O que é SOC (Security Operations Center) e como funciona

SOC, sigla de Security Operations Center, é o centro de operações de segurança de uma organização: a estrutura de pessoas, processos e tecnologia dedicada a monitorar, detectar e responder a ameaças cibernéticas de forma contínua.

Uma observação necessária antes de seguir: no Brasil a sigla SOC também é usada para Serviço Especializado em Segurança e Medicina do Trabalho e, em contabilidade, para Serviço de Operação Contábil. Este artigo trata exclusivamente do SOC de cibersegurança.

A diferença entre ter ferramentas de segurança e ter um SOC é a mesma que existe entre ter câmeras instaladas e ter alguém assistindo às imagens. Firewall, antivírus e outras defesas geram alertas o tempo todo. Sem uma operação que analise esses alertas, separe ruído de ameaça real e aja quando necessário, a maior parte deles simplesmente se acumula sem ser lida.

Para que serve um SOC

A função do SOC se organiza em torno de uma métrica: o tempo entre o início de um ataque e a sua detecção. Quanto maior esse intervalo, maior o estrago.

Um invasor que entra na rede raramente causa dano imediato. Ele explora o ambiente, mapeia sistemas, procura credenciais com mais privilégio e se move lateralmente até alcançar o que interessa. Esse período é a janela de oportunidade da defesa. Sem monitoramento contínuo, ele passa despercebido.

Na prática, um SOC entrega quatro coisas:

• Detecção. Identificar atividade anômala no ambiente, correlacionando eventos que isoladamente pareceriam normais.
• Investigação. Analisar o que foi detectado, determinar se é ameaça real ou falso positivo e avaliar o alcance.
• Resposta. Executar ações de contenção, como isolar uma máquina comprometida ou bloquear uma conexão, conforme procedimento acordado.
• Visibilidade. Produzir informação sobre o que está acontecendo no ambiente, base para decisões de investimento e para atender auditorias.

O contexto brasileiro reforça a necessidade. Segundo o relatório do Cenário Global de Ameaças da Fortinet, o país registrou 753,8 bilhões de tentativas de ataque ao longo de 2025. Levantamento da Check Point Research aponta que, em junho de 2026, cada organização brasileira sofreu em média 4.001 tentativas de ciberataque por semana, 44% acima do mesmo período do ano anterior.

Como funciona um SOC na prática

Um SOC combina duas dimensões: uma estrutura de pessoas organizada em camadas de análise e um conjunto de tecnologias que alimenta essa operação.

As camadas de análise

A organização em níveis existe para resolver um problema de volume. Um ambiente corporativo médio gera milhares de eventos de segurança por dia, e a maior parte deles não é ameaça. Filtrar isso exige uma triagem estruturada.

• Nível 1, triagem. Recebe os alertas gerados pelas ferramentas, aplica critérios de classificação e separa o que é ruído do que merece investigação. É a camada que absorve o volume.
• Nível 2, investigação. Aprofunda os casos que passaram da triagem: correlaciona com outros eventos, verifica o histórico do ativo envolvido, determina se houve comprometimento e qual a extensão.
• Nível 3, resposta e caça a ameaças. Atua nos incidentes complexos e conduz busca proativa por ameaças que não geraram alerta, partindo de hipóteses sobre como um atacante poderia estar operando sem ser detectado.

Essa estrutura só funciona 24 horas por dia com escala de turnos. É justamente esse ponto que inviabiliza SOCs internos para a maior parte das organizações: manter cobertura contínua exige uma equipe grande o suficiente para cobrir noites, fins de semana, férias e afastamentos.

As tecnologias que sustentam a operação

• SIEM. Sistema que coleta registros de toda a infraestrutura (servidores, firewalls, aplicações, endpoints) e correlaciona esses eventos em busca de padrões suspeitos. É a espinha dorsal da detecção.
• EDR. Ferramenta instalada nos endpoints que monitora comportamento de processos e permite investigar e responder diretamente na máquina afetada.
• Threat intelligence. Informação sobre ameaças conhecidas, endereços maliciosos, técnicas de ataque em uso e credenciais vazadas, que dá contexto às detecções.
• Automação e orquestração. Rotinas que executam ações repetitivas automaticamente, liberando os analistas para o que exige julgamento humano.

A composição exata varia, mas o princípio é constante: tecnologia gera sinal, pessoas interpretam e decidem.

O que um SOC monitora

O escopo de monitoramento é definido no início da operação e costuma incluir:

• Endpoints: estações de trabalho, notebooks e servidores
• Rede: tráfego interno, perímetro e conexões externas
• Ambientes em nuvem: configurações, acessos e atividade administrativa
• Aplicações críticas: acessos anômalos e tentativas de exploração
• Identidades: autenticações fora do padrão, escalada de privilégio, uso de contas administrativas
• E-mail: principal porta de entrada de phishing e malware

Nem tudo precisa entrar de uma vez. Uma implantação bem conduzida prioriza as fontes que dão mais visibilidade sobre o risco real do negócio e expande depois. Na prática, endpoints e identidades costumam ser os pontos de partida mais eficientes, porque concentram boa parte dos vetores de ataque inicial e do movimento lateral que vem depois.

