OBSIDIA — Brief Técnico-Executivo v8.0

01 · Resumo Executivo

O que é OBSIDIA?

OBSIDIA é uma plataforma de operações de segurança (SOC como serviço) que reúne em uma única solução a detecção de ameaças, a análise com inteligência artificial, a automação dos avisos e a gestão de incidentes. Pensada para organizações que precisam de visibilidade de nível empresarial na América Latina — MX, BR, CO, AR, CL e o restante da região.

Detecção Contínua

Vigilância 24/7 dos eventos de segurança de toda a infraestrutura, com correlação automática e prioridade por risco real, não por volume.

Análise de IA — MITRE ATT&CK

Cada alerta relevante é analisado para identificar a tática MITRE, o impacto potencial e as ações de remediação recomendadas, com o contexto completo. Diante de um incidente ativo, o analista pode pedir um playbook de resposta sob medida.

Avisos que chegam a quem opera

Cada alerta relevante é entregue a quem opera aquele cliente, pelo seu canal, com resumo diário e detecção de picos. Uma verificação diária confirma que o aviso sairia antes de ser necessário.

Gestão de Incidentes

Abertura automática de tickets enriquecidos no osTicket, Jira Service Management ou ServiceNow. Cada incidente fica documentado, atribuído e rastreável com análise completa de IA.

Relatórios e evidência

Monitor ao vivo com indicadores de risco, e relatórios de serviço e técnicos por período — uma folha por incidente, com severidade, tática MITRE e tempos de atendimento — prontos para a diretoria ou para auditoria.

Visibilidade de rede e acessos VPN

Tráfego do perímetro agregado por minuto: sessões permitidas e bloqueadas, largura de banda, países de destino e aplicações em uso, sem armazenar os registros brutos. E quem entra por VPN, de qual país e com qual endereço: um acesso concedido após várias tentativas falhas avisa de imediato e abre ticket.

02 · Arquitetura

Como se encaixa no que você já tem

OBSIDIA é uma camada de inteligência sobre a segurança que o cliente já tem: não substitui suas ferramentas, recebe seus eventos, unifica-os em um único formato, analisa-os e os converte em incidentes acionáveis que chegam à equipe certa pelo canal certo. Todos os componentes rodam em contêineres isolados, e o cliente decide onde reside a sua informação.

03 · Fluxo de Operação

Do evento ao incidente em 6 passos

OBSIDIA orquestra automaticamente todo o ciclo de detecção-resposta. A equipe SOC recebe tickets já enriquecidos e alertas Telegram acionáveis, sem trabalho manual de correlação.

Coleta — as fontes que o cliente já tem

Firewalls e equipamentos de perímetro, servidores e estações, serviços em nuvem e o SIEM ou EDR que já estiver em uso enviam seus eventos à OBSIDIA. São aceitos os protocolos habituais — syslog, API e webhooks — sem mudar a operação do cliente.

Normalização — tudo em um único formato

Eventos de origens distintas ficam em um formato comum e os repetidos são descartados, de modo que um mesmo fato não é contado — nem avisado — duas vezes. Acrescentar uma fonte nova não obriga a refazer nada do anterior.

Análise de IA — MITRE ATT&CK + Kill Chain

Conforme o plano contratado, os alertas a partir de certa severidade passam pelo motor de IA: identifica a tática e a técnica MITRE ATT&CK, a fase da cadeia de ataque, o impacto provável e as ações de remediação recomendadas, com o contexto completo do caso.

Criação automática de ticket enriquecido

Abre-se um ticket com assunto estruturado — severidade, regra e o dispositivo que originou o alerta — e corpo com os dados do evento, a análise de IA completa, o contexto MITRE e os passos de remediação. Funciona com osTicket, Jira Service Management e ServiceNow.

Aviso e escalonamento — a quem opera aquele cliente

O aviso sai pelo canal de quem opera aquele cliente, não para uma lista genérica: alerta em tempo real, vigilância do SLA, aviso de equipamentos que deixam de reportar e detecção de picos de volume. Se ninguém atender dentro do tempo do plano, o caso escala ao nível seguinte.

Acompanhamento, encerramento e evidência

Cada evento fica registrado e aparece no monitor na hora. Dali se marca como Reconhecido, Resolvido ou Falso positivo: a ação fica auditada e encerra o ticket no sistema de service desk. Tudo isso alimenta depois os relatórios de serviço e o informe executivo mensal.

04 · Automação

O que a plataforma faz sozinha

Cada automação responde a uma pergunta operacional concreta: dispara sozinha diante de uma condição definida, executa a ação sem intervenção humana e deixa um resultado mensurável. Todas são configuráveis por cliente.

