Centro de operações de segurança

O alerta que vale ser lido às três da manhã.

O µSOC vigia os servidores do seu cliente, entende o que está acontecendo e avisa — uma vez, com evidência e com o comando pronto. Depois cala a boca enquanto o problema continua igual.

Falar com a Callbit Ver como funciona

instalação em uma linha · sem runtime na máquina do cliente

µS µSOC 03:14

▲ INCIDENTE ABERTO

Serviço fora do ar: loja-api

servidor: acme-web01
severidade: Alto
eventos: 5

— 5 min de silêncio —

✓ NORMALIZADO

Serviço fora do ar: loja-api

ficou fora por 5 min

Por que existe

Monitor que grita demais é igual a monitor desligado.

O µSOC nasceu de scripts que vigiavam dois produtos em produção. Cada decisão dele veio de uma falha que aconteceu de verdade.

◆

O mesmo ataque acordava alguém a cada dois minutos

Até a pessoa aprender a ignorar o canal — e junto com o ruído passou a ignorar o que importava. Aqui um incidente tem identidade e duração: reavaliar a mesma janela sessenta vezes por hora produz sessenta atualizações de contador e nenhuma mensagem nova.

avisa quando abre, quando piora e quando volta ao normal

▲

Um log ilegível virou “serviço parado” por semanas

O serviço estava rodando o tempo todo; o que faltava era permissão de leitura. Ausência de dado nunca pode virar afirmação sobre o serviço, então falha de coleta é um evento próprio — e a tela distingue “está tudo bem” de “eu não sei”.

coletor tem quatro estados, não dois

◈

Uma queda foi descoberta por acaso

Porque o próprio monitor tinha parado, e monitor parado se parece exatamente com um dia tranquilo. O µSOC vigia a si mesmo: cada processo interno bate ponto, e quando um deles atrasa, o painel inteiro avisa que o silêncio não significa nada.

silêncio é tratado como o achado mais grave que existe

Como funciona

Três peças, uma decisão de cada vez.

Coleta

Um agente em shell script roda no servidor do cliente e lê o que já existe lá: log de autenticação, fail2ban, containers, processos, disco, portas abertas. Agrega antes de enviar — vinte falhas de senha viajam como um evento com contagem, não vinte linhas.

bash + curl sem runtime instalado assinado com HMAC fila em disco se a rede cair

Correlação

A cada minuto, regras determinísticas transformam eventos soltos em incidentes com identidade, severidade e duração. Deploy e reboot podem ser declarados como manutenção; o IP de quem administra entra na lista de confiança e para de gerar alarme sobre a própria pessoa. Regra nova nasce em código ou colando um Sigma pronto — a biblioteca pública inteira, sem esperar deploy.

ciclo de 60s multi-cliente janelas de manutenção silenciamento com motivo e prazo import de regra Sigma técnica MITRE ATT&CK por regra

Julgamento

Duas vezes por dia — e sob demanda em qualquer incidente — uma IA recebe o resumo agregado do período e o dossiê do ambiente daquele cliente, e escreve o laudo: o que aconteceu, que risco corre, e o comando exato para corrigir. Todo achado cita os eventos que o sustentam. Se um provedor está sobrecarregado, cai para o próximo — o laudo não depende de nenhum modelo específico estar de pé.

laudo 2×/dia análise sob demanda nunca recebe log cru sem evidência, não afirma cascata multi-provedor

Na tela

Primeiro o veredito. O log fica para quem for investigar.

Quem abre o painel de madrugada precisa de uma frase, não de uma planilha. A leitura detalhada existe — mas fica um clique adiante, para quem já decidiu que vai investigar.

Painel do µSOC mostrando a frota de servidores, com o veredito no topo e um cartão por máquina

A frota, de relance. Um cartão por máquina, com os incidentes abertos e o volume das últimas 24 horas. A máquina que parou de responder sobe para o topo com faixa própria — porque agente calado pode ser justamente a máquina comprometida, e isso é pior do que qualquer alerta que tenha chegado.

