soc-alert-triage

Squad especialista em triagem de alertas SOC para cybersecurity.

Visão Geral

O soc-alert-triage é um squad completo que cobre todo o pipeline de triagem de alertas de segurança:

1. Classificação de Alertas — Categorização automatizada por tipo, severidade e mapeamento MITRE ATT&CK de múltiplas fontes (SIEM, IDS, EDR, cloud)
2. Filtragem de Falsos Positivos — Identificação e filtragem de FPs usando padrões históricos, baselines comportamentais e whitelists contextuais
3. Priorização de Ameaças — Risk scoring baseado em exploitability, blast radius, criticidade de ativos e impacto no negócio
4. Enriquecimento com Threat Intel — IOCs, mapeamento MITRE ATT&CK completo, reputation scores e correlação histórica
5. Geração de Briefs — Documentos acionáveis com timeline, playbook recomendado, IOCs e ações de resposta priorizadas

Pain Point: Analistas SOC enfrentam +4.000 alertas/dia, com 80%+ sendo falsos positivos — gerando alert fatigue, burnout e risco de miss de ameaças reais.

Agentes

Workflows

Comandos Disponíveis

Quick Start

# Ativar o priorizador (orquestrador principal)
/sat:agents:threat-prioritizer

# Pipeline completo de triagem de alertas
*triage-full

# Classificação rápida
*rapid-classify

# Apenas classificação de alertas
*classify-alerts

# Apenas geração de brief
*generate-brief

Público Alvo

• Analistas SOC (L1, L2, L3)
• Engenheiros de Segurança
• Threat Hunters
• CISOs e líderes de segurança
• Equipes de Incident Response

Requisitos

• Acesso a SIEM (Splunk, QRadar, Sentinel, Elastic SIEM)
• Acesso a feeds de threat intel (VirusTotal, AbuseIPDB, MISP)
• Acesso a ferramentas de EDR (CrowdStrike, SentinelOne, Defender)
• Framework MITRE ATT&CK como referência de taxonomia