Condição → OBSIDIA avalia e aporta contexto → Executa a ação → Telegram · ticket · escalonamento

Disponível hoje

Automação	Dispara quando…	Ação automática	Resultado
Monitor de SLA Live	Um alerta aberto ultrapassa o tempo de resposta do plano (8 h / 4 h / 2 h).	Notifica quem opera aquele cliente e dispara o escalonamento.	Nenhum alerta fica fora do SLA sem que alguém saiba.
Equipamentos sem reporte Live	Um equipamento deixa de enviar sinal de vida durante o intervalo configurado.	Identifica o dispositivo, seu último contato e avisa; exclui os componentes internos para não gerar ruído.	Pontos cegos detectados em minutos, não em dias.
Resumo diário Live	Todos os dias, no horário configurado.	Consolida alertas totais, distribuição por severidade, taxa de revisão e tempos de resposta.	Um relatório diário sem preparação manual.
Detector de picos Live	O volume de alertas supera a média histórica do cliente.	Marca a anomalia e notifica para revisão imediata.	Detecção precoce de ataques coordenados ou falhas de configuração.
Taxa de falsos positivos Live	Em uma janela de tempo configurável.	Calcula a taxa de falsos positivos por cliente e por regra.	Ajuste contínuo de regras e limiares: a cada mês, menos ruído.
Enriquecimento de indicadores Live	O incidente contém endereços IP, domínios ou arquivos.	Consulta a reputação em fontes externas e anexa o resultado ao ticket.	O analista decide com contexto, sem investigar por fora.

04 · Automação

O que a plataforma faz sozinha (continuação)

Automação	Dispara quando…	Ação automática	Resultado
Gerador de playbooks Live	O analista solicita diante de um incidente ativo.	O motor de IA devolve um guia de contenção, investigação e documentação.	Resposta padronizada em minutos, sem depender da experiência individual.
Relatórios de serviço e conformidade Live	No encerramento do período ou quando solicitados.	Gera o relatório de serviço, o técnico com uma folha por ticket e o informe executivo mensal.	Evidência pronta para a diretoria e para auditoria.
Controle de capacidade Live	Os ativos monitorados ou o volume de registros se aproximam do limite contratado.	Compara firewalls, servidores e equipamentos com o plano, e avisa a 80 % da cota de ingestão.	Crescimento ordenado, sem ativos fora de cobertura nem custos por surpresa.
Distribuição de avisos Live	Qualquer aviso relevante: ticket novo, incidente ou acesso suspeito.	Entrega a quem opera aquele cliente pelo seu canal, e uma verificação diária confirma que o aviso sairia.	Nenhum aviso fica sem destinatário.

Próximos releases

Automação	Dispara quando…	Ação automática	Resultado
Escalonamento por níveis Roadmap	Ninguém atende um caso dentro do tempo definido.	Cadeia nível 1 → nível 2 → nível 3 configurável por cliente, com tempos de espera entre níveis.	Se ninguém responde, o nível seguinte fica sabendo automaticamente.
Slack e Microsoft Teams Roadmap	Qualquer aviso que hoje sai por Telegram ou e-mail.	Relay ao canal que o cliente já usa, configurável por tipo de alerta.	O aviso chega onde a equipe já trabalha.
Atribuição automática de tickets Roadmap	Um caso novo é criado.	Atribui conforme tipo de alerta, severidade, ativo afetado ou tática MITRE.	Menos tempo até o primeiro contato.

05 · Playbooks de IA

Resposta Guiada a Incidentes

Ao detectar um incidente ativo, o analista SOC pode solicitar um playbook gerado pelo motor de IA a partir do Dashboard. O playbook é imediatamente acionável — não é um guia genérico, mas uma resposta adaptada à ameaça específica detectada.

🔍 Identificação e Contexto

O motor de IA recebe o contexto completo do incidente: regra disparada, dispositivo afetado, tática MITRE, severidade e eventos relacionados na janela temporal. Sem dados do cliente expostos em ambientes compartilhados.

🛑 Contenção Imediata

Passos de contenção específicos à ameaça detectada: isolamento de rede, revogação de sessões, bloqueio de processos ou contas. Ordenados pelo impacto operacional mínimo.

🔬 Investigação e Análise

Guia de investigação forense: artefatos a coletar, logs a revisar, ferramentas recomendadas e perguntas-chave para determinar o escopo real do incidente.

📄 Documentação e Encerramento

Estrutura de documentação do incidente, critérios de encerramento, ações de remediação pós-incidente e recomendações de melhoria de controles para evitar recorrência.

Nota de segurança: Os playbooks gerados no ambiente compartilhado da OBSIDIA utilizam exclusivamente informação contextual genérica da ameaça (tática MITRE, tipo de evento, severidade). Nunca incluem hostnames internos do cliente, IPs privados, nomes de usuário nem credenciais — garantindo que o conteúdo gerado seja seguro para operar em uma infraestrutura multi-tenant.