Detalhe de um incidente com a análise da IA: resumo, o que aconteceu, risco e comandos sugeridos

E o julgamento, quando você pedir. A correlação sabe que algo bateu numa regra; a análise reconstrói o que aconteceu, diz o risco dentro do contexto declarado daquele cliente e entrega o comando pronto — com o destrutivo marcado como destrutivo.

Instalação

Uma linha na máquina do cliente.

O painel gera o comando com o token já dentro. O agente não instala interpretador, não abre porta e não recebe conexão de fora — ele fala, a central escuta.

Roda em: Ubuntu, Debian, Oracle Linux, RHEL — qualquer um com bash e curl
Privilégio: funciona sem root; o que exigir sudo é opcional e declarado
Sai da máquina: só o que o painel mostra — dá para conferir com --dry-run antes de ligar
Retenção: configurável por instalação; 30 dias no padrão

acme-web01 — bash

# 1. instalar o coletor
curl -sS https://soc.seudominio.com/agente.tar.gz \
  | sudo tar xz -C /opt/musoc

# 2. registrar a máquina com o token do painel
sudo /opt/musoc/install.sh --token SEU-TOKEN

# 3. conferir o que ela mandaria, sem enviar nada
sudo /opt/musoc/agent.sh --dry-run

✓ pronto — primeiro evento na tela em 2 minutos

O que o cliente vê

Disponibilidade medida, não prometida.

A porcentagem sai dos incidentes que a própria central registrou — a mesma evidência que abriu o alerta sustenta o número. Cada bloco é um dia, porque 99,5% pode ser uma queda longa ou trinta soluços curtos, e as duas coisas pedem reações diferentes.

acme-web01Acme Varejo 99,94%

acme-db01Acme Varejo 99,21%

contoso-appContoso Saúde 100,00%

Também vem dentro

O resto do trabalho de quem opera.

Multi-cliente

Cada cliente no seu canal

Alerta com destino próprio, severidade mínima e interruptor. Desligar o aviso não desliga a detecção.

Fechar pelo Telegram

Dois botões na mensagem

Resolver ou marcar como “não é incidente” sem abrir o painel. A mensagem é reescrita dizendo quem fechou.

Negócio

Vendas e logins no mesmo lugar

Cruzar “os cadastros caíram” com “o servidor ficou fora às 3h” sem trocar de ferramenta.

Autocrítica

Quanto de cada regra virou ruído

Quantos incidentes ela abriu e quantos alguém marcou como falso. Regra que só incomoda aparece.

Acesso

Entra pelo Google

Sem senha guardada em arquivo. Liberar alguém é escrever o e-mail; tirar é apagar a linha.

Dado pessoal

Retenção com prazo

Expurgo automático do que passou da idade — porque “por quanto tempo você guarda” é pergunta de contrato.

Busca

Ache o evento certo sem clicar em dez filtros

kind:ssh.probe.root servidor:x — sintaxe de campo:valor direto na busca de Eventos, com destaque de sintaxe.

Postura

Hardening na régua do CIS Benchmark

Dezenas de verificações por máquina, sem sudo, viram uma nota que sobe ou desce — o que importa é a mudança, não o número solto.

Imagens

CVE crítica em container, avisado

Varredura de vulnerabilidade nas imagens rodando, com o achado batido contra o que já foi corrigido.

Cobertura

Cole uma regra pronta

Milhares de regras públicas em formato Sigma, traduzidas para o nosso motor. O que não dá para traduzir com segurança é recusado, não adivinhado.

Callbit · o mundo que protege

Instalamos no seu cliente e operamos junto.

O µSOC é entregue instalado e ajustado ao ambiente de quem vai ser vigiado — porque o que separa um alerta útil de um alarme falso é saber o que é normal naquela casa. Vinte anos de segurança da informação por trás da configuração.

Falar sobre uma instalação Conhecer a Callbit