Data SheetO atacante se move em 29 minutos. Sua operação continua medindo a resposta em dias.
O EcoTrust Agentic SOC conduz a operação de detecção e resposta com agentes de IA sobre o EcoTrust OS: cada alerta deduplicado, enriquecido com contexto de ativo e exposição, e fechado com veredito e evidência. A resposta que toca o ambiente passa por aprovação humana que não tem rota alternativa no código. SIEM, EDR e XDR permanecem onde estão e passam a alimentar o contexto do agente.
O tempo médio de breakout caiu para 29 minutos em 2025, e o repasse do acesso inicial para um segundo grupo de ameaça leva hoje 22 segundos. Do outro lado, o dwell time mediano é de 14 dias e o tempo médio para identificar e conter uma violação é de 241 dias. São três ordens de magnitude entre o relógio do atacante e o da defesa, e nenhuma quantidade de analistas a mais fecha uma diferença dessa escala: 67% dos SOCs já operam abaixo do quadro necessário, agora por restrição de orçamento.
O EcoTrust Agentic SOC é o módulo de detecção e resposta da plataforma, operado por agentes de IA com consciência situacional contínua sobre telemetria e exposição. Ele não substitui o SIEM nem o EDR: consome o que eles produzem e assume o trabalho que hoje trava na fila humana, da triagem ao plano de resposta. A métrica da jornada é o Agent Work Share, quanto do trabalho da operação o agente conduz de ponta a ponta. SOC autônomo não significa SOC sem pessoas: significa IA conduzindo a operação, pessoas governando as decisões.
Roda no EcoTrust OS. O sistema operacional agêntico (Agentic OS) da EcoTrust é o que permite aos agentes planejar, executar e pedir aprovação humana antes de agir sobre o ambiente, com cada passo auditável. ecotrust.io/ecotrust-os
A evolução do SOC não é um interruptor entre operação humana e operação autônoma. É uma curva com três posições, e o módulo habilita o estágio 2 desde o início e conduz a operação até o estágio 3 na velocidade em que o cliente autoriza.
A fila de alertas com analistas em turnos. Nenhum ponto de alavancagem além de contratar mais gente: a capacidade da operação é a capacidade do time.
A IA acelera triagem e análise dentro do modelo que já existe. O analista decide tudo. Ganho real de velocidade, sem mudança de patamar.
Consciência situacional contínua sobre telemetria e exposição. A IA conduz a operação e as pessoas governam as decisões.
Medida na operação real, não prometida na proposta. Sobe um tipo de trabalho por vez, conforme a taxonomia de ações é homologada com o cliente.
Governança como configuração pode ser desligada, por pressa ou por incidente. Como arquitetura, não: não existe rota alternativa no código para uma ação que altere o ambiente do cliente. O caminho é sempre o mesmo e passa por uma pessoa.
Observabilidade de infraestrutura responde se o sistema está de pé. Observabilidade do agente responde o que ele fez e por quê. O registro cobre o contexto consultado, o plano produzido, cada passo e seu resultado, o erro e o que mudou depois dele, e quem aprovou o quê e quando. Autonomia sem rastreabilidade é risco.
O agente agrupa os incidentes pela regra de detecção que os originou, classifica cada grupo e anexa a evidência: identificadores de evento, horário e técnica MITRE. O falso positivo é descartado com justificativa registrada.
Quando o problema está na própria regra de detecção, e não no ambiente, isso fica documentado com o motivo técnico. A triagem alimenta a engenharia de detecção em vez de só consumir o que ela produz.
A vulnerabilidade explorável do host já é contexto de triagem, e a exposição descoberta no incidente já entra no ciclo de correção do EcoTrust Flow. Sem projeto de integração entre dois painéis.
SIEM, EDR, XDR e ITSM entram como ferramenta em tempo de execução via MCP. O que já foi investido permanece e passa a alimentar o contexto do agente. Não há compra obrigatória de módulo para cobrir informação que o cliente já tem.
Cada alerta é deduplicado, enriquecido e classificado com veredito e justificativa. O analista deixa de abrir alerta por alerta e passa a revisar decisões, com o descarte auditável em vez de silencioso.
O agente investiga, monta a linha do tempo, extrai indicadores e apresenta o plano de contenção pronto. A pessoa de plantão aprova, ajusta ou cancela, em vez de conduzir a investigação do zero.
A visibilidade de TO vem da ingestão e correlação das ferramentas já existentes. Não há conectividade direta da plataforma para a rede operativa: o EcoTrust Connect é a fronteira controlada, com conexão de dentro para fora.
Trace por execução com contexto consultado, plano, passos, resultado e aprovador identificado. Evidência exportável para ISO 27001, ISO 42001, SOC 2 e BACEN, por incidente.
Quando o breakout cai para 29 minutos, o analista não responde a uma invasão em curso: responde a uma invasão que já se moveu lateralmente e já criou persistência antes de alguém terminar de ler o alerta.