White PaperO atacante se move em 29 minutos. A resposta continua sendo medida em dias
Do SOC tradicional ao SOC agêntico, e a governança que sustenta a transição
O breakout médio caiu para 29 minutos e o repasse do acesso inicial leva 22 segundos, enquanto o dwell time mediano é de 14 dias e a contenção leva 241. São três ordens de magnitude, e não se fecham triando mais rápido. O white paper cobre os três estágios de maturidade, o Agent Work Share, a diferença entre modelo e harness, o fluxo do alerta à evidência e a governança por arquitetura.
O problema: o SOC foi desenhado para uma ameaça que se movia em velocidade humana. Essa premissa caiu. O tempo médio de breakout, do acesso inicial ao movimento lateral, chegou a 29 minutos em 2025, com o mais rápido observado em 27 segundos. O repasse do acesso inicial para um segundo grupo de ameaça, que em 2022 levava mais de 8 horas, caiu para 22 segundos. Do outro lado, o dwell time mediano é de 14 dias e o tempo médio para identificar e conter uma violação é de 241 dias. São três ordens de magnitude de diferença entre o relógio do atacante e o da defesa.
A abordagem: o EcoTrust Agentic SOC não é uma camada de triagem mais rápida sobre a operação existente. É a operação conduzida por agentes de IA sobre o EcoTrust OS, com consciência situacional contínua sobre telemetria e exposição, e com o comando permanecendo humano em todos os estágios. A métrica da jornada é o Agent Work Share: quanto do trabalho da operação o agente conduz.
O método: três estágios de maturidade, de human-led a AI-driven. O módulo habilita o estágio AI-Augmented e conduz a operação ao longo da curva até o AI-driven, sem exigir troca do SIEM, do EDR ou do processo de resposta a incidentes. A correlação determinística de bilhões de eventos continua onde já está: o SIEM decide o que merece atenção, o agente decide o que fazer com o que merece.
O resultado: o alerta chega, é deduplicado, enriquecido com contexto de ativo e exposição, e recebe um veredito com a evidência que o sustenta. O falso positivo é descartado com justificativa registrada. A resposta que toca o ambiente do cliente passa por um gate de aprovação humana que não tem rota alternativa no código, e cada passo fica rastreável como evidência de auditoria. SOC autônomo não significa SOC sem pessoas: significa IA conduzindo a operação, pessoas governando as decisões.
Os dois relógios do SOC divergiram.
O ciclo clássico é conhecido: a telemetria gera alerta, o alerta entra numa fila, o analista de nível 1 tria, escala para o nível 2 quando o caso merece investigação, e o nível 3 conduz a resposta. Cada passagem de bastão custa minutos ou horas. O desenho é sólido, foi construído sobre a experiência real de duas décadas de operação, e continua correto no que ele descreve. O que mudou é o intervalo que ele pressupõe.
Os 29 minutos merecem atenção porque não são um pico: são a média, e ela vem caindo de forma consistente há quatro anos. Quando o breakout médio é de meia hora, o analista que abre o alerta não está diante de uma invasão em curso. Está diante de uma invasão que já se moveu lateralmente, já estabeleceu persistência e possivelmente já começou a exfiltrar. Em uma das intrusões documentadas, a exfiltração começou quatro minutos após o acesso inicial.
Os 22 segundos são o dado mais desconfortável dos três, porque não medem a velocidade de uma ferramenta: medem a maturidade de um mercado. O acesso inicial virou mercadoria negociada em tempo de máquina. Quem entra não é necessariamente quem opera, e o intervalo para revender o acesso deixou de ser uma janela de resposta.
A diferença de escala: o atacante se move em minutos e repassa acesso em segundos. A defesa descobre em dias e contém em meses. Não é falta de disciplina do time, e não é um problema que se resolve com mais gente na fila: são três ordens de magnitude, e a capacidade também não está disponível para tentar. Segundo o SANS SOC Survey 2025, 67% dos SOCs operam com equipe abaixo do necessário, e a restrição de orçamento passou a ser a causa principal, à frente da falta de candidatos.
