Durante muito tempo, uma das premissas das operações de cibersegurança foi simples: quanto mais dados coletados, maior a capacidade de detectar ameaças. Logs de firewall, endpoints, aplicações, identidades, serviços em nuvem e dispositivos de rede passaram a alimentar continuamente plataformas de monitoramento e SIEM.
O problema é que o excesso de dados de segurança também pode se transformar em risco operacional.
À medida que os ambientes corporativos crescem, aumenta o volume de telemetria enviado para as ferramentas de segurança. Sem critérios claros para decidir o que precisa ser coletado, armazenado e analisado, o SOC passa a lidar com custos maiores, filas extensas de alertas e dificuldade para localizar eventos realmente relevantes.
Nesse contexto, a eficiência da segurança não depende apenas da capacidade de coletar informações. Depende, cada vez mais, da capacidade de identificar quais dados realmente ajudam a detectar, investigar e responder a ameaças.
Mais dados de segurança nem sempre significam mais proteção
Ambientes corporativos atuais geram telemetria em praticamente todos os pontos da infraestrutura.
- Firewalls registram conexões.
- Endpoints enviam eventos.
- Serviços de identidade registram autenticações.
- Aplicações produzem logs próprios.
- Ambientes de cloud acrescentam novas fontes de dados.
- Soluções de segurança também criam alertas, indicadores e registros continuamente.
Individualmente, cada uma dessas informações pode parecer relevante. Quando todas são encaminhadas para um SIEM sem uma estratégia definida, porém, a operação passa a absorver uma quantidade de dados muito maior do que sua capacidade real de utilização.
Grande parte dessa telemetria pode permanecer armazenada sem jamais participar de uma investigação, gerar uma detecção relevante ou apoiar uma decisão de segurança.
O desafio, portanto, deixou de ser simplesmente obter visibilidade. O SOC precisa distinguir entre os dados que ampliam essa visibilidade e aqueles que apenas aumentam seu volume operacional.
O impacto do excesso de logs nos custos do SIEM
O crescimento do volume de dados tem uma consequência financeira direta. Muitas plataformas SIEM possuem modelos de licenciamento relacionados ao volume de ingestão, processamento ou armazenamento.
Quando milhões de eventos de baixo valor são encaminhados diariamente para essas soluções, a organização pode pagar mais sem obter um ganho proporcional em segurança. E o custo não termina no armazenamento.
Uma quantidade maior de informações exige processamento, políticas de retenção, infraestrutura, gerenciamento, controles de acesso e procedimentos relacionados à conformidade e à auditoria.
Um caso apresentado pela Dark Reading em 2026 ajuda a dimensionar esse problema. A Vensure Employer Solutions viu os custos de ingestão de logs quase triplicarem em dois anos à medida que seu ambiente cresceu.
Ao revisar seu pipeline de dados e filtrar informações de alto volume e baixo valor antes que chegassem ao SIEM, a empresa reportou uma economia de aproximadamente US$ 250 mil por ano.
A experiência reforça um ponto importante: otimizar dados de segurança também é uma decisão econômica.
O SOC também paga pelo excesso de dados em eficiência
O impacto não aparece apenas na infraestrutura ou no orçamento. Cada evento enviado às ferramentas de monitoramento pode contribuir para correlações, regras, buscas, investigações ou alertas.
Quando as equipes trabalham cercadas por grandes volumes de informações pouco relevantes, encontrar comportamentos realmente suspeitos se torna mais difícil. Isso contribui para um problema conhecido pelos SOCs: a fadiga de alertas.
Analistas precisam avaliar ocorrências que não representam ameaças reais, investigar falsos positivos e navegar por grandes quantidades de telemetria antes de conseguir compreender um incidente. Como consequência, eventos críticos podem disputar atenção com milhares de registros rotineiros.
Na prática, o excesso de dados pode afetar indicadores importantes da operação, como tempo de investigação, precisão das detecções e tempo médio de resposta a incidentes.
No mesmo caso citado pela Dark Reading, a otimização do fluxo de telemetria contribuiu para uma redução de aproximadamente 50% no tempo médio de resposta, além de melhorar a precisão das detecções.
O resultado mostra que reduzir dados desnecessários não precisa significar reduzir visibilidade. Quando existe uma estratégia adequada, pode significar justamente o contrário: tornar os sinais relevantes mais fáceis de identificar.
