Capítulo 1 — Pergunta de pesquisa e método de revisão da literatura | Mestrado Operações de segurança e equipe azul

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 01 publicada. Mapa, exemplo, EX001.

flowchart TD
  N0["1.1 Do problema à pergunta"]
  N1["1.2 Partes de uma boa pergunta"]
  N2["1.3 Buscar na literatura"]
  N3["1.4 Avaliar as fontes"]
  N4["1.5 O que a literatura diz"]
  N5["1.6 O registro de busca"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
  N6 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX001"]

Desenho lógico

flowchart LR
  N0["1.1 Do problema à pergunta"]
  N1["1.2 Partes de uma boa pergunta"]
  N2["1.3 Buscar na literatura"]
  N3["1.4 Avaliar as fontes"]
  N4["1.5 O que a literatura diz"]
  N5["1.6 O registro de busca"]
  N6["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]

[1.1 Do problema à pergunta]
    |
    v
[1.2 Partes de uma boa pergunta]
    |
    v
[1.3 Buscar na literatura]
    |
    v
[1.4 Avaliar as fontes]
    |
    v
[1.5 O que a literatura diz]
    |
    v
[1.6 O registro de busca]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX001]

Objetivos de aprendizagem

Você vai (1) transformar um problema prático de SOC numa pergunta pesquisável; (2) conduzir uma busca estruturada na literatura; (3) avaliar as fontes por tipo e força; (4) manter um registro de busca reprodutível.

1.1 Do problema à pergunta

Tariq Haddad, mestrando no fictício Ashworth Institute of Technology, trabalha meio período no SOC corporativo da fictícia Pelham Water Utility. Os analistas reclamam de "alertas demais". Isso é um problema, não uma pergunta. Com a orientadora, a Dra. Ingrid Solberg, Tariq o estreita: "Acrescentar listas de permissão revisadas às dez regras de detecção mais ruidosas reduz o volume semanal de alertas sem suprimir ataques verdadeiros, em comparação com regras não ajustadas nas mesmas semanas?" A segunda metade da pergunta, "sem suprimir ataques verdadeiros", é o que faz dela uma pergunta de segurança, e não de carga de trabalho.

1.2 Partes de uma boa pergunta

A pergunta nomeia uma intervenção (listas de permissão), uma população (dez regras, um SOC), uma comparação (regras não ajustadas), desfechos (volume e ataques suprimidos) e um horizonte de tempo. Cada parte pode ser medida. Cada parte também limita a afirmação. "Dez regras, um SOC" significa que o resultado descreve as regras mais ruidosas da Pelham, não o ajuste de detecções em geral. "Regras não ajustadas nas mesmas semanas" significa que qualquer coisa que tenha afetado todas as regras, como um feriado, pode ser descontada. Nomear dois desfechos significa que uma queda no volume não pode ser relatada sem a contagem de ataques suprimidos ao lado.

1.3 Buscar na literatura

Tariq busca em bibliotecas digitais (ACM, IEEE, USENIX) e na literatura cinzenta (NIST, MITRE) com termos registrados: "alert fatigue", "false positive" AND "security operations", "detection tuning", "SOC" AND "qualitative". Ele registra datas, bases e números de resultados. Sua busca na ACM em 3 de fevereiro de 2026 retornou 214 resultados; 31 foram triados pelo resumo e 9 incluídos. As exclusões são registradas com motivos: 12 artigos sobre algoritmos de IDS de rede sem dados de analistas e 10 duplicatas. A literatura cinzenta é buscada à parte, para que documentos do NIST e da MITRE não se misturem aos estudos empíricos nas contagens.

1.4 Avaliar as fontes

Estudos empíricos revisados por pares, como Alahmadi, Axon e Martinovic (2022) sobre disparos benignos, pesam mais do que blogs de fornecedores. Frameworks — a NIST SP 800-92 sobre gestão de logs, o formato de regras do SigmaHQ — definem a prática, mas não são evidência de efeito. Tariq etiqueta cada fonte por tipo. As etiquetas determinam o que cada fonte pode sustentar na dissertação. Alahmadi et al. podem ser citados sobre como os analistas vivenciam os alarmes; a SP 800-92 pode ser citada sobre como é uma boa gestão de logs; nenhuma das duas pode mostrar que listas de permissão reduzem o volume sem esconder ataques. Essa afirmação exige a medição do próprio Tariq.

