O que é Software de SIEM? Glossário Prático para Compradores Brasileiros

SIEM é a categoria de segurança que mais gera jargão — e a que mais se sobrepõe a SOAR, EDR, XDR, UEBA e gerenciamento de log. Compradores brasileiros entrando em RFPs sem vocabulário comum tendem a comprar capacidades que já têm, ou perder capacidades de que precisam. Este glossário define os termos centrais para um comprador SOC brasileiro levar para uma reunião com fornecedor e mapeia tudo às realidades de LGPD, Resolução BCB e regulamentos setoriais brasileiros. O objetivo não é ensinar engenharia de segurança — é tornar a conversa de compra precisa.

O que este glossário cobre

• SIEM: a definição central
• Gerenciamento de log vs SIEM
• SOAR e o lugar da automação
• EDR, NDR e XDR — relação com SIEM
• UEBA e analytics comportamentais
• MITRE ATT&CK e conteúdo de detecção
• Threat intelligence (TI) e TIPs
• Ingestão, retenção e storage em tiers
• MSSP, MDR e modelos de SOC gerenciado
• Termos comuns no procurement brasileiro (LGPD, BCB, GSI, CTI Gov.br)

SIEM: a definição central

Security Information and Event Management (SIEM) é a plataforma que ingere logs de TI e sistemas de negócio, normaliza, correlaciona, alerta sobre padrões suspeitos e mantém para investigação e auditoria. SIEM começou como agregação de logs nos anos 2000 e absorveu correlação, UEBA, threat intel e cada vez mais SOAR. Para compradores brasileiros, o efeito prático é uma plataforma onde monitoramento BCB, investigação LGPD e relato de incidente ao GSI/PR convergem. SIEM não é proteção de endpoint — isso é EDR. É a camada analítica acima de múltiplas fontes de detecção.

Gerenciamento de log vs SIEM

Gerenciamento de log é a camada de pré-requisito: coleta, transporte, parsing e armazenamento. SIEM se senta em cima e adiciona correlação, alertas, dashboards e ferramentas de investigação. Muitas organizações brasileiras mid-market começam com gerenciamento de log (Splunk Core, ELK sem Security) e graduam para SIEM (Splunk ES, Elastic Security) à medida que o programa amadurece. Confundir os dois no procurement é comum; vendors de SIEM podem silenciosamente supor que você já tem gerenciamento de log, e vendors de log management podem supervalorizar suas capacidades de SIEM.

SOAR e o lugar da automação

Security Orchestration, Automation and Response (SOAR) é a camada que automatiza playbooks — quando um alerta dispara, SOAR conduz os passos seguintes (enriquecer com threat intel, criar ticket, isolar endpoint, notificar analistas). Os principais SOAR dedicados no Brasil são Splunk SOAR (ex-Phantom), Palo Alto Cortex XSOAR e IBM QRadar SOAR. SIEMs modernos têm SOAR leve embutido — Logic Apps do Sentinel, RespondX do LogRhythm, case management do Elastic. Para SOCs mid-market brasileiros, SOAR embutido geralmente basta; grandes enterprises com automação complexa entre muitas ferramentas ainda preferem SOAR dedicado.

EDR, NDR e XDR — relação com SIEM

Endpoint Detection and Response (EDR) é a plataforma nos endpoints — CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint. EDR captura o que acontece em notebooks e servidores. Network Detection and Response (NDR) é o equivalente na rede — Vectra, Darktrace, Cisco SecureX. NDR captura o que flui entre hosts. Extended Detection and Response (XDR) é o conceito mais amplo que junta endpoint, rede, identidade e cloud — Microsoft Defender XDR, Palo Alto Cortex XDR, SentinelOne Singularity XDR. SIEM é mais amplo que XDR e olha tudo, incluindo sistemas de negócio. SOCs brasileiros rodam SIEM e XDR em conjunto — XDR como data lake de alta fidelidade, SIEM como camada mais ampla de compliance e auditoria.

UEBA e analytics comportamentais

User and Entity Behaviour Analytics (UEBA) constrói baselines de comportamento normal para usuários, hosts e serviços, depois alerta em anomalias. UEBA é o que faz emergir um usuário privilegiado logando de localização incomum, uma conta de serviço acessando storage que nunca acessou ou um funcionário baixando 100× mais arquivos que o normal. Microsoft Sentinel, Splunk ES, Elastic Security, QRadar UBA e LogRhythm têm UEBA. Vendors standalone (Exabeam, Securonix) frequentemente integram a SIEM. Para compradores brasileiros sob BCB, cobertura UEBA de padrões de acesso privilegiado é critério crescente de avaliação.

MITRE ATT&CK e conteúdo de detecção

MITRE ATT&CK é o framework público que cataloga comportamento real de atacantes em táticas (o porquê — acesso inicial, movimento lateral, exfiltração) e técnicas (o como — phishing, contas válidas, credential dumping). Conteúdo de detecção SIEM é cada vez mais descrito em termos ATT&CK — Sentinel content é tagueado por tática e técnica, Splunk Security Essentials mapeia detecções para ATT&CK, MITRE publica detecções alinhadas. Para SOCs brasileiros, mapear cobertura de detecção para ATT&CK é a forma mais útil de expressar maturidade em revisões de gestão e auditoria. Gaps em técnicas específicas dirigem prioridades de content engineering do próximo trimestre.

