Hub Segurança

Objetivo e mapa do hub

O Hub Segurança é o guarda-chuva da segurança operacional: SOC (triagem e gestão dos alertas/incidentes de segurança), XDR (correlação transversal aos domínios e threat hunting), gestão de vulnerabilidades, PAM (Privileged Access Management), administração SecOps (SOAR: scoring, aprovações, rollback) e relatórios de segurança. Os tickets da área (família SOC-*) têm máxima confidencialidade: alguns tipos (ex. SOC-INCIDENT) só são visíveis para os analistas SOC e para o CISO do tenant.

A página trata a landing, as consolas operacionais (SOC L1, XDR), o Vulnerability Cockpit, as cinco páginas PAM e a Consola PAM, o SecOps Admin, o Security Report Center e o Agent Monitoring. GRC/ICC e as vistas dos diretores SOC/XDR são referidas, mas descritas nas respetivas páginas (GRC, risco, compliance e jurídico, Cockpits e vistas de direção, Customer Service, Enterprise Service e ICC).

Landing do Security Hub

Para que serve. É o ponto de entrada na segurança: reúne os painéis para SOC, XDR, vulnerabilidades, PAM, SecOps Admin, relatórios e as áreas ligadas (GRC, ICC).

Quando a usar. No início da sessão de segurança, para escolheres a área em que vais trabalhar.

Como a abrir. A partir da Home do Core (painel Security Hub) ou do Security Hub de outro contexto.

O que mostra. Os painéis ligam a: SOC L1, XDR, Vulnerabilidades, PAM, SecOps Admin, IT Security Report Center, KB do domínio SOC, GRC, ICC, Operations Cockpit com scope segurança, Agent Control Tower com scope security, CMDB com foco em segurança, ITOM com foco em segurança e as vistas dos diretores SOC/XDR/GRC/ICC.

Como se usa. Clicas no painel da área pretendida; os painéis visíveis dependem do papel (perfis SOC, XDR, SECHUB, etc.).

O que acontece depois. Acedes à página/consola escolhida com o contexto propagado.

Notas. A visibilidade é particularmente restrita: muitos conteúdos exigem papéis SOC/CISO.

SOC L1, triagem de alertas de segurança

Para que serve. É a consola operacional do SOC: recolhe os alertas dos SIEM (por webhook) e gere a sua triagem L1→L2→L3, até aos incidentes confirmados. Usa o mesmo motor de layout da consola IT com o domínio SOC.

Quando a usar. É o posto do analista SOC para a triagem e a gestão dos alertas e dos incidentes.

Como a abrir. A partir da landing Security Hub, painel SOC L1.

O que mostra. O layout de três painéis (fila · detalhe · ferramentas) com atualização automática e filtros. A faixa de KPI do L1: Alertas ativos, Triaged na última hora, FP rate (falsos positivos), SLA de triagem, Escaladas L2. As ações rápidas do L1: Atribuir a mim, Escalate L2, ✓ True Positive, False Positive.

Na passagem aos tiers superiores (L2/L3, análise/IR) mudam os KPI e as ações: KPI Open cases, Breaches, Hunts ativos, PIR pending, IOC ingested; ações Take over, Escalate L3, Isolate host, Block IOC, IR Playbook. O dashboard de KPI do SOC pode ser aberto num modal («SOC L1 Dashboard»).

Como se usa. Fazes a triagem dos alertas (SOC-ALERT), classificando-os como True/False Positive; um alerta confirmado é promovido a SOC-INCIDENT (máxima confidencialidade, PIR obrigatório); geres os relatórios de phishing (SOC-PHISH, que também podem ser abertos no portal do utilizador) e os alertas de malware (SOC-MALWARE). As ações de contenção (Isolate host, Block IOC) ativam as remediações SOAR.

O que acontece depois. «True Positive» inicia a escalada/incident; «Isolate/Block» executam ações de resposta (sujeitas às barreiras SOAR); cada ação é registada e notificada.

Notas. As ações de remediação mais sensíveis (ex. execute_script) estão protegidas por várias barreiras (ver SecOps Admin). A visibilidade dos incidentes está restrita a SOC/CISO.

XDR Ops

Para que serve. O XDR (eXtended Detection & Response) fornece a correlação transversal aos domínios das ameaças e as ferramentas de caça proativa, threat intelligence e partilha com os fornecedores.

Quando a usar. Para a análise correlacionada de sinais de várias fontes, as campanhas de hunting, a gestão dos IOC e os briefs executivos de ameaças.

Como a abrir. A partir da landing Security Hub, painel XDR.