O que a defesa mede hoje
Do lado defensivo, o melhor número da série histórica ainda é medido em meses. O tempo médio para identificar e conter uma violação é de 241 dias, sendo 181 para identificar e 60 para conter, e esse é o menor valor em nove anos de medição. A velocidade de contenção tem efeito direto no custo: violações identificadas e contidas em menos de 200 dias custaram em média US$ 3,87 milhões, contra US$ 5,01 milhões nas que passaram desse prazo.
Há um sinal positivo no meio dos dados, e ele importa para o argumento: 52% das intrusões passaram a ser descobertas internamente, contra 43% no ano anterior. Nos casos descobertos internamente, o dwell time mediano cai para nove dias; nos que chegaram por aviso de terceiro, sobe para 25. A detecção própria funciona. O que falta não é sensor, é capacidade de conduzir o que o sensor produz.
Três estágios de maturidade, e uma métrica que os separa.
A fila de alertas com analistas em turnos. Nenhum ponto de alavancagem além de contratar mais gente. A capacidade da operação é a capacidade do time.
A IA acelera triagem e análise dentro do modelo que já existe. O analista decide tudo. Ganho real de velocidade, sem mudança de patamar.
Consciência situacional contínua sobre telemetria e exposição. A IA conduz a operação. As pessoas governam as decisões.
A distinção entre o estágio 2 e o estágio 3 não é o volume de automação, é quem conduz. No estágio 2, o agente responde a pedidos: o analista pergunta, o agente responde mais rápido do que uma consulta manual responderia. O trabalho continua sendo puxado por uma pessoa, e o teto da operação continua sendo o número de pessoas disponíveis para puxar. No estágio 3, o agente mantém consciência situacional contínua, propõe o próximo passo e executa o que está autorizado, e a pessoa entra no ponto de decisão em vez de entrar em cada consulta.
Agent Work Share
A métrica que descreve a posição na curva é o Agent Work Share: a fração do trabalho da operação que o agente conduz de ponta a ponta, sem que uma pessoa precise iniciar cada passo. É uma métrica de proporção, não de substituição, e ela sobe de forma gradual e mensurável, um tipo de trabalho por vez, à medida que a taxonomia de ações vai sendo homologada com o cliente.
Escolher o Agent Work Share como métrica tem uma consequência prática que vale explicitar: ele não pode ser reportado como uma promessa de produto. É medido na operação real do cliente, e cresce na velocidade em que o cliente autoriza que cresça. Nenhum fornecedor entrega estágio 3 na instalação. O que se entrega é o estágio 2 funcionando desde o início e um caminho declarado, com governança, para subir.
A afirmação que sustenta a jornada inteira: SOC autônomo não significa SOC sem pessoas. Significa IA conduzindo a operação e pessoas governando as decisões. O comando permanece humano nos três estágios, e o que muda entre eles é quanto trabalho o comando precisa executar com as próprias mãos.
O modelo é metade da história. A outra metade é o harness.
Essa distinção é a mais importante deste documento para quem avalia fornecedores, porque é a que a demonstração comercial esconde. Dois produtos podem usar o mesmo modelo de fronteira e entregar operações incomparáveis, e a diferença não estará no modelo. Estará no harness: a camada que decide o que o agente vê, o que ele pode tocar, quando ele para e o que fica registrado.
Um motor de Ferrari montado num chassi de kart não anda como Ferrari. O motor é metade da história: o chassi, a fiação e a direção decidem o que o motor pode fazer.
As sete funções de qualquer harness
Planeja antes de agir? Quantos turnos tem? O que conta como concluído? Sem uma resposta explícita, o agente vira um loop sem critério de parada.
Quem é o agente, como se comporta, o que pode fazer e o que recusa. É o documento que define o comportamento antes de qualquer prompt de usuário.
O que ele pode tocar, com que descrição e com que mensagem de erro. A qualidade da descrição de uma ferramenta muda a taxa de acerto do agente mais que a troca de modelo.
O mínimo de contexto necessário para a precisão máxima na decisão. Contexto em excesso degrada a decisão tanto quanto contexto insuficiente.
O que cada execução escreve, o que a próxima lê e o que persiste entre conversas. Sem isso, cada investigação começa do zero.
Como dividir o trabalho que não cabe em um único contexto. Uma varredura de milhares de hosts não pode "estourar" a conversa.
O que age sozinho e o que exige aprovação humana antes de agir. É aqui que a governança deixa de ser política e passa a ser código.
