Cyber range: treinar o SOC para o incidente real

Às três da manhã o alerta dispara, o analista de plantão nunca viu aquele padrão de exfiltração fora de um slide, e o relógio da contenção já está correndo. É nesse instante que se descobre a verdade incômoda: certificado na parede não contém incidente. O que separa um SOC que reage de um SOC que trava é a quantidade de vezes que aquela equipe já viveu o ataque antes que ele fosse real — e é exatamente para produzir essa vivência que existe o cyber range, o ambiente simulado onde blue team, SOC e resposta a incidentes praticam ataques realistas, sob pressão, com o cronômetro rodando.

Onde o treinamento teórico deixa a lacuna

Um curso ensina o que é um movimento lateral. Uma certificação atesta que o profissional sabe descrever a cadeia de um ransomware, nomear as táticas do MITRE ATT&CK e explicar a diferença entre contenção e erradicação. Tudo isso é necessário e nada disso é suficiente, porque o conhecimento declarativo — saber que — não é o mesmo que a competência sob carga — saber fazer quando o ambiente está degradando e três pessoas estão falando ao mesmo tempo no canal de guerra.

A lacuna aparece nos detalhes que o slide não tem. Quem escala para o time de rede quando o EDR aponta um host comprometido mas o dono do sistema está de férias? Em quanto tempo o analista percebe que o alerta que ele silenciou como falso positivo era o primeiro estágio? O playbook que parecia claro em PDF sobrevive ao contato com um adversário que não segue o roteiro? Essas perguntas não têm resposta em prova de múltipla escolha. Elas só se respondem no ato, e um time que só as encontra durante o incidente real está aprendendo no pior momento possível, com o custo mais alto possível.

O que um cyber range faz que a sala de aula não faz

Um cyber range é um ambiente de simulação que reproduz uma infraestrutura verossímil — rede, servidores, estações, aplicações, ferramentas de defesa — e injeta nela ataques encenados por um red team ou por cenários automatizados. O blue team defende esse ambiente como defenderia o de verdade: recebe os mesmos alertas ruidosos, investiga com as mesmas ferramentas, toma decisões de contenção com informação incompleta e sofre as consequências dessas decisões dentro da própria simulação. A diferença é que ali o erro é aprendizado, não manchete.

O valor do range está em três coisas que a sala de aula não entrega. A primeira é a pressão: o exercício acontece em tempo real, com o adversário avançando enquanto a equipe delibera, o que treina não só a técnica mas a coordenação, a comunicação e a tomada de decisão sob estresse. A segunda é o realismo: os cenários espelham ataques que de fato ocorrem no setor da organização — o ransomware que criptografa o compartilhamento de arquivos de um hospital, a intrusão que busca sistemas de uma operadora de energia, o comprometimento de credenciais que abre caminho para uma base de um órgão público. A terceira, e talvez a mais subestimada, é a métrica.

Métricas: o que não se mede não se treina

Um exercício em cyber range produz números, e são os números que transformam o treino em melhoria. Quanto tempo a equipe levou para detectar a atividade maliciosa depois do primeiro indício — o tempo de detecção. Quanto levou entre detectar e conter — o tempo de resposta. Quantos alertas relevantes passaram despercebidos, quantas ações de contenção foram tomadas na ordem errada, em que ponto a comunicação com o time de negócio ou com a liderança emperrou. Essas medidas convertem uma sensação vaga de "acho que fomos bem" numa linha de base concreta que se pode perseguir no próximo exercício.

É essa mensuração que aproxima o treinamento da realidade operacional. Um SOC maduro é avaliado, no incidente real, por MTTD e MTTR — tempo médio de detecção e de resposta. Se são esses os indicadores que definem o sucesso no dia ruim, são esses os indicadores que o treino precisa exercitar e medir no dia de ensaio. Um cyber range que devolve essas métricas permite descobrir, em ambiente seguro, que a detecção está lenta porque falta uma regra de correlação, ou que a resposta trava porque ninguém tem autoridade clara para desconectar um segmento — e corrigir antes que a lentidão custe caro.

Cyber drills: ensaiar antes de quem não pode falhar

Nas forças armadas e no corpo de bombeiros, ninguém questiona por que se treina uma manobra dezenas de vezes antes da operação real. A resposta a incidentes cibernéticos merece a mesma disciplina, e o nome disso no nosso campo é cyber drill: o exercício regular e repetido em que a equipe pratica o cenário até que a resposta deixe de ser improviso e vire reflexo. Um drill não é um evento único de auditoria; é uma rotina que constrói memória muscular coletiva.

Para operadoras de infraestrutura crítica — energia, água, telecomunicações, saúde — e para times de segurança pública, essa rotina não é luxo, é dever de ofício. São ambientes onde uma falha de segurança não é só prejuízo financeiro: é serviço essencial interrompido, é dado sensível de cidadão exposto, é uma investigação comprometida. O incidente, nesses setores, chega com o peso da consequência pública, e a única forma honesta de estar pronto é ter ensaiado. Um time que nunca praticou a contenção de um ataque a um sistema de controle industrial vai descobrir suas lacunas ao vivo, diante de um adversário que não vai esperar a equipe se organizar. Um time que já rodou esse cenário em range dez vezes chega ao incidente real com decisões já tomadas antes, com os papéis já claros, com o cronômetro sob controle.

Do laboratório à prontidão real

Montar e manter um cyber range verossímil, com cenários atualizados e capazes de gerar métricas úteis, é um esforço de engenharia que a maioria das equipes de segurança não tem como sustentar sozinha enquanto opera o dia a dia. É aí que entra a CyCube, plataforma de cyber range que a Certus opera no Brasil, oferecendo laboratórios práticos e exercícios realistas para SOC, blue team e DFIR, com o realismo, a pressão e as métricas que o treino precisa ter para valer.

A Certus não revende acesso a uma ferramenta; conduz o programa de capacitação com engenharia local e suporte em português, ajudando a desenhar os cenários que fazem sentido para o setor da organização e a ler as métricas que saem de cada exercício. O objetivo não é coletar mais um certificado para a parede, é chegar ao incidente real com um time que já viveu aquilo antes. Se a sua operação depende de um SOC que não pode travar no dia ruim, fale com um especialista da Certus e comece pelo cenário que mais expõe você hoje.