Resumo do projeto
O ZOOMIE é um projeto focado em SOAR e xMDR, pensado para aproximar visibilidade, deteção e reação numa única linha de defesa. A ideia central é reduzir o tempo entre o evento suspeito e a ação defensiva, com especial atenção a cenários de mitigação em tempo real.
Em vez de funcionar apenas como monitorização passiva, o projeto procura combinar telemetria, correlação e resposta automatizada, criando um fluxo operacional mais próximo de um ambiente SecOps moderno.
Objetivo principal
O objetivo do ZOOMIE é criar um ecossistema capaz de:
- receber eventos e sinais de risco vindos de diferentes pontos do sistema;
- avaliar contexto suficiente para distinguir ruído de ameaça relevante;
- acionar respostas automatizadas sempre que os critérios definidos forem atingidos;
- apoiar operações de SOC e Blue Team com mais velocidade e consistência.
O foco não está apenas em “detetar”, mas em detetar com capacidade de agir.
Componentes em destaque
- Motor de orquestração: responsável por coordenar decisões e ações defensivas.
- Forwarder dedicado: componente orientado para aplicar contenção ou bloqueio em tempo real.
- Telemetria contínua: recolha de sinais operacionais e de segurança para alimentar a análise.
- Integração com Splunk: apoio à visibilidade, auditoria e acompanhamento dos eventos.
- Base Linux segura: endurecimento do sistema e disciplina operacional no ambiente subjacente.
Abordagem técnica
O projeto combina tecnologias com papéis complementares. O lado de automação e orquestração apoia-se em Python, enquanto componentes de estrutura e lógica operacional podem ser suportados por C# / .NET. A observabilidade e o registo de eventos articulam-se com Splunk, criando uma ponte entre ação e auditoria.
Em termos práticos, isto permite construir um fluxo em que a deteção não termina num alerta: ela pode evoluir para contenção, registo, validação e melhoria contínua.
Valor para SOC / Blue Team
- Menor MTTR: redução do tempo de resposta a eventos relevantes.
- Maior consistência: menos dependência de ações manuais repetitivas.
- Melhor rastreabilidade: eventos e respostas podem ser acompanhados e auditados.
- Postura mais ativa: transição de monitorização passiva para defesa operacional.