Evolutia desenvolve SOC com agentes de IA capazes de investigar alertas
A Evolutia, empresa brasileira especializada em cibersegurança, anunciou uma plataforma de Centro de Operações de Segurança (SOC) baseada em agentes de inteligência artificial capazes de investigar alertas, e não apenas classificá-los ou encaminhá-los para análise humana.
Desenvolvida integralmente no Brasil, a solução reúne um SIEM próprio, responsável por coletar e correlacionar eventos de segurança, e uma camada proprietária de inteligência artificial executada dentro da infraestrutura do SOC. Segundo a empresa, essa arquitetura foi planejada para permitir maior controle sobre os dados, facilitar auditorias e reduzir a dependência de serviços externos de IA.
IA deixa de ser apenas um filtro de alertas
Em operações tradicionais, o SIEM pode produzir milhares de alertas diariamente. A equipe de segurança precisa então separar ocorrências relevantes de falsos positivos, atividades esperadas e eventos sem impacto real. Essa triagem costuma consumir grande parte do tempo dos analistas de primeiro nível.
A Evolutia afirma que muitas soluções de IA disponíveis no mercado funcionam principalmente como filtros. Elas diminuem a quantidade de alertas encaminhados aos profissionais, mas nem sempre explicam os critérios utilizados para descartar ou priorizar uma ocorrência.
A proposta da plataforma é diferente: o agente de IA deve reunir evidências, avaliar o contexto e apresentar uma conclusão justificável. Dessa forma, o analista recebe não apenas uma classificação, mas também os elementos que sustentam a decisão.
“Filtro que ninguém consegue auditar não resolve o problema do SOC, só o esconde. Nós queríamos uma IA que trabalhasse como um bom analista trabalha: levanta as evidências, chega a uma conclusão e explica o raciocínio para quem vai assinar embaixo”, afirma Alvaro de Almeida, cofundador da Evolutia.
CONNOR trata cada alerta como uma investigação
O principal componente da plataforma é o CONNOR, agente de inteligência artificial criado para transformar cada alerta em um caso de investigação. Quando o SIEM identifica uma possível ameaça, o agente consulta informações do próprio ambiente monitorado antes de emitir um parecer.
Entre os dados considerados estão a reputação do arquivo ou binário envolvido, a árvore de processos, o histórico do equipamento nos 30 dias anteriores, o perfil do usuário, o contexto operacional da organização e fontes de inteligência sobre ameaças.
Com base nessa combinação de informações, o CONNOR classifica a ocorrência como benigna, suspeita ou confirmada. A análise também inclui um nível de confiança e as evidências utilizadas para chegar ao resultado. Todo esse material fica registrado e pode ser consultado posteriormente pelo analista ou pelo cliente.
Esse modelo busca reduzir decisões baseadas exclusivamente em regras isoladas. Um comportamento que pode ser normal em uma empresa pode representar uma anomalia em outra, dependendo do setor, do horário, do perfil do usuário e da função desempenhada pelo equipamento.
Respostas automáticas e participação humana
Quando um alerta é confirmado, a plataforma pode abrir automaticamente um incidente e executar o playbook de contenção configurado para aquele tipo de ameaça. Entre as ações possíveis estão o isolamento do host, a coleta inicial de informações forenses, a abertura de chamado e o envio de notificações ao cliente.
Os casos considerados suspeitos são encaminhados aos analistas humanos com um dossiê previamente elaborado pelo agente. Assim, a equipe não precisa começar a investigação do zero e pode concentrar seus esforços em validar a conclusão, aprofundar a análise ou definir medidas adicionais.
A Evolutia ressalta que a IA não foi posicionada como a primeira nem como a única camada de defesa. Comportamentos conhecidos e previamente validados para cada ambiente são bloqueados ou descartados por regras determinísticas antes de chegar ao agente. Essa etapa evita que a capacidade de investigação seja desperdiçada com ocorrências recorrentes e já compreendidas.
Soberania dos dados no centro da arquitetura
A inteligência artificial utilizada pela plataforma é interna ao produto e opera sobre a infraestrutura da própria Evolutia. De acordo com a empresa, esse desenho atende organizações que precisam manter dados e telemetria sob controle nacional ou dentro de ambientes específicos.
