Triagem de alertas com IA: por que o contexto de exposição muda o veredito do SOC

O que é triagem de alertas com IA

Triagem de alertas com IA é o uso de agentes de IA para classificar cada alerta de segurança, decidindo se é ameaça real, atividade legítima ou falso positivo e qual a sua prioridade, a partir da evidência técnica do evento e do contexto do ativo: criticidade para o negócio, dono e exposição conhecida a ataques.

Resumo em 5 pontos

• A severidade vem da regra que disparou. O risco vem do ativo onde ela disparou, e triagem que só lê a regra prioriza errado.
• O mesmo alerta num host exposto à internet com falha explorada ativamente e num host corrigido são dois casos diferentes, com prazos diferentes.
• A exposição muda a prioridade e a profundidade da investigação, mas não substitui a evidência: host corrigido não é host limpo.
• Ativo sem registro no inventário não é ativo sem exposição. É ativo desconhecido, e deve subir na fila.
• O ciclo fecha quando o hunting começa pelo que está exposto e o SOC devolve ao CTEM a exposição que permitiu o incidente.

Na EcoTrust, defendemos uma tese simples: triagem de alertas com IA que não enxerga exposição é uma triagem mais rápida, não uma triagem melhor. O agente lê o alerta, consulta o SIEM e emite veredito em segundos. Ainda assim, pode colocar no topo da fila o servidor que já foi corrigido e deixar para depois o que está aberto para a internet com uma falha que os atacantes exploram hoje.

O artigo sobre como integrar CTEM e SOC descreve os cinco pontos de contato entre os dois ciclos. Aqui aprofundamos o que mais muda o dia a dia do analista: a triagem. Para o panorama da categoria AI SOC, veja o guia de plataforma AI SOC.

Leia também: CTEM e SOC: como integrar gestão de exposição e operações de segurança

Por que a severidade do alerta não basta

A severidade de um alerta é atribuída por quem escreveu a regra, antes de saber em que ativo ela vai disparar. É uma estimativa genérica. O risco real depende do que a regra não conhece: o quanto o ativo importa, o quanto ele está exposto e se há ameaça ativa explorando essa exposição. Os dados recentes mostram o peso da exposição:

• O M-Trends 2026, da Mandiant, registra exploits como o vetor inicial mais comum pelo sexto ano seguido, em 32% das intrusões.
• O State of Exploitation 2026, da VulnCheck, mostra que 28,96% das vulnerabilidades com exploração conhecida em 2025 foram exploradas no dia da publicação da CVE ou antes dele.
• O Verizon DBIR 2025 aponta a exploração de vulnerabilidades em 20% das violações como acesso inicial. Dispositivos de borda e VPNs saltaram de 3% para 22% dos alvos de exploração, e só 54% dessas falhas foram totalmente corrigidas, com mediana de 32 dias.
• O IDC FutureScape 2026 prevê que, até 2028, agentes de IA farão a triagem de 80% dos alertas de SOC. Se isso se confirmar, o contexto que o agente consulta passa a decidir a prioridade de quase tudo.

Exposição também não é só CVE. O CrowdStrike 2026 Global Threat Report mediu que 82% das detecções foram livres de malware, com adversários usando credenciais válidas. Credencial vazada e MFA ausente pesam tanto quanto a falha de software.

O mercado de AI SOC chegou à mesma conclusão por caminhos diferentes. O Gartner inclui o contexto de caminho de ataque entre os casos de uso de AI SOC agents. A Zscaler lançou em setembro de 2026 um Agentic SOC que declara unir gestão de exposição e fluxos do SOC. Entre os independentes, a AiStrike se posiciona como AI SOC preemptivo com análise de exposição, e a Tuskira descreve um grafo que liga exposição e resposta. Ao comparar uma AI SOC platform com outra, pergunte de onde vem a exposição que a triagem usa, com que frequência ela é atualizada e se o veredito mostra o peso que ela teve.

Leia também: Fadiga de alertas no SOC: causas, riscos e como reduzir o ruído

O mesmo alerta em dois hosts: um cenário ilustrativo

Às 2h14, o SIEM dispara a mesma regra em dois servidores web: o processo do servidor de aplicação gerou um shell de comando, seguido de conexão de saída para um endereço sem reputação. Mesma regra, mesma severidade alta, mesmo minuto.

Sem contexto, os dois alertas entram pela ordem de chegada, e o analista pode gastar os primeiros 20 minutos no host B. Com breakout médio de 29 minutos medido pela CrowdStrike em 2025, esses 20 minutos podem separar a contenção do acesso inicial da investigação de um movimento lateral já feito.

Repare no que a exposição não faz: ela não fecha o alerta do host B. A CVE corrigida elimina uma via de entrada, não todas. O shell pode ter vindo de credencial roubada ou de outra falha ainda desconhecida. O host B continua sendo investigado, depois e com menos profundidade inicial.

