Livro de minicursos do XXVI Simpósio Brasileiro de Cibersegurança, o SBSeg 2026, publicado pela Sociedade Brasileira de Computação.
Equipes de Resposta a Incidentes convivem com um volume de notificações que há muito ultrapassou a capacidade de triagem manual. Este capítulo examina como a Inteligência Artificial, e em especial os Modelos de Linguagem de Grande Escala, pode apoiar a resposta a incidentes sem deslocar o analista humano.
Combinam-se frameworks consolidados (NIST SP 800-61 Rev. 3, NIST CSF 2.0 e FIRST CSIRT Services Framework), uma revisão da literatura recente organizada por categoria de aplicação e três estudos de caso conduzidos sobre uma base de tickets reais de incidentes, previamente pseudonimizados, cedidos por CSIRTs parceiros: pseudonimização de tickets, classificação automática de incidentes e geração assistida de playbooks. Cada estudo de caso combina a demonstração das ferramentas do grupo proponente com um notebook simples, auto-contido e executável, publicado em repositório aberto.
A mensagem central é que a IA não substitui o processo de resposta a incidentes, mas amplia a capacidade de triagem, análise, documentação e recomendação quando integrada a frameworks consolidados, dados confiáveis, anonimização adequada e validação humana.
Incident response teams face a volume of notifications that has long outgrown what manual triage can absorb. This chapter examines how Artificial Intelligence, and Large Language Models in particular, can support incident response without displacing the human analyst.
We combine consolidated frameworks (NIST SP 800-61r3, NIST CSF 2.0, and the FIRST CSIRT Services Framework), a structured review of the recent literature organised by application category, and three hands-on case studies conducted over a base of real, previously pseudonymised incident tickets provided by partner CSIRTs: pseudonymisation of tickets, automated incident classification, and assisted playbook generation. Each case study pairs a demonstration of the proponents' tools with a small, self-contained and executable notebook, published in an open repository.
The chapter's central message is that AI does not replace the incident response process; it enlarges triage, analysis, documentation and recommendation capacity when it is integrated with consolidated frameworks, trustworthy data, adequate anonymisation and human validation.
| Seção | Título | Papel |
|---|---|---|
| 1.1 | Introdução | Situa a pressão sobre as equipes e o diferencial do minicurso: dados reais anonimizados. |
| 1.2 | Conceitos Básicos e Frameworks | Nivela o vocabulário: ciclo de vida da resposta, CSIRTs e SOCs, taxonomias, fundamentos de IA e de privacidade. |
| 1.3 | Estado da Arte em IA para Resposta a Incidentes | Revisão organizada por categoria de aplicação, com inclusão deliberada de trabalhos que reportam limites. |
| 1.4 | Ambientes, Ferramentas e Bases de Dados | Caracteriza os recursos sobre os quais os estudos de caso operam, de modo que o leitor consiga reproduzir o material. |
| 1.5 | Estudo de Caso 1: Anonimização de tickets | A porta de entrada do pipeline. Cobertura de proteção e utilidade preservada. |
| 1.6 | Estudo de Caso 2: Classificação de Incidentes | Estratégias de prompting, modelos comerciais contra modelos locais e o cenário de poucos exemplos. |
| 1.7 | Estudo de Caso 3: Geração de Playbooks | Do incidente classificado à ação, com ênfase em limites, riscos e validação humana. |
| 1.8 | Desafios, Tendências e Conclusões | Consolida desafios de dados, de modelos e de governança, e trata da formação e capacitação. |
Ela amplia a capacidade de triagem, análise e recomendação. A evidência empírica sustenta a formulação com precisão: modelos operando de forma autônoma falham em proporções incompatíveis com uso operacional, e os mesmos modelos em uso colaborativo produzem ganho consistente.
Combinar taxonomia estruturada com heurística iterativa de prompting melhorou a consistência da classificação em todas as arquiteturas avaliadas. E um único exemplo rotulado por categoria pode dobrar o F1 de um classificador, resultado que o capítulo reproduz sobre a própria base: a acurácia global passa de 68,4% para 89,7% com um exemplo por categoria e nenhuma chamada adicional de API por rodada. Ambas são intervenções de baixo custo e alto retorno, disponíveis a qualquer equipe.
A pseudonimização não é um passo burocrático que antecede o trabalho real: é a condição que torna possível operar sobre dados reais. A decisão de projeto que a viabiliza sem destruir a utilidade é a pseudonimização determinística com preservação do tipo da entidade.
O desenho que distingue propostas maduras é aquele em que a correção do analista realimenta o sistema. É essa realimentação que converte a ferramenta de um produto estático em um ativo institucional que melhora com o uso.
Uma vez tratado com o cuidado devido, o mesmo material que alimenta a operação alimenta a formação. Fechar esse ciclo, da operação à sala de aula e de volta, é provavelmente a contribuição mais duradoura que a comunidade brasileira de segurança pode extrair deste trabalho.
Uma seleção entre as referências do capítulo, privilegiando revisões sistemáticas, estudos com avaliação empírica sobre dados reais e trabalhos que reportam limites da automação, e não apenas ganhos.
O capítulo será publicado no livro de minicursos do SBSeg 2026, pela Sociedade Brasileira de Computação. A versão em PDF disponível neste site é a dos autores, anterior à publicação oficial. Complete o campo de páginas e o identificador digital assim que a publicação estiver disponível.
@incollection{miani2026ia,
author = {Miani, Rodrigo Sanches and Jesus Filho, Sebasti{\~a}o Alves de
and Kreutz, Diego and Kapelinski, Cristhian
and Pereira J{\'u}nior, Louren{\c{c}}o Alves
and Barbieri, Sidnei and Souza, Murray Evangelista de},
title = {Intelig{\^e}ncia Artificial aplicada {\`a} Resposta a Incidentes},
booktitle = {Minicursos do XXVI Simp{\'o}sio Brasileiro de
Ciberseguran{\c{c}}a (SBSeg)},
publisher = {Sociedade Brasileira de Computa{\c{c}}{\~a}o (SBC)},
year = {2026},
chapter = {1},
note = {Material complementar em https://sbseg26-mc1.github.io/}
}Os trabalhos que sustentam este capítulo contaram com apoio parcial da CAPES, código de financiamento 001; da RNP, por meio do Programa Hackers do Bem e do GT-LFI (Learn From Incidents); da FAPERGS, por meio dos termos de outorga 24/2551-0001368-7 e 24/2551-0000726-1; do CNPq, processos 409743/2025-9 e 408432/2024-1; e da ANATEL, por meio do Termo de Execução Descentralizada com o ITA.
Os autores agradecem aos CSIRTs e Pontos de Presença parceiros pela cessão dos dados que tornaram possíveis os estudos de caso.