Todo Security Operations Center (o SOC) enfrenta o mesmo ruído: alertas demais, tempo de menos. Segundo o relatório State of the SOC 2026, da Microsoft e da Omdia, 46% de todos os alertas de segurança são falsos positivos, geralmente gerados por um comportamento anômalo justificável, como, por exemplo, uma pessoa se conectando com a empresa no Wi-Fi de um café no meio do caminho porque o trânsito estava ruim e ela ia chegar atrasada para a reunião.
A pesquisa Alert Fatigue 2026, da Vectra AI, encontrou organizações recebendo, em média, quase 3 mil alertas de segurança por dia, 63% dos quais simplesmente não chegam a ser investigados. E, segundo o SANS 2025 Detection and Response Survey, 73% dos times de segurança apontam os falsos positivos como o principal desafio de detecção que enfrentam.
O grande risco dessa fadiga de alertas é a dessensibilização. Mais ou menos como a história do menino que gritava “Lobo! Lobo!”, na fábula de Esopo. Quando a maioria dos alertas é ruído, a tendência humana é não reagir com o mesmo rigor a cada novo aviso. Mas basta um dos avisos ignorados ser real para o problema acontecer.
É nesse ponto que entra a pesquisa em detecção de comportamentos anômalos, uma das linhas do CISSA, Centro de Competência Embrapii em Segurança Cibernética operado pelo CESAR. Pedro Liberal é pesquisador da linha de CTI (Cyber Threat Intelligence) do centro e dedica sua pesquisa a um problema conceitualmente simples e tecnicamente espinhoso: ensinar sistemas a reconhecer quando um usuário se desvia do próprio padrão e, mais do que isso, usar a IA para explicar por que aquele desvio foi sinalizado. É uma abordagem semelhante ao que o Gartner batizou de UEBA (User and Entity Behavior Analytics), definida como o uso de análise para construir perfis de comportamento normal de usuários e dispositivos ao longo do tempo, sinalizando desvios desse padrão.
Separando a anomalia do ataque real
“O comportamento anômalo pode ser indicativo de um ataque, mas não necessariamente. Para caracterizar um ataque, precisam existir outros passos, outros comprometimentos”, diz Pedro. A anomalia, por natureza, é imprevisível: “se eu trabalhar de casa cinco dias seguidos, posso gerar vários comportamentos anômalos não relacionados a um ataque.” É esse hiato entre o falso positivo e a ameaça real que faz do aperfeiçoamento da detecção de comportamentos anômalos uma tarefa fundamental.
A pesquisa de Pedro lida com grandes volumes de logs corporativos — horários de login, tempo de sessão, arquivos e e-mails acessados — para construir, com modelos de IA, o perfil de comportamento padrão de pessoas dentro de uma empresa. Os dados são gerados de forma sintética, reproduzindo padrões de comportamento sem expor informações de usuários reais. É a partir desse histórico que o sistema aprende a reconhecer um desvio.
Quando a acurácia importa mais que a pressa
O custo dos falsos positivos vai além da sobrecarga para os analistas humanos. Pesquisas sobre risco de ameaças internas associam boa parte dos casos de risco insider não detectado — muitos deles justamente comportamentos anômalos desqualificados como ruído — a prejuízos médios que somam milhões de dólares por ano às organizações. Do outro lado da balança, o relatório Unit 42 2025 Global Incident Response, da Palo Alto Networks, mostra que 13% dos incidentes de engenharia social investigados tiveram origem em alertas de segurança ignorados ou não tratados a tempo, muitas vezes vítimas do próprio excesso de ruído que os precedeu.
Diante desse dilema, o pesquisador defende uma hierarquia clara de prioridades. “Quando tem muito falso positivo, qual é a tendência natural do ser humano? Ele para de dar tanta importância. E o próximo alerta pode ser um ataque de fato.”