Nem todo log precisa receber o mesmo tratamento
Uma estratégia eficiente de gestão de dados de segurança começa por abandonar a ideia de que todo evento possui o mesmo valor.
Um alerta de tentativa de intrusão, por exemplo, tem uma relevância diferente de um registro rotineiro de conexão permitida por um firewall.
Isso não significa que logs operacionais devam simplesmente ser descartados. Alguns podem ser necessários para investigações, auditorias, requisitos regulatórios ou análises históricas.
A diferença está em definir qual tratamento cada categoria realmente exige.
Dependendo da criticidade, frequência e finalidade, um dado pode:
- ser enviado imediatamente para o SIEM;
- permanecer disponível em uma camada de armazenamento de menor custo;
- ter apenas determinados campos encaminhados para análise;
- passar por enriquecimento ou correlação antes da ingestão;
- seguir políticas específicas de retenção;
- ser descartado quando não possui valor operacional, investigativo ou regulatório.
Essa classificação reduz o envio indiscriminado de informações e ajuda a transformar o pipeline de segurança em uma estrutura orientada por relevância.
O pipeline de dados passa a fazer parte da estratégia de segurança
Quando o volume de telemetria cresce, gerenciar apenas o SIEM já não é suficiente. As empresas precisam olhar também para o security data pipeline, ou pipeline de dados de segurança: a camada responsável por receber, processar, enriquecer, filtrar e direcionar informações entre diferentes tecnologias e equipes.
É nesse ponto que a organização pode definir quais eventos seguem para ferramentas de análise em tempo real, quais podem ser armazenados em outros ambientes e quais informações não precisam consumir recursos das plataformas mais caras.
Uma arquitetura desse tipo também permite realizar transformações antes da ingestão. Campos desnecessários podem ser removidos. Eventos repetitivos podem ser agregados. Informações relevantes podem receber contexto adicional. Diferentes formatos podem ser normalizados.
O SIEM deixa, assim, de funcionar como destino indiscriminado de todos os registros produzidos pela infraestrutura.
Ele passa a concentrar os dados necessários para apoiar casos de uso de segurança previamente definidos.
Inteligência Artificial ajuda a separar sinal de ruído
Com milhares ou milhões de eventos sendo produzidos continuamente, fazer essa classificação exclusivamente de forma manual pode ser inviável. Machine Learning e Inteligência Artificial começam a ganhar espaço também nessa etapa da operação.
Modelos podem analisar padrões de uso da telemetria, identificar registros de alto volume e baixa utilização e auxiliar na classificação dos dados antes que eles sejam direcionados às plataformas de monitoramento.
Algoritmos também podem contribuir para enriquecimento, agrupamento e priorização de eventos, ajudando as equipes de segurança a concentrarem recursos em informações com maior potencial de risco.
No caso apresentado pela Dark Reading, machine learning e modelos de linguagem foram utilizados justamente para automatizar parte da filtragem dos logs recebidos.
A IA, nesse contexto, não substitui as decisões de arquitetura e governança. Ela amplia a capacidade das equipes de aplicar essas decisões em ambientes onde a quantidade de informações já ultrapassa a possibilidade de análise exclusivamente humana.
A otimização de dados precisa começar pelos casos de uso
Eliminar grandes volumes de logs apenas para reduzir custos também pode criar riscos. O ponto de partida precisa ser entender quais informações são necessárias para os casos de uso de segurança da organização.
Uma empresa pode precisar detectar movimentação lateral, identificar abuso de contas privilegiadas, investigar acessos suspeitos, monitorar comportamento administrativo ou atender a exigências regulatórias específicas. Cada um desses objetivos depende de fontes de dados diferentes.
Antes de reduzir a ingestão, portanto, é necessário relacionar fontes de telemetria aos casos de uso do SOC e responder perguntas como:
- Este dado participa de alguma regra de detecção?
- Ele é necessário para investigações ou resposta a incidentes?
- Existe alguma obrigação regulatória que determine sua retenção?
- Com que frequência os analistas realmente consultam essa informação?
- O dado precisa permanecer no SIEM ou pode ser armazenado em outra camada?
