A vaga de analista SOC júnior é a porta de entrada mais comum para quem está começando em cibersegurança. O processo seletivo combina perguntas conceituais, cenários de triagem de alertas e avaliação de postura profissional. Saber o que esperar e como estruturar as respostas faz diferença direta na taxa de aprovação.

Este artigo apresenta 10 perguntas frequentes em entrevistas para analista SOC júnior, com respostas estruturadas que demonstram o nível de conhecimento esperado para a função.

1. O que é um SIEM e para que serve?

SIEM (Security Information and Event Management) é uma plataforma que coleta, normaliza e correlaciona logs de múltiplas fontes — firewalls, endpoints, servidores, aplicações — para identificar padrões de atividade suspeita. O SIEM centraliza a visibilidade do ambiente e gera alertas quando eventos correlacionados indicam uma possível ameaça.

Exemplos de SIEM: Splunk, Microsoft Sentinel, IBM QRadar, Elastic SIEM. Em um SOC, o analista passa grande parte do tempo no SIEM — triando alertas, investigando eventos e construindo queries de busca.

2. Qual a diferença entre falso positivo e falso negativo em segurança?

Falso positivo: o sistema de detecção gera um alerta para atividade legítima — um usuário acessando um servidor às 3h da manhã que, na verdade, está em fuso horário diferente. Falso negativo: atividade maliciosa real que não gera alerta — um ataque que passa pelos controles sem ser detectado. Falso positivo desperdiça tempo do analista. Falso negativo é mais grave — a ameaça passa sem ser detectada. Um SOC maduro trabalha continuamente para reduzir ambos, ajustando regras de detecção com base no histórico de alertas.

3. O que você faz ao receber um alerta de possível malware em um endpoint?

Fluxo de triagem estruturado: 1) Verifico a severidade e o contexto do alerta — qual o processo, qual usuário, qual hora. 2) Consulto o EDR para ver a linha do tempo de eventos no endpoint — o que o processo fez antes e depois de ser detectado. 3) Verifico se o hash do arquivo aparece em threat intelligence (VirusTotal, plataformas internas). 4) Analiso conexões de rede do endpoint — há comunicação com IPs externos suspeitos? 5) Com base nessa análise inicial, classifico como falso positivo, incidente confirmado ou requer investigação adicional. 6) Se confirmado, escalo seguindo o playbook do SOC — que define isolamento, notificação e documentação.

4. O que é escalação de privilégios?

Escalação de privilégios é quando um usuário ou processo obtém permissões maiores do que deveria ter. Escalação vertical: um usuário comum obtém privilégios de administrador. Escalação horizontal: um usuário acessa recursos de outro usuário com o mesmo nível de permissão. Em investigações de incidente, identificar se houve escalação de privilégios é crucial para entender o escopo do comprometimento — um atacante com privilégios de administrador pode ter acessado dados que um usuário comum não conseguiria.

5. O que são IOCs e como são usados no SOC?

IOCs (Indicators of Compromise) são artefatos observáveis que indicam que um sistema pode ter sido comprometido: hashes de arquivos maliciosos, endereços IP de servidores de C2, domínios usados em phishing, nomes de processos característicos de malware específico, chaves de registro criadas por malware. No SOC, IOCs são alimentados em ferramentas de detecção (SIEM, EDR, firewall) para gerar alertas automáticos quando aparecem no ambiente. Fontes de IOCs: feeds de threat intelligence, análise de malware interno e relatórios de incidentes anteriores.

6. Como você identificaria um ataque de phishing em logs de e-mail?

Em logs de gateway de e-mail, sinais de phishing: remetente com domínio recém-registrado ou que imita um domínio legítimo com variação pequena (empresa.com vs empreza.com), presença de URLs encurtadas ou redirecionadores no corpo do e-mail, anexos com extensões executáveis (.exe, .js, .vbs) ou documentos Office com macros, e volume anormal de e-mails similares chegando ao mesmo tempo (campanha de phishing em massa). Em logs de proxy, verifico se usuários clicaram nos links — acessos ao domínio suspeito após o horário de recebimento do e-mail.

7. O que é threat hunting e como difere da detecção reativa?

Threat hunting é a busca proativa por ameaças que podem estar no ambiente sem ter gerado alertas — atacantes que passaram pelos controles automáticos. É diferente da detecção reativa, onde o analista responde a alertas gerados automaticamente. O hunter parte de uma hipótese baseada em threat intelligence ("grupos APT que atacam o nosso setor usam esta técnica específica") e busca evidências dessa técnica nos dados históricos de telemetria — mesmo sem alerta. É uma atividade de nível sênior, mas analistas júnior precisam entender o conceito para crescer na função.

8. O que é o framework MITRE ATT&CK?

MITRE ATT&CK é uma base de conhecimento de táticas, técnicas e procedimentos (TTPs) usados por atacantes reais, documentados a partir de incidentes observados. Organizado em matrizes por plataforma (Enterprise, Mobile, ICS), mapeia o ciclo de ataque em táticas — Reconhecimento, Acesso Inicial, Execução, Persistência, etc. — e técnicas específicas dentro de cada tática. No SOC, é usado para contextualizar alertas ("esse comportamento mapeia para qual técnica do ATT&CK?") e identificar lacunas de cobertura de detecção.

9. Como você prioriza múltiplos alertas simultâneos?

Priorização por impacto potencial e confiança: 1) Alertas em ativos críticos (controladores de domínio, servidores de banco de dados, sistemas de pagamento) têm prioridade máxima independente da severidade declarada. 2) Alertas com alta confiança de detecção e baixo histórico de falsos positivos são tratados antes de alertas ruidosos. 3) Alertas que correlacionam com outros eventos recentes no mesmo host ou usuário indicam possível cadeia de ataque — tratados com urgência. 4) Em situações de sobrecarga, comunicar ao supervisor e pedir apoio — não ignorar alertas silenciosamente.

10. Por que você quer trabalhar em SOC?

Esta pergunta avalia motivação genuína. Respostas valorizadas mencionam: interesse em ver o ambiente de ameaças em tempo real, vontade de desenvolver habilidades de análise e investigação, compreensão de que SOC é a base de experiência para crescer em resposta a incidentes, forense ou threat hunting. Respostas que mencionam apenas "é uma porta de entrada" sem demonstrar interesse na função específica são menos convincentes — entrevistadores querem pessoas que queiram estar ali, não apenas passar por ali.

Valide seu conhecimento e avance na carreira em SOC