No EcoTrust OS, o harness é implementado como arquitetura DeepAgent: plano explícito antes da ação, ciclo de raciocínio, delegação a subagentes especializados, espaço de trabalho para resultados grandes e memória de longo prazo. O ciclo de raciocinar, agir e observar é o primitivo dessa arquitetura, não o seu limite: o que caracteriza o DeepAgent é o que existe em volta do ciclo.
Como a operação roda, do alerta à evidência.
Entra pelo SIEM, EDR, XDR ou firewall que o cliente já opera. Nenhuma fonte precisa ser substituída para que o ciclo comece.
Ativo, criticidade, exposição conhecida e ameaça associada. É o contexto que separa um alerta em um servidor de teste de um alerta no sistema que sustenta a operação.
Dedup, classificação e veredito, ou descarte com justificativa registrada. O falso positivo não desaparece: fica documentado, com o motivo.
Aprofundamento e plano de resposta, quando o veredito exige. Correlação multi-fonte, linha do tempo e extração de indicadores.
Contenção proposta, aprovada por uma pessoa e executada com trilha. Isolamento de host, bloqueio de conta ou acesso, regra emergencial.
Detecção ajustada e exposição encaminhada ao EcoTrust Flow, que conduz o ciclo de vida daquela exposição até o fechamento validado.
O que o agente devolve, na prática
A saída da triagem não é uma lista reordenada por severidade. O agente agrupa os incidentes pela regra de detecção que os originou, dá um veredito a cada grupo e anexa a evidência que o justifica, com identificadores de evento, horário e a técnica MITRE quando ela existe. Um grupo de incidentes que corresponde a criação de conta local, habilitação, definição de senha e adição a grupo privilegiado dentro de uma janela de vinte segundos sai como verdadeiro positivo malicioso com a cadeia de persistência descrita. Um grupo que corresponde a criação e exclusão da mesma conta em 29 segundos, numa máquina de nome de teste e sem escalada associada, sai como verdadeiro positivo benigno, com o padrão de validação do próprio SOC identificado.
Há um terceiro caso que merece nota, porque é o que distingue uma triagem conduzida de uma triagem automatizada: quando a regra de detecção é que está errada, isso fica registrado. Uma regra que dispara para adição a um grupo não privilegiado, contrariando o próprio critério declarado, é reportada como ruído com o motivo técnico. O agente não apenas classifica alertas: alimenta a engenharia de detecção com o que aprendeu classificando.
A fronteira com o SIEM, declarada: a correlação determinística de bilhões de eventos continua no SIEM do cliente. O SIEM decide o que merece atenção; o agente decide o que fazer com o que merece. O Agentic SOC não é um SIEM, não substitui o SIEM e não pede a migração da telemetria para outro lugar.
Três camadas de conexão
Governança como configuração pode ser desligada. Como arquitetura, não.
Quando a aprovação humana é uma opção de configuração, ela é, por construção, desligável: por pressa, por incidente, por um administrador com boa intenção. Quando é arquitetura, não existe rota alternativa no código para uma ação que altere o ambiente do cliente. O caminho é sempre o mesmo, e ele passa por uma pessoa.
Os quatro mecanismos
A aprovação é um ato de identidade humana, registrado. Não existe caminho em que o agente satisfaça o próprio gate.
Não existe caminho para comando arbitrário fora do catálogo aprovado. O agente não improvisa a ação, ele escolhe dentro de um conjunto homologado.
Credenciais próprias e acesso privilegiado just-in-time, pelo tempo da operação. Nunca permanente.
A matriz do que é automatizado, assistido ou proibido é fato do cliente, não do fornecedor. Ações de leitura e análise são automatizadas; qualquer execução que toque o ambiente é assistida.
Observabilidade do agente
Observabilidade de infraestrutura responde se o sistema está de pé. Observabilidade do agente responde o que ele fez e por quê. São coisas diferentes, e a segunda é a que sustenta autonomia: autonomia sem rastreabilidade é risco. O registro cobre o contexto que o agente consultou, o plano que produziu, cada passo executado e o seu resultado, o erro e o que mudou depois dele, e quem aprovou o quê e quando. A trilha é exportável como evidência de auditoria.