06 · Capacidades Técnicas

Cobertura de ameaças — MITRE ATT&CK

OBSIDIA detecta e correlaciona ameaças mapeadas ao framework MITRE ATT&CK Enterprise. Inclui suporte nativo para marcos regulatórios da América Latina.

Tática MITRE	Técnicas detectadas	Severidade
Initial Access	Brute Force SSH/RDP, exploit público	Crítica
Execution	Shell commands, scripts maliciosos	Alta
Persistence	Modificação de crontab, serviços	Alta
Privilege Escalation	sudo abuse, SUID/SGID	Alta
Defense Evasion	Log clearing, rootkits	Média
Credential Access	Password spraying, hash dump	Crítica
Lateral Movement	PsExec, SSH tunnels	Alta
Impact	Ransomware patterns, data deletion	Crítica
Compliance (SCA)	CIS Benchmarks · PCI-DSS · LGPD · ISO 27001 · CNBV · INAI	Informativa

Especificações do Sistema

Visibilidade de tráfegoAgregação por minuto · sem armazenar registros brutos

GeolocalizaçãoBase local · sem consultas a terceiros

Retenção de registros15 / 30 / 60 dias conforme o plano

Fontes suportadasFirewalls, servidores, nuvem, SIEM e EDR existentes

Análise de IASeveridade analisada conforme o plano

Automações ativas10 em produção · 3 em desenvolvimento

Canais de avisoTelegram e e-mail · Slack e Teams em desenvolvimento

Service desksosTicket · Jira · ServiceNow

07 · Planos e Licenças

Opções de contratação

Todos os planos incluem a plataforma completa — detecção, análise de IA, tickets, monitor e as automações básicas. Cada plano é um pacote com capacidade incluída (firewalls, servidores e equipamentos); o que exceder é cobrado à parte por dispositivo, sem mudar de plano. O tamanho do contrato define o plano, que eleva o SLA de resposta, a retenção e a automação. Serviço no ar em menos de 24 horas após a assinatura. Vigência inicial de doze meses com renovação automática; qualquer das partes pode não renovar avisando por escrito com trinta dias de antecedência.

Starter · PME

Consultar / mês

3 FW/routers incluídos 20 servidores 100 equipamentos Excedentes à parte SLA 8h Retenção 15d

Detecção em tempo real 24/7
Análise de IA — severidade Critical
Correlação com limiar de 5 alertas
Dashboard SOC operacional
Tickets automáticos osTicket
Relatórios de serviço por período
Vigilância de SLA, equipamentos sem reporte e picos de volume
Suporte por e-mail

Pro ★ Mais popular

Consultar / mês

6 FW/routers incluídos 40 servidores 200 equipamentos Excedentes à parte SLA 4h Retenção 30d

Tudo do plano Starter
Análise de IA — High + Critical
Correlação com limiar de 3 alertas
Notificações Telegram em tempo real
Relatórios diários, semanais e técnicos por ticket
Resumo diário e taxa de falsos positivos
Integração Jira / ServiceNow (pagamento único)
CIS Benchmarks · PCI-DSS · ISO 27001
Suporte Email + Telegram

Enterprise

Personalizado / ano

10 FW/routers incluídos 70 servidores 350 equipamentos Excedentes à parte SLA 2h Retenção 60d

Tudo do plano Pro
Análise de IA — totalmente configurável
Correlação personalizável
Playbooks IA on-demand incluídos
Todas as automações, incluídas as novas
Multi-tenant / multi-site
Engenharia de detecção sob medida
Suporte técnico prioritário

07 · Planos e Licenças

Opções de contratação (continuação)

Capacidade incluída por plano

O que cada pacote inclui. O que passar disso é cobrado como excedente por dispositivo; um cluster HA conta como um firewall.

Tipo	Starter	Pro	Enterprise
🛡️ Firewalls / routers (lógicos)	3	6	10
🖥️ Servidores	20	40	70
💻 Equipamentos / estações	100	200	350
🔒 WAF, bancos de dados, EDR, vulnerabilidades	À parte	À parte	À parte
☁️ Tenants O365 · consoles SASE	Por tenant	Por tenant	Por tenant
➕ Além do incluído	Excedente	Excedente	Excedente

Complementos e serviços adicionais

Excedentes

Firewalls, servidores ou equipamentos acima do incluído, sem mudar de plano.

Painel de tráfego

Sessões em tempo real, VPN, mapa de calor e sinais de comportamento.

Análise IA estendida

Enriquecimento por IA também para alertas de severidade média e alta.

Playbooks IA sob demanda

Playbook de resposta para um alerta específico. Incluído no Enterprise.

Relatórios executivos mensais

Relatório mensal de postura de segurança para a diretoria.

Retenção estendida

Blocos de +30 dias sobre a retenção do plano.

Integração com seu SIEM

Enviar ou receber eventos de um SIEM existente. Pagamento único.

Integração com sua central de atendimento

Jira, ServiceNow ou outro sistema de tickets. Pagamento único.