Construindo Métricas de SOC e Rastreamento de KPIs

Quando Usar

Use esta funcionalidade quando:

• A liderança do SOC precisar de visibilidade baseada em dados do desempenho operacional
• Programas de melhoria contínua exigirem medições de referência e rastreamento de tendências
• Relatórios executivos demandarem postura de segurança quantificada e métricas de ROI
• Decisões de pessoal precisarem de dados objetivos de carga de trabalho e capacidade
• Auditorias de conformidade exigirem evidências documentadas do desempenho do SOC

Não use métricas como medidas punitivas contra analistas — métricas devem impulsionar a melhoria de processos, não o gerenciamento de desempenho individual.

Pré-requisitos

• SIEM com mais de 90 dias de dados de disposição de incidentes e alertas
• Sistema de tickets de incidentes (ServiceNow, Jira) com dados de timestamp para o ciclo de vida do incidente
• Horários de turnos de analistas e dados de pessoal
• ATT&CK Navigator para rastreamento de cobertura de detecção
• Plataforma de dashboard (Splunk, Grafana ou Power BI)

Fluxo de Trabalho

Etapa 1: Definir o Framework de Métricas Principais do SOC

Estabeleça as métricas chave alinhadas às funções do NIST CSF:

Etapa 2: Implementar Medição de MTTD/MTTR

Tempo Médio para Detectar (MTTD):

index=notable earliest=-30d status_label="Resolved*"
| eval mttd_seconds = _time - orig_time
| where mttd_seconds > 0 AND mttd_seconds < 86400  --- Exclude data quality issues
| stats avg(mttd_seconds) AS avg_mttd,
        median(mttd_seconds) AS med_mttd,
        perc90(mttd_seconds) AS p90_mttd,
        perc95(mttd_seconds) AS p95_mttd
  by urgency
| eval avg_mttd_min = round(avg_mttd / 60, 1)
| eval med_mttd_min = round(med_mttd / 60, 1)
| eval p90_mttd_min = round(p90_mttd / 60, 1)
| table urgency, avg_mttd_min, med_mttd_min, p90_mttd_min

Tempo Médio para Responder (MTTR):

index=notable earliest=-30d status_label="Resolved*"
| eval mttr_seconds = status_end - _time
| where mttr_seconds > 0 AND mttr_seconds < 604800  --- <7 days
| stats avg(mttr_seconds) AS avg_mttr,
        median(mttr_seconds) AS med_mttr,
        perc90(mttr_seconds) AS p90_mttr
  by urgency
| eval avg_mttr_hours = round(avg_mttr / 3600, 1)
| eval med_mttr_hours = round(med_mttr / 3600, 1)
| eval p90_mttr_hours = round(p90_mttr / 3600, 1)
| table urgency, avg_mttr_hours, med_mttr_hours, p90_mttr_hours

Tendência de MTTD/MTTR ao Longo do Tempo:

index=notable earliest=-90d status_label="Resolved*"
| eval mttd_min = (_time - orig_time) / 60
| eval mttr_hours = (status_end - _time) / 3600
| bin _time span=1w
| stats avg(mttd_min) AS avg_mttd_min, avg(mttr_hours) AS avg_mttr_hours,
        count AS incidents by _time
| table _time, incidents, avg_mttd_min, avg_mttr_hours

Etapa 3: Medir Qualidade de Alertas e Produtividade de Analistas

Análise de Disposição de Alertas:

index=notable earliest=-30d
| stats count AS total,
        sum(eval(if(status_label="Resolved - True Positive", 1, 0))) AS tp,
        sum(eval(if(status_label="Resolved - False Positive", 1, 0))) AS fp,
        sum(eval(if(status_label="Resolved - Benign", 1, 0))) AS benign,
        sum(eval(if(status_label="New" OR status_label="In Progress", 1, 0))) AS pending
| eval tp_rate = round(tp / total * 100, 1)
| eval fp_rate = round(fp / total * 100, 1)
| eval signal_noise = round(tp / (fp + 0.01), 2)
| table total, tp, fp, benign, pending, tp_rate, fp_rate, signal_noise

Métricas de Produtividade de Analistas:

index=notable earliest=-30d status_label="Resolved*"
| stats count AS alerts_resolved,
        avg(eval((status_end - status_transition_time) / 60)) AS avg_triage_min,
        dc(rule_name) AS unique_rule_types
  by owner
| eval alerts_per_day = round(alerts_resolved / 30, 1)
| sort - alerts_resolved

…