Quais sinais de exposição a triagem deve consultar

Para aprofundar os dois sinais mais técnicos, veja o guia de EPSS e priorização e o de análise de caminhos de ataque.

Leia também: Análise de caminhos de ataque: o que é, como funciona e como priorizar exposições

A exposição muda a prioridade, não o veredito

Na nossa leitura, é aqui que se separa a triagem com contexto de uma reordenação cosmética da fila. Quatro cuidados fazem a diferença:

• Não descartar por ausência de exposição. O veredito vem da evidência do evento. A exposição decide a ordem e a profundidade.
• Tratar ativo desconhecido como risco. Se o inventário não conhece o ativo, a ausência de exposição registrada significa que ninguém olhou. O alerta sobe na fila e o ativo vira entrada de inventário.
• Saber a idade do dado. Exposição de uma varredura de 60 dias atrás não descreve o ativo de hoje e deve ser tratada como incerta.
• Explicar o peso. O veredito precisa dizer qual exposição pesou. Prioridade que muda sem explicação é caixa-preta, e caixa-preta não passa em auditoria.

Esses cuidados também protegem contra a fadiga de alertas: o ruído cai porque a fila ganha ordem, não porque alertas somem sem justificativa.

Hipóteses de hunting priorizadas pela exposição

A mesma lógica vale fora da fila. Threat hunting sem critério depende da intuição de quem caça. Com exposição, a hipótese nasce do que está aberto: a VPN vulnerável publicada em três filiais já foi tentada? A conta de serviço que apareceu em vazamento autenticou fora do horário? A ordem segue a exposição: a mesma técnica vale mais num host exposto e com caminho para o banco de clientes do que num host isolado.

Hipótese com sinal vira incidente. Hipótese sem sinal não é perda de tempo: confirma que a exposição ainda não foi usada e reforça a urgência de fechá-la. Esse é um dos casos de uso descritos no guia de agentes de IA no SOC.

Realimentação: o SOC devolve exposição ao CTEM

A triagem só fica boa se o contexto melhora com o tempo, e quem melhora o contexto é o próprio SOC. Quatro retornos importam mais:

• Exposição de origem do incidente, com dono e prazo.
• Ativo desconhecido visto na telemetria, como entrada de inventário.
• Falso positivo causado por configuração, corrigido na origem, não silenciado na regra.
• Técnica observada no ambiente, que reprioriza as exposições relacionadas a ela.

Sem esse retorno, a exposição que a triagem consulta envelhece, e a triagem piora em silêncio.

Checklist: como implantar triagem de alertas com contexto de exposição

1. Identificador único de ativo. SOC e programa de exposição chamam o mesmo servidor pelo mesmo nome.
2. Escopo priorizado acordado com o negócio. A lista de ativos críticos é decisão do negócio, não do plantão.
3. Idade máxima do dado de exposição, e o tratamento de dado vencido.
4. Regra para ativo desconhecido: sobe na fila e vira entrada de inventário.
5. Pesos explícitos e registrados em cada veredito.
6. Métrica de efeito: tempo até o veredito em ativos expostos e incidentes em ativos com exposição já conhecida.
7. Realimentação obrigatória: nenhum incidente fecha sem o campo de exposição de origem.

Como o EcoTrust Agentic SOC usa a exposição na triagem

O EcoTrust Agentic SOC é o AI SOC da EcoTrust: roda sobre o EcoTrust OS, opera sobre o SIEM, o EDR e o XDR que a empresa já tem e tria, investiga e contém ataques com aprovação humana para ações de alto risco. Ele não é SIEM, SOAR, EDR nem MDR, e a correlação determinística continua no SIEM do cliente.

A escolha que fizemos na EcoTrust é sobre onde a exposição mora. Na maioria das organizações, juntar exposição e telemetria é um projeto de integração entre dois times e dois painéis. No EcoTrust OS, o Agentic SOC e o Agentic CTEM trabalham sobre o mesmo modelo de dados. A exposição que a triagem consulta é a que o CTEM mantém, conforme os módulos que o cliente usa: vulnerabilidades priorizadas pelo VulScan com SSVC, EPSS e CISA KEV, superfície externa e credenciais vazadas vistas pelo Surface e lacunas como servidor sem EDR apontadas pelo Baseline. Quando a informação já existe numa ferramenta do cliente, ela entra por conexão, sem compra obrigatória de módulo: as ferramentas atuais se conectam ao agente via integrações e MCP, e o EcoTrust Connect faz a conexão reversa de dentro para fora, sem abrir portas de entrada e sem agente nos endpoints.

