SOC industrial (OT)

Última revisão: 13 de novembro de 2026

Em uma frase: um SOC industrial (OT) monitora o que um SOC de TI não vê — protocolos industriais, controladores, estações de engenharia e acessos remotos — para detectar comportamento anômalo antes que ele vire parada de produção ou incidente de segurança física.

Princípio operacional: em OT, detectar não pode custar a disponibilidade. A coleta é passiva por padrão; qualquer ação ativa exige autorização, janela e análise de risco.

1. Por que um SOC de TI não basta

Dimensão	SOC de TI	SOC industrial (OT)
Ativos	Servidores, endpoints, identidade, nuvem	PLCs, RTUs, IEDs, HMIs, switches, historadores
Protocolos	HTTP, DNS, SMB, LDAP, TLS	Modbus, DNP3, IEC 61850, PROFINET, EtherNet/IP
Prioridade	Confidencialidade e integridade	Disponibilidade, segurança física e integridade do processo
Janela	Reinício e patch são rotina	Parada planejada, janela de campo e risco operacional
Detecção	Malware, identidade, exfiltração	Comando anômalo, mudança de lógica, acesso remoto e varredura

2. O que monitoramos

Rede industrial: novas conversas, protocolos inesperados, varreduras e desvios de baseline.
Controladores: mudanças de configuração, download de lógica, modo de operação e falhas.
Estações de engenharia: uso de credenciais, acesso a projetos, instalação de software e conexão a equipamentos.
Acesso remoto: sessões de fornecedores, horários, origem, duração e comandos executados.
Historiadores e servidores OT: autenticação, alteração de configuração, exfiltração e indisponibilidade.
Perímetro OT/IT: fluxos permitidos, tentativas bloqueadas e caminhos não documentados.
Cadeia de suprimentos: acesso de terceiros e comportamento fora do padrão contratado.

3. Como funciona

Onboarding: inventário, arquitetura, fontes de log, criticidade e regras de engajamento.
Baseline: observamos o comportamento normal por um período antes de alertar em excesso.
Detecção: construímos casos de uso com MITRE ATT&CK for ICS, protocolos industriais e risco do processo.
Triagem: analisamos contexto, ativo, criticidade e impacto operacional antes de escalar.
Resposta: acionamos playbooks de contenção, preservação e comunicação com a operação.
Melhoria: revisamos regras, falsos positivos e cobertura com base em incidentes e exercícios.

4. Modelos de operação

Modelo	Como funciona	Indicado para
Co-managed	Sua equipe mantém o contexto operacional; nós operamos detecção e triagem	Times com conhecimento de processo e pouca capacidade de monitoramento
Monitoramento gerenciado	Operação contínua com SLA e escalonamento definidos	Organizações sem equipe dedicada de segurança OT
Projeto de detecção	Implantação de fontes, regras e playbooks, com transferência de conhecimento	Quem quer construir capacidade interna

Cobertura, turnos e tempo de resposta são definidos em contrato. Não presuma plantão 24 horas sem que ele esteja formalizado.

5. Métricas que importam

Cobertura de ativos: percentual de ativos críticos com telemetria relevante.
Tempo de detecção: intervalo entre o evento e o alerta qualificado.
Tempo de triagem: intervalo entre o alerta e a decisão de escalar.
Falsos positivos: proporção de alertas que não exigem ação.
Cobertura de casos de uso: técnicas relevantes do MITRE ATT&CK for ICS cobertas.
Ações de contenção: tempo entre a decisão e a execução.

6. O que o cliente precisa fornecer

Inventário mínimo e criticidade dos ativos.
Acesso passivo a pontos de coleta (SPAN, TAP ou logs exportados).
Lista de contatos, escalonamento e janelas de operação.
Regras de engajamento para ações de contenção.
Documentação de arquitetura e fluxos permitidos.
Autorização formal para coleta e tratamento de dados.

7. O que não fazemos

Varredura ativa em controladores sem autorização e janela aprovada.
Substituição da equipe de operação na decisão sobre parar ou não um processo.
Garantia de detecção de todos os incidentes: monitoramento reduz risco, não elimina.
Resposta jurídica ou comunicação institucional sem coordenação do cliente.

Perguntas frequentes

O SOC industrial precisa de agentes nos PLCs?

Na maioria dos casos, não. Muitos controladores não suportam agente e a instalação pode afetar a operação. A coleta passiva de rede, logs de switches, estações e servidores costuma ser o caminho mais seguro para começar.

Quanto tempo leva para começar a monitorar?

Depende das fontes de log e da qualidade do inventário. Um onboarding inicial pode levar algumas semanas; a maturidade de detecção cresce com baseline, revisão de regras e exercícios.

Vocês usam MITRE ATT&CK for ICS?

Sim, como referência para organizar técnicas adversárias e priorizar casos de uso. O framework ajuda a comunicar cobertura, mas não substitui o conhecimento do processo e da arquitetura local.

Como evitam excesso de alertas?

Com baseline, contexto de ativo, criticidade e revisão contínua. Alerta sem contexto operacional gera fadiga e é ignorado. A triagem precisa distinguir anomalia técnica de evento operacional legítimo.

O SOC substitui o plano de resposta?

Não. O SOC detecta e apoia a resposta; o plano define papéis, critérios, comunicação e recuperação. Um sem o outro funciona pela metade.

É possível integrar com o SIEM que já temos?

Sim, desde que haja fontes de dados confiáveis e regras adequadas ao ambiente industrial. A integração pode aproveitar o SIEM existente ou usar uma camada dedicada para OT, conforme o escopo.

Escopo, cobertura, prazos e condições de operação são definidos em contrato. Este conteúdo descreve o serviço e não substitui uma avaliação técnica da sua instalação.

Como citar esta página

SeniorFlow. SOC Industrial (OT). Atualizado em 13/11/2026. Disponível em: https://seniorflow.com.br/servicos/soc-industrial-ot

Ao citar, preserve a data de atualização e não trate projetos de lei como normas vigentes.