O teste prático para qualquer fornecedor: peça uma execução ao acaso, não uma escolhida, e pergunte o que o agente decidiu e com base em quê. Se a resposta for uma demonstração de triagem em vez de um trace, a pergunta não foi respondida.
Exposição dentro do SOC, dois fluxos e um modelo de dados.
O ciclo de exposição e o ciclo do SOC nasceram separados por razões organizacionais, não técnicas. Um time cuida do que pode ser atacado, o outro do que está sendo atacado, e a informação atravessa a fronteira em planilha, ticket ou reunião. O custo desse arranjo aparece exatamente no momento em que ele não deveria: no incidente, quando a pergunta "esse host tem vulnerabilidade conhecida explorável para o que estamos vendo?" precisa de uma resposta em minutos e recebe uma resposta em dias.
Quando os dois ciclos compartilham o EcoTrust Core como sistema de registro, a convergência deixa de ser um projeto. A exposição encontrada pelo ciclo CTEM já é contexto de triagem no SOC, e a exposição descoberta durante um incidente já entra no ciclo de correção conduzido pelo EcoTrust Flow, com dono, prazo e histórico. É o mesmo ativo, com a mesma criticidade, no mesmo modelo de dados.
O efeito no threat hunting: hipótese de ataque gerada e verificada sobre telemetria mais exposição é qualitativamente diferente de hipótese verificada só sobre telemetria. Saber que o host tem a CVE explorável muda a prioridade da hipótese antes de gastar tempo com ela.
Compliance, o que a trilha do agente atende.
Cada evento avaliado gera veredito com justificativa registrada, inclusive o descarte de falso positivo. A trilha de plano, aprovação e execução documenta a resposta com responsável identificado.
As funções Detect e Respond são cobertas pelo ciclo de triagem, investigação e resposta, com a observabilidade do agente fornecendo o registro de análise que o RS.AN pede.
O gate de aprovação humana como arquitetura, a taxonomia formal de ações homologada com o cliente e o trace por execução endereçam diretamente os requisitos de supervisão e rastreabilidade.
O registro de quem aprovou o quê e quando, com trilha exportável por incidente, fornece a evidência de tempestividade e de responsabilização que a norma cobra.
A linha do tempo do incidente com contexto de ativo e dado tratado sustenta a avaliação de risco exigida na comunicação à ANPD, com prazo e responsável registrados.
Cada alerta avaliado, cada veredito e cada ação executada ficam registrados com timestamp e responsável, em formato exportável para os workpapers do auditor.
Vale registrar o que não é atendido por essa arquitetura, porque o silêncio nesse ponto costuma custar caro numa due diligence: nada aqui substitui o plano de resposta a incidentes da organização, a definição de quem tem autoridade para aprovar cada classe de ação, nem o exercício periódico desse plano. A plataforma impõe o caminho e produz a evidência. A autoridade continua sendo um fato organizacional, e precisa estar declarada antes da primeira aprovação.
Conclusão: a distância não se fecha triando mais rápido.
Um SOC agêntico existe para mudar quem conduz. Não para tirar as pessoas da operação, mas para tirá-las do lugar em que a capacidade humana é o gargalo, e colocá-las no lugar em que o julgamento humano é insubstituível: a decisão sobre o que fazer no ambiente real de uma organização real. Essa é a diferença entre o estágio 2, em que a IA responde mais rápido ao que a pessoa pede, e o estágio 3, em que a IA conduz e a pessoa governa.
O que torna essa transição defensável não é a capacidade do modelo, é a arquitetura em volta dele. Um gate de aprovação que não tem rota alternativa no código. Um catálogo determinístico de ações, homologado com o cliente. Credenciais just-in-time em vez de acesso permanente. Um trace por execução que responde o que o agente decidiu e por quê. Sem isso, autonomia é risco transferido para o cliente com outro nome.
E o que torna a transição viável é não exigir que nada seja jogado fora. O SIEM continua correlacionando, o EDR continua detectando, o processo de resposta a incidentes continua valendo. O EcoTrust Agentic SOC entra no estágio AI-Augmented sobre o que já existe, e conduz a operação ao longo da curva na velocidade em que o cliente autoriza, com o Agent Work Share medindo o progresso em números que o comitê acompanha.
Veja o plano do agente, o gate de aprovação e um trace completo.
Demonstração ao vivo