O fluxo de um alerta tem seis etapas: alerta, contexto (ativo, criticidade, exposição conhecida e ameaça associada), triagem, investigação, resposta e realimentação. Na triagem, cada alerta é deduplicado, enriquecido e classificado, e o falso positivo é descartado com justificativa registrada. A saída não é uma lista reordenada: o agente agrupa os incidentes pela regra de detecção que os originou, dá um veredito a cada grupo e anexa a evidência, com identificadores de evento, horário e técnica MITRE quando ela existe. Se a regra disparou por engano, isso fica documentado, inclusive quando o problema está na própria regra. No console, o escopo priorizado mostra, para cada ativo crítico acordado com o negócio, a exposição, a telemetria e a ação do agente lado a lado, com TI e TO no mesmo escopo.

O serviço de threat hunting gera e verifica hipóteses sobre telemetria mais exposição, com a exposição do host mudando a prioridade da hipótese. E a realimentação faz parte do fluxo: a detecção é ajustada e a exposição que permitiu o incidente é encaminhada ao Flow, que dá dono, prazo e histórico até o fechamento validado.

A exposição muda a prioridade, e a ação continua governada. Quando a triagem leva a uma contenção, o plano segue o caminho obrigatório: plano, revisão, aprovação humana, execução e evidência. O modelo não pode se autoaprovar, as ações ficam limitadas a um catálogo determinístico e nenhuma ação no ambiente do cliente acontece sem aprovação humana registrada. A trilha guarda o contexto que o agente consultou, o plano que produziu, cada passo e quem aprovou o quê e quando. Os limites de autonomia estão no artigo sobre SOC autônomo, e a arquitetura completa em como funciona o EcoTrust Agentic SOC.

Perguntas Frequentes

Como a IA prioriza alertas de segurança?

Combinando a evidência técnica do evento com o contexto do ativo: criticidade, dono, exposição conhecida e ameaça associada. Um bom agente agrupa alertas da mesma regra, emite veredito com evidência e ordena a fila pelo risco do ativo, não só pela severidade da regra, explicando o que pesou.

Qual a diferença entre severidade e prioridade de um alerta?

Severidade é propriedade da regra, definida antes de saber onde ela vai disparar. Prioridade é uma decisão sobre aquele alerta, naquele ativo, naquele momento. Dois alertas de mesma severidade podem ter prioridades opostas, como no cenário do host exposto e do host corrigido.

Usar exposição na triagem pode esconder um ataque real?

Pode, se for usada para descartar. Por isso a exposição deve mudar a ordem e a profundidade da investigação, não o veredito. Ativo corrigido continua sendo investigado, ativo desconhecido sobe na fila e todo descarte precisa de justificativa registrada e de amostragem humana.

Preciso de um programa de CTEM para usar exposição na triagem?

Ajuda muito, mas dá para começar menor: a lista de ativos com vulnerabilidade do CISA KEV aberta e de serviços publicados na internet já muda a prioridade de parte relevante dos alertas. O ganho cresce quando a exposição é contínua, como explica o guia de CTEM.

Quais dados de exposição são mais úteis para o SOC?

Vulnerabilidade com exploração conhecida no ativo do alerta, exposição à internet, credencial vazada da conta envolvida, lacuna de controle como ausência de EDR ou MFA e caminho de ataque até ativo crítico. Criticidade e dono do ativo completam o quadro.

Como medir se o contexto de exposição melhorou a triagem?

Compare o tempo até o veredito de alertas em ativos expostos antes e depois, acompanhe a proporção de incidentes em ativos com exposição já conhecida e conte quantos descartes foram revertidos na revisão humana. Se o primeiro cai e o terceiro não sobe, o contexto está ajudando.

Conclusão: triagem boa começa pelo mapa

Triagem de alertas com IA resolve o volume. O contexto de exposição resolve a ordem. Sem ele, o agente é um analista rápido que não conhece o ambiente. Com ele, o alerta no servidor exposto e sem correção chega ao topo da fila enquanto ainda dá tempo de conter o acesso inicial.

A tese que defendemos é que exposição e detecção precisam estar no mesmo mapa: a exposição orienta a triagem e o hunting, a evidência decide o veredito, a pessoa aprova a ação e o incidente devolve ao CTEM a porta que precisa ser fechada. É esse ciclo, e não a velocidade isolada do agente, que reduz risco.

---

Referências

• Mandiant, "M-Trends 2026", Google Cloud, 2026. cloud.google.com
• VulnCheck, "State of Exploitation 2026", 2026. vulncheck.com
• Verizon, "2025 Data Breach Investigations Report", 2025. verizon.com
• CrowdStrike, "2026 Global Threat Report", 2026. crowdstrike.com
• IDC, "FutureScape 2026: Security", via Enterprise Security Tech, 2025. enterprisesecuritytech.com
• Gartner, Hype Cycle for Security Operations 2026 (AI SOC agents), via Simbian, 2026. simbian.ai
• Zscaler, "Zscaler launches Agentic SOC to contain AI-Driven Threats", 2026. zscaler.com
• AiStrike, anúncio de investimento e posicionamento de AI SOC preemptivo, via Business Wire, 2026. businesswire.com
• Tuskira, "Security context graph connects exposure and response". tuskira.ai