Um ponto que costuma ser subestimado é a qualidade dos registros. Um SOC só enxerga o que as fontes reportam, e sistemas mal configurados podem simplesmente não gerar os eventos necessários. Parte do trabalho de implantação é justamente identificar e corrigir essas lacunas de coleta antes de a operação entrar em regime.

SOC interno ou SOC gerenciado

Esta é a decisão prática que a maioria das empresas enfrenta. As duas opções são legítimas, mas atendem realidades diferentes.

 

Critério	SOC interno	SOC gerenciado
Investimento inicial	Alto: tecnologia, infraestrutura e contratação	Menor: modelo de serviço com custo previsível
Tempo até operar	Meses, incluindo recrutamento e implantação	Semanas, com integração das fontes de dados
Cobertura 24×7	Exige equipe suficiente para turnos completos	Já incluída no serviço
Dependência de contratação	Alta, em um mercado com escassez de especialistas	Nenhuma
Conhecimento do negócio	Profundo, equipe dedicada à sua realidade	Construído ao longo da operação
Acesso a especialistas sênior	Limitado ao que a empresa consegue contratar	Compartilhado entre clientes do provedor
Escalabilidade	Requer novas contratações	Ajuste contratual

 

Não existe resposta universal. SOC interno faz sentido para organizações grandes, com orçamento robusto, ambiente muito específico e capacidade real de atrair e reter especialistas em segurança. Nesse cenário, o conhecimento profundo do negócio compensa o custo.

Para a maioria das empresas de médio porte, no entanto, a conta não fecha. Montar uma equipe capaz de cobrir 24 horas por dia, todos os dias, com os três níveis de análise e as tecnologias necessárias, costuma exigir investimento desproporcional ao porte. É por isso que o modelo gerenciado se tornou predominante nessa faixa.

SOC, MSSP, MSS e MDR: entendendo as siglas

O mercado usa esses termos de forma intercambiável com frequência, o que dificulta a comparação de propostas. Vale separar.

• SOC. O centro de operações de segurança em si, a estrutura. Pode ser interno ou fornecido por terceiro.
• MSSP. Managed Security Service Provider, o provedor que oferece serviços gerenciados de segurança. É a empresa, não o serviço.
• MSS. Managed Security Services, os serviços gerenciados em si. Um MSSP entrega MSS, que podem incluir SOC, gestão de firewall, gestão de vulnerabilidades e outros.
• MDR. Managed Detection and Response, serviço focado especificamente em detectar e responder ativamente a ameaças. A ênfase está na palavra response: não basta alertar, é preciso agir.

A distinção prática mais importante é entre monitoramento que apenas notifica e serviço que efetivamente responde. Um contrato que entrega alertas sem ação de contenção transfere todo o trabalho de resposta de volta para a sua equipe, muitas vezes de madrugada. Vale perguntar explicitamente quais ações o fornecedor executa e quais dependem de aprovação.

PERGUNTAS QUE VALEM FAZER AO CONTRATAR

Quais ações de resposta vocês executam automaticamente e quais exigem minha aprovação?

Qual o tempo acordado entre detecção e notificação, por nível de criticidade?

O serviço inclui caça proativa a ameaças ou apenas resposta a alertas gerados pelas ferramentas?

Como funciona a comunicação durante um incidente fora do horário comercial?

Quando sua empresa precisa de um SOC

Alguns sinais indicam que o monitoramento contínuo deixou de ser opcional:

• Você trata dados sensíveis. Dados pessoais, financeiros ou de saúde aumentam tanto o interesse de atacantes quanto a exposição regulatória. O artigo 46 da LGPD exige medidas técnicas de proteção, e capacidade de detecção é uma delas.
• Sua operação depende de sistemas. Se algumas horas de indisponibilidade causam prejuízo relevante, o tempo de detecção vira variável crítica.
• Não há cobertura fora do horário comercial. Ataques não seguem expediente. Muitos são deliberadamente executados em madrugadas e feriados justamente porque a resposta demora mais.
• Já houve incidente com resposta lenta. Se a organização já passou por um episódio em que demorou a perceber o problema, o custo dessa demora já é conhecido.
• Clientes ou auditorias exigem. Contratos corporativos e certificações cada vez mais pedem comprovação de monitoramento contínuo.

Como funciona a implantação de um SOC gerenciado

Contratar um SOC não é ligar um interruptor. Existe um período de integração em que a operação passa a enxergar o ambiente e a calibrar o que é normal para aquela organização. Entender esse processo ajuda a definir expectativa realista.

