Implementando Sistema de Tickets para Incidentes

Quando Usar

Use esta funcionalidade quando:

• Equipes de SOC precisarem formalizar o rastreamento de incidentes além do gerenciamento de eventos notáveis do SIEM
• Requisitos de conformidade exigirem um ciclo de vida de incidentes documentado com carimbos de data/hora e trilhas de auditoria
• Coordenação entre várias equipes exigir fluxos de trabalho baseados em tickets com atribuição e escalonamento
• Rastreamento de SLA precisar de medição automatizada de tempos de resposta e resolução
• Revisões pós-incidente exigirem dados estruturados para análise de tendências e relatórios

Não use para triagem de alertas individuais — tickets são para incidentes confirmados que exigem investigação e remediação em várias etapas, não para todos os alertas do SIEM.

Pré-requisitos

• Plataforma de ticketing: ServiceNow ITSM, Jira Service Management ou TheHive
• Capacidade de integração com SIEM (API REST, webhook ou conector SOAR)
• Taxonomia de classificação de incidentes (categorias, níveis de severidade, caminhos de escalonamento)
• Cronograma de rotação de plantão para atribuição de analistas
• Definições de SLA alinhadas à severidade do incidente

Fluxo de Trabalho

Etapa 1: Definir Taxonomia de Classificação de Incidentes

Estabeleça categorias e severidade de incidentes padronizadas:

incident_taxonomy:
  categories:
    - malware_infection
    - phishing_campaign
    - unauthorized_access
    - data_exfiltration
    - denial_of_service
    - ransomware
    - insider_threat
    - vulnerability_exploitation
    - account_compromise
    - policy_violation

  severity_levels:
    critical:
      definition: "Active data breach, ransomware, or business-critical system compromise"
      response_sla: 15 minutes
      resolution_sla: 4 hours
      escalation: immediate to Tier 3 + CISO notification
      examples: ["Active ransomware", "Domain admin compromise", "Customer data breach"]

    high:
      definition: "Confirmed compromise of business systems or multiple user accounts"
      response_sla: 30 minutes
      resolution_sla: 8 hours
      escalation: Tier 2 immediate, Tier 3 if unresolved in 2 hours
      examples: ["Malware with C2", "Lateral movement detected", "Phishing with credential theft"]

    medium:
      definition: "Confirmed security event requiring investigation and remediation"
      response_sla: 2 hours
      resolution_sla: 24 hours
      escalation: Tier 2 within 4 hours
      examples: ["Single phishing click", "Unauthorized software", "Policy violation"]

    low:
      definition: "Minor security event with limited impact"
      response_sla: 8 hours
      resolution_sla: 72 hours
      escalation: Tier 1 standard queue
      examples: ["Scan attempt", "Failed brute force (no compromise)", "Info disclosure"]

Etapa 2: Automatizar Criação de Tickets a partir do SIEM

Integração com ServiceNow via API REST:

import requests
import json
from datetime import datetime

class IncidentTicketManager:
    def __init__(self, snow_url, snow_user, snow_password):
        self.snow_url = snow_url
        self.auth = (snow_user, snow_password)
        self.headers = {
            "Content-Type": "application/json",
            "Accept": "application/json"
        }

    def create_incident(self, alert_data):
        """Cria incidente no ServiceNow a partir de alerta do SIEM"""
        severity_map = {
            "critical": "1",
            "high": "2",
            "medium": "3",
            "low": "4"
        }

        payload = {
            "short_description": f"[SEC] {alert_data['rule_name']} — {alert_data['src']}",
            "description": self._build_description(alert_data),
            "category": "Security",
            "subcategory": alert_data.get("category", "Investigation"),
            "urgency": severity_map.get(alert_data["severity"], "3"),
            "impact": severity_map.get(alert_data["severity"], "3"),
            "assignment_group": self._get_assignment_group(alert_data["severity"]),
            "caller_id": "soc_automation",
            "u_siem_event_id": alert_data.get("notable_id", ""),
            "u_mitre_technique": alert_data.get("mitre_technique", ""),
            "u_affected_hosts": ", ".join(alert_data.get("affected_hosts", [])),
            "u_iocs": json.dumps(alert_data.get("iocs", {}))
        }

        response = requests.post(
            f"{self.snow_url}/api/now/table/incident",
            auth=self.auth,
            headers=self.headers,
            json=payload
        )
        result = response.json()["result"]
        return {
            "ticket_number": result["number"],
            "sys_id": result["sys_id"],

…