“Eu posso ter uma velocidade de detecção muito grande, mas gerar muito falso positivo junto”, explica. “Um ataque que demora mais para ser detectado gera prejuízo. Mas ter muitos falsos positivos também gera prejuízo, eles mascaram um ataque real que pode estar acontecendo. É uma balança cruel.” Na visão do pesquisador, entre acurácia e velocidade, a primeira deveria vir antes: “Eu acredito que a acurácia se torna mais importante, mesmo que o ideal, claro, fosse ter as duas coisas ao mesmo tempo.”
Explicabilidade: abrir a caixa-preta do alerta
Se reduzir falsos positivos já é, em si, um desafio técnico grande, o passo seguinte da pesquisa de Pedro mira algo ainda mais difícil: fazer o sistema explicar por que marcou determinado comportamento como anômalo. É a fronteira da chamada XAI (Explainable Artificial Intelligence), tema que vem ganhando peso crescente na literatura acadêmica de cibersegurança justamente por atacar o problema da “caixa-preta” dos modelos de detecção. Segundo revisões recentes publicadas na Frontiers in Computer Science, técnicas de XAI permitem indicar quais sinais específicos levaram um modelo a apontar determinado comportamento como suspeito, transformando um alerta ambíguo em uma cadeia de evidências acionável para o analista.
“Hoje, quando temos um falso positivo ou uma anomalia real, a gente não tem muita explicação do porquê. Sem isso, a gente só confia no modelo, sem entender de fato a relevância do que ele apontou”, diz ele. Mas a explicabilidade não é reconstruir, depois do fato, o raciocínio de uma decisão já tomada. “A explicabilidade, no meu caso, é a explicabilidade da própria anomalia.” Na prática, isso significa entregar ao time de segurança não apenas o veredito — “isso é anômalo” —, mas o caminho de eventos que levou o sistema a essa conclusão, permitindo priorizar com mais confiança quais alertas merecem atenção imediata.
Inteligência coletiva: da máquina ao C-Level
A inteligência artificial é só uma camada dentro de um processo maior, que Pedro chama de inteligência coletiva: a IA e a ciência de dados filtrando ruído, a expertise humana fazendo a análise crítica, e a comunicação entre analista, time de resposta e C-level fechando o ciclo de decisão. Nenhuma dessas camadas funciona isoladamente, defende Pedro. Ele descreve o sistema que constrói como uma espécie de agente monitorando continuamente as ações de um usuário dentro da empresa, comparando-as ao padrão aprendido.
Essa inteligência coletiva se torna fundamental hoje em dia, diz Pedro, porque a resposta a um incidente raramente é uma simples decisão de bloquear ou não bloquear. “Se eu simplesmente cancelo o acesso de um invasor e já restauro o que foi comprometido, posso comprometer a investigação — e não encontrar a causa raiz que evitaria o próximo ataque.” É essa tensão entre conter o incidente imediato e investigar sua origem que torna a colaboração entre camadas técnicas e humanas — do analista ao C-level — indispensável.
Do laboratório para o mundo
Pedro chegou ao CISSA como bolsista de iniciação científica, ainda na graduação, e descreve o caminho até a pesquisa como algo descoberto no dia a dia: escrever artigos, alguns deles aceitos em publicações do IEEE, desenvolver softwares registrados, entender que pesquisa acadêmica não precisa estar dissociada das necessidades do mercado. “Isso é gratificante, porque a reputação é o grande prêmio do pesquisador. Quanto mais artigos aceitos, mais isso conta, seja como primeiro, segundo ou terceiro autor.”
Hoje, em transição da graduação para o mestrado, ele planeja seguir na mesma linha de pesquisa, e vê no cenário brasileiro um contraste com a percepção comum de que o país está atrasado nessa corrida. “Tem muito pesquisador bom aqui no Brasil. A produção de artigos que a gente tem está sendo muito bem avaliada e recebida internacionalmente. Isso já mostra uma relevância interessante do Brasil no universo da pesquisa acadêmica em cibersegurança.”