1. Levantamento do ambiente. Mapeamento dos ativos, das fontes de dados disponíveis e dos sistemas mais críticos para o negócio. É aqui que se define o escopo do que será monitorado.
2. Integração das fontes. Conexão dos registros de firewalls, servidores, endpoints, nuvem e aplicações à plataforma de correlação. Cada fonte integrada amplia a visibilidade.
3. Calibragem da linha de base. Nas primeiras semanas, a operação aprende o que é comportamento normal naquele ambiente. Sem essa etapa, tudo parece anômalo e o volume de alerta falso inviabiliza o trabalho.
4. Definição dos procedimentos de resposta. Acordo formal sobre quais ações a operação executa sozinha, quais exigem aprovação, quem é acionado em cada nível de criticidade e por qual canal.
5. Operação assistida e entrada em regime. Período de acompanhamento próximo antes da operação plena, para ajustar regras e fluxos de comunicação.

Um erro comum é esperar detecção madura na primeira semana. A qualidade da detecção melhora conforme a linha de base se estabelece e as regras são ajustadas ao contexto real da empresa.

Como medir a eficácia de um SOC

Contratado o serviço, como saber se está funcionando? Três indicadores são padrão de mercado e devem constar dos relatórios recebidos:

• MTTD, tempo médio de detecção. Quanto tempo leva, em média, entre o início de uma atividade maliciosa e sua identificação. É o indicador mais importante, porque toda a lógica do SOC é reduzir essa janela.
• MTTR, tempo médio de resposta. Quanto tempo leva entre a detecção e a contenção efetiva da ameaça. Mede a capacidade de agir, não apenas de perceber.
• Taxa de falso positivo. Proporção de alertas que, após investigação, não representavam ameaça. Uma taxa alta indica regras mal calibradas e desperdício de esforço analítico.

Além dos números, o relatório mensal deve trazer contexto: quais foram os incidentes relevantes do período, que ações foram tomadas, quais recomendações de melhoria surgiram. Relatório que só apresenta volume de eventos processados diz pouco sobre eficácia.

Vale também acordar previamente os prazos de notificação por criticidade. Um incidente crítico detectado às três da manhã precisa de um canal e de um tempo de aviso diferentes de um alerta de baixa severidade.

Sua empresa precisa de monitoramento 24 horas por dia mas não tem equipe para isso?

O Modern SOC da Viwsec entrega detecção, investigação e resposta com equipe certificada, sem você precisar montar uma estrutura interna.

Conhecer o Modern SOC

Em resumo

Um SOC é a estrutura de pessoas, processos e tecnologia que monitora o ambiente de TI continuamente para detectar, investigar e responder a ameaças. Organiza-se em camadas de análise e se apoia em tecnologias como SIEM, EDR e threat intelligence, mas seu valor está na operação, não nas ferramentas.

A escolha entre modelo interno e gerenciado depende de porte, orçamento e capacidade de contratar especialistas. Para a maioria das empresas de médio porte, o modelo gerenciado viabiliza uma cobertura 24 horas que seria inatingível internamente. E ao avaliar propostas, a pergunta decisiva é sempre a mesma: além de detectar, o serviço responde?

 

Perguntas frequentes

O que significa SOC em segurança?

SOC é a sigla de Security Operations Center, ou centro de operações de segurança. É a estrutura de pessoas, processos e tecnologia que monitora o ambiente de TI de uma organização continuamente para detectar e responder a ameaças cibernéticas.

Qual a diferença entre SOC e MDR?

O SOC é a estrutura de operação de segurança. O MDR (Managed Detection and Response) é um serviço focado em detectar e responder ativamente às ameaças, indo além de apenas emitir alertas. Um SOC gerenciado moderno normalmente entrega capacidades de MDR.

SOC e NOC são a mesma coisa?

Não. O NOC (Network Operations Center) cuida da disponibilidade e do desempenho da rede e dos sistemas. O SOC cuida da segurança: detecta ataques e responde a incidentes. São funções complementares, com objetivos e competências diferentes.

Toda empresa precisa de um SOC?

Não necessariamente de um SOC próprio. Mas toda organização que trata dados sensíveis, depende de sistemas para operar ou precisa atender exigências de conformidade se beneficia de monitoramento contínuo. Para a maioria, o modelo gerenciado é mais viável que a estrutura interna.

Quanto custa ter um SOC?

Um SOC interno exige investimento em tecnologia, contratação e operação 24 horas por dia, o que costuma ser inviável fora de grandes organizações. No modelo gerenciado, o valor depende do número de ativos monitorados, do volume de eventos e do nível de cobertura contratado.

Preciso ter equipe de TI para contratar um SOC gerenciado?

Não é obrigatório. O SOC gerenciado funciona como extensão da operação. Para empresas que já têm equipe interna, a atuação é integrada e complementar, com divisão clara de responsabilidades definida em contrato.

Fontes

Fortinet. Relatório do Cenário Global de Ameaças 2026, FortiGuard Labs: 753,8 bilhões de tentativas de ataque no Brasil em 2025.

Check Point Research. Relatório de Inteligência de Ameaças, junho de 2026: média de 4.001 tentativas de ataque por semana por organização brasileira.

BRASIL. Lei nº 13.709/2018 (Lei Geral de Proteção de Dados Pessoais), artigo 46.