Esse processo ajuda a evitar duas situações igualmente problemáticas: armazenar tudo indefinidamente ou cortar informações importantes apenas em busca de economia.
Governança de dados de segurança deve ser contínua
O que é relevante hoje pode deixar de ser amanhã. Novas aplicações entram no ambiente, tecnologias são substituídas, ataques evoluem e requisitos regulatórios mudam. Ao mesmo tempo, novas fontes de logs continuam sendo adicionadas à infraestrutura.
Por isso, otimização não deve ser tratada como um projeto pontual. A organização precisa revisar periodicamente as fontes conectadas ao SIEM, o volume produzido por cada uma delas, os custos envolvidos e a utilização efetiva desses dados.
Métricas ajudam a tornar essa análise mais objetiva. Volume ingerido por fonte, custo por tipo de telemetria, número de alertas gerados, falsos positivos, dados utilizados em investigações e tempo médio de resposta são alguns dos indicadores capazes de mostrar onde existem oportunidades de otimização.
Com essa visibilidade, decisões sobre retenção, filtragem e priorização passam a ser fundamentadas em valor operacional.
O objetivo não é ter menos dados. É ter dados melhores.
Organizações continuam precisando de ampla visibilidade sobre seus ambientes. O aumento da superfície de ataque torna essa capacidade ainda mais importante. Mas visibilidade não pode ser confundida com acúmulo.
Quando praticamente todos os eventos produzidos pela infraestrutura chegam ao mesmo destino e recebem tratamento semelhante, os custos crescem e a equipe de segurança passa a trabalhar em meio a uma quantidade cada vez maior de ruído.
Uma operação de segurança madura precisa conseguir distinguir dados necessários para detecção em tempo real daqueles destinados à investigação, auditoria, análise histórica ou simplesmente sem valor suficiente para justificar sua ingestão.
Essa mudança coloca a governança dos dados de segurança no centro da eficiência do SOC.
Mais do que perguntar quanto a infraestrutura consegue coletar, líderes de segurança precisam entender quanto desse volume realmente contribui para proteger o negócio.
Como tornar o SOC mais eficiente com uma estratégia orientada por dados
Reduzir custos e melhorar a eficiência operacional exige uma visão integrada entre arquitetura, dados, processos e tecnologias de segurança.
A Axians apoia empresas na evolução de suas operações de cibersegurança, ajudando a avaliar ambientes, integrar tecnologias e estruturar estratégias capazes de ampliar a visibilidade sem transformar o crescimento da telemetria em mais complexidade para o SOC.
Quer avaliar se o volume de dados de segurança da sua empresa está contribuindo para a detecção ou apenas aumentando custos e alertas?
Converse com os especialistas da Axians e descubra como evoluir sua estratégia de segurança com mais eficiência operacional.
Perguntas frequentes sobre excesso de dados de segurança
O que é excesso de dados de segurança?
É a situação em que uma organização coleta e armazena um volume de logs, eventos e telemetria superior à sua capacidade ou necessidade real de processamento e análise. O problema ocorre principalmente quando dados de pouco valor disputam recursos com informações relevantes para detecção e resposta.
Como o excesso de logs aumenta o custo do SIEM?
Dependendo do modelo de licenciamento da plataforma, o custo pode estar relacionado ao volume de dados ingeridos, processados ou armazenados. Enviar eventos que raramente são utilizados pode aumentar significativamente os gastos sem gerar um benefício equivalente para a operação de segurança.
Filtrar logs pode prejudicar a segurança?
Pode, caso a filtragem seja feita sem critérios. Por isso, a estratégia deve considerar casos de uso de detecção, necessidades de investigação, requisitos de compliance e políticas de retenção antes de decidir quais informações precisam chegar ao SIEM.
Como reduzir a fadiga de alertas no SOC?
A redução da fadiga passa por melhorar regras de detecção, eliminar falsos positivos, priorizar eventos de acordo com risco e contexto e revisar a qualidade das fontes de dados utilizadas pelas ferramentas de segurança.
Qual é o papel da IA na otimização dos dados de segurança?
Machine Learning e IA podem auxiliar na identificação de padrões, classificação de telemetria, filtragem de eventos de baixo valor, enriquecimento de informações e priorização de sinais relevantes. A tecnologia deve atuar em conjunto com políticas de governança e decisões de arquitetura.