O que mostra. Uma consola organizada em subvistas (vista inicial: Correlation), cada uma com KPI, tabelas e separadores:

Subvista	Conteúdo
Correlation	Correlação dos sinais transversal aos domínios
Threat Intel	IOC e intelligence (SOC-THREAT-INTEL: TLP, confidence, CVE, threat actor, expiração)
Unified Timeline	Timeline unificada dos eventos
Executive Brief	Síntese executiva da ameaça
Escalation	Gestão das escaladas
Lessons Learned	Lições aprendidas após o evento
Hunting Queries	Queries de threat hunting (SOC-THREAT-HUNT: hipótese, técnica)
Vendor Sharing	Partilha com os fornecedores/parceiros
Knowledge Base	Base de conhecimento XDR
Threat Landscape	Panorama das ameaças
Reports & Analytics	Relatórios e analytics (módulo de relatórios partilhado, com agendamento)

Como se usa. Navegas entre as subvistas; correlacionas os sinais, geres os IOC e as campanhas de hunting, produzes briefs e relatórios; os findings de Attack Surface Management (SOC-ASM) e os Security Cases (SOC-CASE, investigações que agregam vários alertas/incidents/IOC através de ticket-link) são tratados aqui.

O que acontece depois. As correlações podem gerar incidentes/casos; os IOC confirmados alimentam os sistemas defensivos; os relatórios podem ser agendados.

Notas. A vista Reports usa o módulo de relatórios partilhado da plataforma.

Vulnerability Cockpit

Para que serve. Gere as vulnerabilidades (SOC-VULN) detetadas pelos scanners (Tenable, Qualys, Nessus): da descoberta à remediação.

Quando a usar. Para dar prioridade à correção das vulnerabilidades e acompanhá-la.

Como a abrir. A partir da landing Security Hub, painel Vulnerabilidades.

O que mostra. O cockpit das vulnerabilidades com CVSS score, host/CI afetado, origem e estado da remediação; quando não há findings abertos, mostra o estado «Nenhum finding aberto».

Como se usa. Analisas as vulnerabilidades por severidade, planeias a remediação e ligas a changes e ativos.

O que acontece depois. A remediação atualiza o estado; as vulnerabilidades críticas podem gerar incidentes.

Notas. Alimentado pelos scanners através de ingestão.

PAM Hub

Para que serve. É o ponto de entrada no Privileged Access Management: governação de acessos, contas, credenciais, sessões e compliance privilegiados.

Quando a usar. Para gerir e vigiar os acessos privilegiados aos sistemas sensíveis.

Como a abrir. A partir da landing Security Hub, painel PAM.

O que mostra. Os painéis para as páginas PAM: Acessos, Contas, Vault, Sessões, Compliance.

Como se usa. Escolhes a área PAM; as funções estão descritas nas fichas seguintes.

O que acontece depois. As operações PAM ficam integralmente registadas em auditoria.

Notas. O PAM está reservado aos papéis de segurança (SOC/CISO/PAM admin).

PAM Acessos JIT/JEA

Para que serve. Gere os pedidos de acesso privilegiado com o modelo JIT/JEA (Just-In-Time / Just-Enough-Access): concessão temporizada e mínima.

Quando a usar. Quando um utilizador precisa de um acesso privilegiado temporário a um sistema.

Como a abrir. A partir do PAM Hub, painel Acessos.

O que mostra e como se usa. Os pedidos de acesso (SOC-ACCESS-REQ) com aprovação (CISO/SOC) e expiração; concedes o acesso pela janela necessária e revoga-lo na expiração.

O que acontece depois. O acesso concedido é temporizado e revogado automaticamente; cada concessão fica registada.

Notas. O modelo JIT/JEA minimiza os privilégios permanentes.

PAM Contas privilegiadas

Para que serve. Gere o inventário das contas privilegiadas (administrativas, de serviço) e o seu ciclo de vida.

Quando a usar. Para registar, rodar e desativar as contas privilegiadas.

Como a abrir. A partir do PAM Hub, painel Contas.

O que mostra e como se usa. A lista das contas privilegiadas com proprietário, sistema e estado; as ações de rotação/desativação.

O que acontece depois. As alterações ficam registadas; as contas não conformes surgem na Compliance PAM (PAM Compliance).

Notas. Ligado ao Vault (PAM Vault de credenciais).

PAM Vault de credenciais

Para que serve. É o cofre das credenciais privilegiadas: guarda segura e distribuição controlada dos segredos.

Quando a usar. Para guardar e recuperar de forma segura as credenciais privilegiadas.

Como a abrir. A partir do PAM Hub, painel Vault.

O que mostra e como se usa. Os elementos guardados no vault com acesso controlado; a recuperação está sujeita a autorização e registo.

O que acontece depois. Cada acesso ao segredo fica registado em auditoria.

Notas. As credenciais nunca são expostas em texto simples na interface para além do necessário; a introdução de segredos cabe ao utilizador.

