Threat Monitoring — Alertas por Palavra-chave
Vigilância recorrente por termos sobre o acervo que a plataforma coleta: Telegram, WhatsApp, fóruns, redes sociais, sites .onion, paste sites, repositórios de código, feeds de IOC, bases de credenciais e logs de infostealer. Um monitor descreve o que interessa; a coleta roda em cronograma próprio e o que casa vira alerta para triagem.
Visão Geral
Cada monitor tem nome único dentro da organização, categoria (doze opções, de detecção de ameaças a proteção executiva), equipe responsável (SOC, CSIRT, Threat Intelligence, DevSecOps, Compliance, Risk, Fraude, Proteção de Dados), prioridade e status.
A frequência vai de 1 minuto a 30 dias. O tempo limite de execução vai até 2 horas e o número de novas tentativas em caso de falha é configurável até dez. A execução é orquestrada por Airflow: o disparo manual enfileira a DAG, e o histórico guarda cada execução com duração, resultado e tendência.
Os termos ficam criptografados em repouso. Palavras-chave, lista de termos, comandos de busca e a descrição do monitor são gravados em campos cifrados. O que uma organização vigia é, em si, informação sensível: revela ativo, executivo e marca sob risco.
Como a Busca é Montada
Os termos viram cláusulas obrigatórias de frase sobre quatro campos do alerta — título, descrição, dado bruto e fonte. Aos termos somam-se operadores:
- AND acrescenta termos obrigatórios;
- OR vira um grupo em que ao menos um termo precisa aparecer;
- NOT exclui o documento que contenha qualquer um dos termos.
Depois da consulta há um segundo passe de filtragem sobre o que voltou. Ele trata termo isolado com fronteira de palavra e expressão com espaço como substring — é o que impede que bin case dentro de binário e, ao mesmo tempo, permite casar “cartão de crédito” como frase. Os dois estágios existem porque a exclusão pela consulta sozinha não dá conta de negação sobre campos aninhados.
Triagem, Não Enxurrada
Um alerta nasce pendente. O analista o marca como válido ou ignorado, e essa decisão fica registrada com autor, data, severidade atribuída e a marcação de falso positivo. As três filas são navegáveis separadamente, com filtros por título, severidade, palavra que casou, família de stealer e presença de dados de cartão.
Enquanto isso, uma camada de expressões regulares etiqueta o alerta em dez categorias — credenciais, fraude, vazamento de dados, abuso de marca, phishing, dark web, malware, executivos, infraestrutura e redes sociais. A etiqueta orienta a fila; não decide nada.
O monitor também aceita uma configuração de triagem declarativa: escopo, entidades monitoradas, camadas de palavra-chave por criticidade, palavras negativas, padrões de validação e de descarte automático, fontes benignas conhecidas, janela de deduplicação em horas e limiar de pontuação. É a forma de dizer “ignore menção em contexto acadêmico” sem reescrever a consulta.
Recursos
- 112 fontes de coleta mapeadas para índices dedicados
- Resumo por IA opcional por alerta, com esquema fechado de tipos de ameaça — e filtro para ver só os alertas com ou sem resumo
- Cruzamento com o acervo de vazamentos (combolists) e com pacotes de infostealer, incluindo filtro por família de stealer
- Alertas viram item de incidente ou de relatório, individualmente ou em lote
- Exportação dos alertas em XLSX
- Soft delete com autor e data, versionamento da configuração e histórico de oito tipos de mudança
- Dicionário de ativos da organização com 41 categorias em dez grupos, que alimenta os termos do monitor
Casos de Uso
- Acompanhar menções de marca e de executivos em fóruns e canais fechados
- Detectar credenciais corporativas em pacotes de infostealer, com família identificada
- Vigiar campanha de um ator específico com termos positivos e negativos combinados
- Alimentar a fila do SOC com alertas já categorizados e priorizados
O Que o Módulo Não Faz
- Os canais de alerta são e-mail, Slack e webhook. Não há entrega nativa em Microsoft Teams nem em Discord — para esses, use o webhook.
- O resumo por IA não decide se o alerta é válido. A validação é do analista, e é ela que fica registrada.
- A categorização automática é lexical, por padrão de texto. Não é classificador treinado nem tem taxa de acerto publicada.
- Não há reprocessamento retroativo automático do histórico quando se adiciona um termo novo ao monitor.
Integrações
- Slack, e-mail e webhook customizado
- Airflow (orquestração das execuções) e OpenSearch (acervo de coleta)
- OODA Leaks, OODA Incident, OODA Reports e a API REST da plataforma
SLA & Garantias
Frequência de 1 minuto a 30 dias · termos criptografados em repouso · toda validação de alerta é assinada