa mais exposta desta página, pelo que a previsão e a automatização apontam para o mesmo sítio a partir de direções opostas. A avaliação julga ainda que o acréscimo a curto prazo vem da evolução de técnicas existentes e não de técnicas novas, e que os usos sofisticados continuam restritos a atores com dados de treino de qualidade, perícia e recursos; ambas as coisas cortam as leituras mais dramáticas do documento.

Uma pessoa com nome e com posição reconhecida previu algo publicamente, numa data, numa declaração atribuível. É registado para que fique verificável quem disse o quê e quando, e nunca move a avaliação de uma tarefa, porque uma previsão não é uma observação. O seu valor chega depois: o registo fica na mesma página que a prova sobre essa profissão, portanto quem lê a previsão lê ao lado o registo do que aconteceu a seguir. É essa a prestação de contas; este sítio não publica veredicto nenhum sobre se uma previsão se cumpriu.

Um estudo setorial encomendado, não uma medição de algo que aconteceu, razão por que fica num estádio que não muda nada. Lê o mecanismo com cuidado, porque não é aquele que a maioria vai supor: a ferramenta nomeada é SOAR (orquestração, automatização e resposta de segurança), que é automatização de fluxos de trabalho e não um modelo de linguagem. O relatório tem data de outubro de 2022 e a análise que o sustenta tem data de dezembro de 2020, pelo que foi escrito antes de a IA generativa chegar ao público; «IA e analítica» aparece nele como um cabeçalho de tendência que cobre a aprendizagem automática para priorizar alertas, e não modelos de conversa. O que afirma em concreto é que o SOAR vai assumir a monitorização e os relatórios manuais de cibersegurança e potencialmente substituir tarefas centrais como gerir os sistemas e as operações de cibersegurança, reduzindo com isso a mão de obra necessária para essas tarefas, enquanto quem ocupa o posto mantém a análise dos registos e dos relatórios. Cobre apenas a força de trabalho das infocomunicações de Singapura, agrega entrevistas a partes interessadas em vez de medir o emprego, e o próprio relatório diz que as suas conclusões foram tiradas num dado momento e que quem as ler mais tarde tem de as voltar a contextualizar.

Uma pessoa com nome e com posição reconhecida previu algo publicamente, numa data, numa declaração atribuível. É registado para que fique verificável quem disse o quê e quando, e nunca move a avaliação de uma tarefa, porque uma previsão não é uma observação. O seu valor chega depois: o registo fica na mesma página que a prova sobre essa profissão, portanto quem lê a previsão lê ao lado o registo do que aconteceu a seguir. É essa a prestação de contas; este sítio não publica veredicto nenhum sobre se uma previsão se cumpriu.

O degrau de entrada nesta área é a fila de alertas, e é o degrau a que o mecanismo de automatização mais claro está apontado. Isso é um problema a sério para a profissão e não só para ti: o critério que os analistas experientes têm foi construído a moer essa fila, e ninguém desenhou um substituto. Chega cedo ao trabalho de incidentes, e considera que uma equipa que te deixe estar dentro de um incidente real vale mais do que um aumento.

Dois números decidem o futuro da tua equipa e ambos são teus para produzir: a taxa de verdadeiros positivos da tua fila, e quantas deteções retiraram no último trimestre. Uma equipa que não consiga responder à segunda vai ver o seu orçamento de ferramentas gasto a gerar mais daquilo que já não consegue ler.

Ficar e reforçar-te

Sobe na fila, não avances ao longo dela

Quem sobrevive à automatização da triagem são os que afinam aquilo que gera os alertas, e não os que os leem mais depressa.

Refazer o posto

Sê quem conhece este parque

Toda a ferramenta precisa de uma linha de base do normal e nenhum fornecedor consegue fornecer a da tua empresa. Esse saber é a entrada que não se compra e é dele que a caça a ameaças vive.

A triagem está mesmo a mexer-se, e por uma razão que vale a pena perceber: é a mesma tarefa de um segurança a ver imagens de câmaras, e os humanos falham nela da mesma maneira, a vigilância continuada desaba ao fim de cerca de vinte minutos enquanto o software não se aborrece. O que não está a mexer-se é declarar um incidente, porque essa decisão é tomada com autoridade e não com certeza e o custo de ambos os erros é grave. O risco real para a profissão não é a substituição: é que automatizar a triagem retira o degrau onde o critério dos analistas era construído.

Nenhuma data. O sinal é a taxa de verdadeiros positivos da tua própria fila e que parte do teu turno vai para alertas que um sistema conseguiria correlacionar sem ti. Ambos são mensuráveis esta semana. O sinal organizacional a vigiar é outro e é mais preditivo: se a tua entidade patronal está a falar de um serviço gerido, porque a externalização desloca este trabalho sem automatizar nada dele e chega muito antes de qualquer ferramenta.

Escrever a regra é a metade barata e os modelos fazem-no bem, porque uma regra é código com uma saída testável. Decidir o que detetar é a outra metade e depende de saber o aspeto que o normal tem no teu parque em concreto, um saber que está em pessoas e quase em lado nenhum por escrito. A cautela é que escrever regras barato piora o problema dos falsos positivos, porque a restrição nunca foi a escrita: uma equipa que produz dez vezes mais deteções tem de ser dez vezes mais disciplinada a retirá-las, e quase ninguém coloca pessoal para isso.

Protegida da automatização, está: a caça define-se pela ausência de gatilho, o que retira a entrada de que toda a ferramenta de deteção precisa. Mas é a primeira atividade a ser cortada quando a fila está barulhenta, porque não produz pedido nem métrica. É esse o padrão que vale a pena interiorizar: uma tarefa pode ser inteiramente humana e ainda assim desvanecer-se da semana de uma equipa sem ninguém decidir retirá-la, e nesta ocupação é assim que costuma acontecer.