A característica pode ser importante para setores como saúde, mercado financeiro, área jurídica e administração pública. Nessas áreas, o envio de registros de usuários, informações de sistemas e detalhes de incidentes para serviços externos pode ser limitado por contratos, políticas internas ou exigências regulatórias.
Além da localização da infraestrutura, a soberania de dados envolve controle sobre armazenamento, acesso, processamento e retenção das informações. Em um SOC, esses aspectos são especialmente sensíveis porque os registros podem revelar nomes de usuários, endereços de rede, aplicações utilizadas, vulnerabilidades e detalhes de operações críticas.
Volume monitorado e tempo de resposta
A operação atual da Evolutia monitora ambientes de empresas dos setores industrial, varejista, de saúde, logística e serviços. Segundo a companhia, a plataforma processa aproximadamente 2 milhões de eventos de segurança por dia.
Cerca de 25% dos alertas são resolvidos automaticamente, sem a necessidade de tratamento manual individual. A empresa também informa que, nos casos investigados pelo CONNOR, o intervalo mediano entre a entrada do alerta na plataforma e a emissão de um parecer conclusivo é inferior a três minutos.
A automação não elimina a necessidade de profissionais especializados. Em vez disso, altera a forma como o trabalho é distribuído: a tecnologia assume tarefas repetitivas de coleta e correlação, enquanto os analistas ficam responsáveis por ocorrências mais complexas, validação de decisões e gestão de incidentes críticos.
Auditoria e explicabilidade como requisitos de segurança
Um dos pontos mais relevantes da proposta é a manutenção de uma trilha de auditoria para cada decisão. O registro do parecer, das evidências consultadas e do grau de confiança permite reconstruir o caminho seguido pela análise.
Essa capacidade é importante tanto para a investigação técnica quanto para processos de conformidade. Em uma auditoria, a organização pode verificar por que determinado alerta foi classificado como benigno, quais dados estavam disponíveis naquele momento e quais medidas foram tomadas em seguida.
A explicabilidade também ajuda a identificar possíveis erros de configuração ou limitações do modelo. Se um agente classificar repetidamente um comportamento legítimo como suspeito, a equipe poderá revisar as regras, os parâmetros do ambiente ou os dados utilizados na análise.
Desafios para a adoção de agentes autônomos
Apesar dos ganhos potenciais, o uso de IA em um SOC exige controles rigorosos. Uma automação mal configurada pode descartar um evento relevante ou executar uma ação de contenção indevida. Por isso, playbooks, níveis de aprovação e limites de autonomia precisam ser definidos de acordo com o risco de cada incidente.
Outro ponto essencial é a qualidade da telemetria. Se os registros de endpoints, identidades, aplicações e rede forem incompletos, o agente terá menos elementos para produzir uma conclusão confiável. A eficiência da investigação depende, portanto, tanto do modelo de IA quanto da visibilidade existente no ambiente monitorado.
A atualização contínua das regras e das fontes de inteligência também é necessária. Novos métodos de ataque, mudanças na infraestrutura e alterações nos processos internos podem modificar o significado de um mesmo comportamento ao longo do tempo.
Uma mudança no modelo operacional dos SOCs
A abordagem da Evolutia representa uma tentativa de deslocar o foco do SOC: em vez de medir apenas a quantidade de alertas processados, a operação passa a valorizar a qualidade da investigação, a velocidade da resposta e a capacidade de explicar cada decisão.
Ao combinar regras determinísticas, correlação de eventos, investigação automatizada e supervisão humana, a plataforma busca reduzir o excesso de notificações sem abrir mão do controle profissional. O objetivo é permitir que as equipes dediquem mais tempo aos incidentes que realmente representam risco para o negócio.
Para organizações submetidas a exigências de confidencialidade e soberania, a execução da IA dentro de uma infraestrutura controlada pode ser um fator decisivo. Já para empresas com equipes enxutas, a automação da triagem e da resposta inicial pode ampliar a capacidade de monitoramento sem exigir crescimento proporcional do quadro de analistas.