Threat intelligence (TI) e TIPs

Threat intelligence é informação curada sobre ameaças — IoCs (IPs, domínios, hashes), táticas vistas, perfis de actor. Threat Intelligence Platforms (TIPs) como Anomali, MISP, ThreatConnect e Recorded Future centralizam o feed e o encaminham ao SIEM para correlação. Para compradores brasileiros, feeds relevantes combinam intel comercial global (Mandiant, Recorded Future, CrowdStrike) com avisos do Cert.br, do GSI e do CTI Gov.br. SIEMs com integração nativa de threat intel (Sentinel via TAXII, Splunk via Threat Intelligence Framework, QRadar X-Force) reduzem a necessidade de TIP separado em escalas menores.

Ingestão, retenção e storage em tiers

Ingestão é a taxa de entrada de log em GB/dia. Retenção é por quanto tempo o dado fica pesquisável. Hot é pesquisável em segundos para workflow de analista; warm em minutos para investigação; cold ou arquivo é exportado para storage mais barato. Brasil tipicamente exige 12 meses hot + 24 meses warm para BCB Resolução 4.893 e CII; LGPD-led ficam em 6-12 meses hot. Tiered storage (Sentinel basic logs e archived logs, Elastic frozen, Splunk SmartStore) reduzem custo em 60-90% ao custo de latência. Confirme durante avaliação como cada plataforma faz exportação audit-friendly de cada tier.

MSSP, MDR e modelos de SOC gerenciado

Managed Security Service Provider (MSSP) é o modelo tradicional — o parceiro monitora o SIEM, triagem de alertas, escala para seu time. Managed Detection and Response (MDR) é a evolução orientada a resultado — parceiro não só monitora mas age (isola endpoint, bloqueia conta, contém incidente). No Brasil, players como ish, Brasiline, Tempest, Tivit e MDR globais (CrowdStrike Falcon Complete, SentinelOne Vigilance, Sophos MDR) atuam aí. A linha MSSP/MDR borrou; o que importa é o escopo de autoridade que você concede, SLAs de resposta e se o SOC opera onshore no Brasil.

Termos comuns no procurement brasileiro (LGPD, BCB, GSI, CTI Gov.br)

RFPs brasileiros trazem vocabulário recorrente. LGPD dirige requisitos de identificação única, MFA, log de auditoria e avaliação de breach. ANPD é a autoridade fiscalizadora. BCB (Banco Central) supervisiona instituições financeiras via Resolução 4.893 e Circular 3.978, exigindo monitoramento de acesso privilegiado, alerta em tempo real e retenção. GSI/PR (Gabinete de Segurança Institucional) lidera políticas federais de segurança e tem o Decreto 9.573 sobre CII. CTI Gov.br e Cert.br são os pontos de contato para inteligência e resposta a incidentes federais. Vendors devem mapear seu SIEM a esses frameworks sob demanda — quem entrega tabelas tende a se integrar bem nos ciclos brasileiros.

Normalização e parsing de logs

Antes de um SIEM correlacionar eventos, ele precisa normalizá-los — convertendo logs brutos de firewalls, endpoints, provedores de identidade e plataformas de nuvem em um esquema comum. O parsing extrai os campos significativos (IP de origem, usuário, ação, resultado) de cada formato de log. Para compradores brasileiros, a qualidade do parsing é o fator pouco glamoroso que decide se as detecções funcionam. Um SIEM com parsers fortes out-of-box para suas fontes de log específicas economiza semanas de engenharia de conteúdo; um SIEM que exige parsers customizados para sistemas brasileiros comuns estende silenciosamente a implementação. Microsoft Sentinel, Splunk e Elastic trazem grandes bibliotecas de parsers; QRadar usa DSMs (Device Support Modules); confirme a cobertura para seu ambiente real durante a prova de conceito em vez de confiar na contagem de fontes alegada pelo fornecedor.

Falsos positivos e tuning de detecção

Um falso positivo é um alerta que dispara sobre atividade benigna. A taxa de falsos positivos é o maior determinante de se um SOC brasileiro confia em seu SIEM. Regras de detecção out-of-box são escritas para um ambiente genérico; no seu ambiente elas dispararão demais até serem ajustadas. Tuning significa ajustar thresholds, adicionar allowlists para comportamento conhecidamente bom e suprimir regras barulhentas — trabalho que nunca termina porque o ambiente muda continuamente. SOCs brasileiros que orçam engenharia de detecção contínua mantêm seu SIEM útil; os que tratam o tuning como tarefa de setup única terminam com milhares de alertas ignorados. Pergunte aos fornecedores como a plataforma mede e reduz falsos positivos, e se o tuning é self-service ou exige serviços profissionais.

Data lake de segurança e camadas de retenção

Conforme os volumes de log crescem, separar a camada de análise — onde os dados ficam imediatamente pesquisáveis — de uma camada de armazenamento mais barata torna-se essencial. Um data lake de segurança guarda telemetria de alto volume e baixa frequência de consulta em armazenamento de objetos a uma fração do custo da camada de análise. Compradores brasileiros sob a Resolução BCB ou regras de retenção setoriais usam camadas (hot, warm, cold) para manter 12-24 meses pesquisáveis sem pagar o preço da camada de análise por tudo. Microsoft Sentinel, Elastic e Splunk oferecem modelos de armazenamento em camadas; confirme a latência de busca de cada camada e se exportações auditáveis funcionam a partir do armazenamento frio.

Conheça os produtos em detalhe

Ponte do glossário para o procurement

Duas pontes práticas. Primeira: peça ao vendor uma matriz de cobertura ATT&CK para o formato do seu ambiente, mostrando quais técnicas são cobertas out-of-box e quais exigem content engineering. Segunda: peça tabela escrita de mapeamento LGPD / BCB / regulamento setorial cobrindo retenção, monitoramento, exportação de auditoria e residência de dados no Brasil. Vendors que entregam essas tabelas tendem a se integrar bem aos ciclos brasileiros; os que não, geram fricção depois.