PAM Sessões privilegiadas

Para que serve. Gere e grava as sessões privilegiadas para os sistemas.

Quando a usar. Para iniciar/vigiar uma sessão privilegiada e consultar a sua gravação.

Como a abrir. A partir do PAM Hub, painel Sessões.

O que mostra e como se usa. As sessões ativas e históricas com utilizador, sistema, duração e gravação; daqui podes iniciar uma sessão (também através da Consola PAM, Consola PAM (acesso zero-knowledge)).

O que acontece depois. As sessões são gravadas para auditoria e revisão.

Notas. Suporta o modelo zero-knowledge (Consola PAM (acesso zero-knowledge)).

PAM Compliance

Para que serve. Verifica a conformidade dos acessos e das contas privilegiadas face às políticas.

Quando a usar. Para as revisões periódicas de conformidade PAM.

Como a abrir. A partir do PAM Hub, painel Compliance.

O que mostra e como se usa. O estado de conformidade (acessos excessivos, contas órfãs, rotações em falta) e as ações corretivas.

O que acontece depois. As não conformidades alimentam os findings e as ações de remediação.

Notas. Ligada a GRC/auditoria.

Consola PAM (acesso zero-knowledge)

Para que serve. Abre uma consola privilegiada zero-knowledge para um CI/sistema, sem expor as credenciais ao operador.

Quando a usar. Quando tens de intervir num sistema durante o tratamento de um ticket (ex. incident num host).

Como a abrir. No botão Consola PAM do Editor de ticket (Editor de ticket) quando o ticket diz respeito a um CI, ou na página Sessões PAM.

O que mostra e como se usa. A consola de sessão para o sistema, mediada pelo PAM: as credenciais são injetadas a partir do vault sem serem reveladas.

O que acontece depois. A sessão é gravada (PAM Sessões privilegiadas) e registada em auditoria.

Notas. Modelo zero-knowledge: o operador trabalha sem conhecer o segredo.

SecOps Admin

Para que serve. É a configuração da automatização de segurança (SOAR) e das políticas de resposta.

Quando a usar. Para configurar o scoring de risco e gerir as aprovações das ações de remediação e a sua reversibilidade.

Como a abrir. A partir da landing Security Hub, painel SecOps Admin.

O que mostra. Três separadores:

1. Risk Scoring — Weights Configuration — os pesos e os critérios da pontuação de risco.
2. Approvals Queue — a fila das aprovações das ações de remediação.
3. Rollback Stack — a pilha das ações reversíveis (para anular uma remediação).

Como se usa. Defines os pesos do scoring; aprovas/rejeitas as ações em fila; geres o rollback das ações executadas.

O que acontece depois. As ações aprovadas são executadas pelos playbooks SOAR; o rollback anula os efeitos onde for suportado.

Notas. A configuração das ferramentas de segurança (Azure Tenant/Client ID/Secret, Type, Endpoint URL) passou para o Integration Center (Integration Hub e importação). As ações sensíveis (ex. execute_script) estão protegidas por quatro barreiras e por uma gestão rigorosa dos segredos.

IT Security Report Center

Para que serve. São os relatórios de segurança: postura, vulnerabilidades por severidade, incidentes, conformidade.

Quando a usar. Para produzir e consultar os relatórios de segurança.

Como a abrir. A partir da landing Security Hub, painel IT Security Report Center.

O que mostra e como se usa. O catálogo dos relatórios de segurança com scoping por domínio SOC, pré-visualização, agendamento e exportação.

O que acontece depois. Os relatórios podem ser agendados e exportados.

Notas. Scoping restrito ao domínio de segurança.

Agent Monitoring

Para que serve. Monitoriza os agentes/endpoints de segurança instalados nos sistemas.

Quando a usar. Para verificar a cobertura e o estado dos agentes (EDR/monitorização).

Como a abrir. A partir da landing Security Hub / área SecOps.

O que mostra e como se usa. O estado dos agentes por host (versão, conectividade, saúde); daqui identificas os endpoints descobertos ou não saudáveis.

O que acontece depois. As anomalias podem gerar alertas/tickets.

Notas. Complementa o Attack Surface Management (XDR Ops).

Páginas ligadas ao hub (descritas noutro local)

A partir da landing Segurança chegas também a páginas tratadas nas respetivas páginas próprias: GRC (GRC, risco, compliance e jurídico), ICC (Registo de Projetos / Clientes), CMDB com foco em segurança (Asset Management e CMDB), ITOM com foco em segurança (NOC, Observability e ITOM), Agent Control Tower (Hub IA e agentes), Operations Cockpit e as vistas Service Director SOC/XDR/GRC/ICC (Cockpits e vistas de direção).