1.5 O que a literatura diz

Os analistas relatam que a maioria dos alarmes são disparos benignos (Alahmadi et al., 2022); taxas de base baixas fazem os alarmes falsos predominarem (Axelsson, 2000); incentivos desalinhados distorcem as métricas de SOC (Kokulu et al., 2019). Poucos trabalhos publicados medem efeitos do ajuste com um grupo de comparação. A última frase é a lacuna de Tariq. Os estudos descrevem por que os alertas são ruidosos e por que as métricas enganam, mas poucos comparam regras ajustadas com regras não ajustadas no mesmo período. Sua afirmação no seminário parte disso: a redução de volume, sozinha, é uma métrica de sucesso enganosa, enquanto a constatação de Alahmadi et al. de que o volume causa esgotamento é a contraevidência de que a redução ainda tem valor.

1.6 O registro de busca

O registro permite que um leitor refaça a busca e veja por que as fontes foram incluídas ou excluídas. A entrada de Tariq para a busca na ACM mostra o que isso exige: a data, a base, a expressão exata, o intervalo de anos, os números de resultados em cada etapa e os motivos de exclusão. Um leitor que discorde da exclusão dos 12 artigos sobre algoritmos de IDS de rede pode ver a decisão e julgá-la, em vez de suspeitar que artigos inconvenientes sumiram. A Dra. Solberg revisa o registro antes da redação do capítulo de literatura.

Exemplo resolvido

Entrada do registro de busca de Tariq: "2026-02-03, ACM DL, ('alert fatigue' OR 'false positive') AND ('security operations' OR SOC), 2010–2026: 214 resultados; 31 triados pelo resumo; 9 incluídos. Exclusões: 12 artigos sobre algoritmos de IDS de rede sem dados de analistas; 10 duplicatas."

Caso sintético. O Ashworth, a Pelham Water Utility e todas as pessoas são inventados.

Erros e limites

As buscas deixam passar relatórios do setor protegidos por paywall; registre isso como limitação.

Exercícios

EX001 — Problema versus pergunta. Por que "alertas demais" ainda não é uma pergunta de pesquisa?
Mostrar critérios de avaliação
Rubrica: 3 = sem intervenção, comparação, desfecho mensurável nem horizonte de tempo; 2 = parcial; 1 = já é; 0 = nada.
EX002 — Partes da pergunta. Cite as cinco partes da pergunta de Tariq.
Mostrar critérios de avaliação
Rubrica: 3 = intervenção, população, comparação, desfechos, tempo; 2 = três; 1 = uma; 0 = nada.
EX003 — Registro da busca. O que Tariq registra em cada busca?
Mostrar critérios de avaliação
Rubrica: 3 = data, base, termos, resultados, contagens da triagem; 2 = três; 1 = um; 0 = nada.
EX004 — Peso das fontes. Compare o peso como evidência de Alahmadi et al. e de um blog de fornecedor.
Mostrar critérios de avaliação
Rubrica: 3 = empírico revisado por pares vs. marketing não revisado; 2 = parcial; 1 = iguais; 0 = nada.
EX005 — Frameworks. Que papel a NIST SP 800-92 e o Sigma têm na revisão?
Mostrar critérios de avaliação
Rubrica: 3 = definem prática/formato, não evidência de efeito; 2 = parcial; 1 = evidência; 0 = nada.
EX006 — Lacuna. Indique a lacuna de que o estudo de Tariq trata.
Mostrar critérios de avaliação
Rubrica: 3 = poucas medições de efeitos do ajuste com grupo de comparação; 2 = parcial; 1 = vago; 0 = nada.
EX007 — Exclusões. Por que os artigos sobre algoritmos de IDS de rede foram excluídos?
Mostrar critérios de avaliação
Rubrica: 3 = sem dados de analistas/operacionais relevantes para a pergunta; 2 = parcial; 1 = ao acaso; 0 = nada.

Síntese

Uma pergunta pesquisável tem partes mensuráveis; uma busca na literatura registrada e avaliada mostra onde ela se encaixa.

Continue estudando — capítulo 01 de 08

← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →