Enquanto o mundo da segurança cibernética se encanta com modelos de IA, copilotos e agentes, uma mudança silenciosa, mas profunda, ocorre em uma camada fundamental: a padronização dos dados de segurança. O Open Cybersecurity Schema Framework (OCSF) emerge como o principal candidato para essa missão, oferecendo uma linguagem comum que permite a fornecedores, empresas e profissionais representarem eventos, descobertas e contextos de segurança de forma unificada. Isso significa menos tempo perdido com adaptações e mais eficiência na correlação de detecções, análise de dados e criação de fluxos de trabalho que funcionam em diferentes produtos, algo essencial em um mercado onde cada equipe precisa integrar telemetria de endpoint, identidade, nuvem, SaaS e, cada vez mais, de sistemas de Inteligência Artificial.
O que é o OCSF e por que ele é crucial?
Em termos simples, o OCSF é um framework de código aberto para esquemas de segurança cibernética. Ele foi projetado para ser neutro em relação a fornecedores e agnóstico quanto ao formato de armazenamento, coleta de dados e escolhas de ETL (Extract, Transform, Load). Na prática, ele oferece uma estrutura compartilhada para eventos de segurança, permitindo que analistas trabalhem com uma linguagem mais consistente para detecção e investigação de ameaças.
Isso pode parecer um detalhe técnico, mas faz uma enorme diferença na rotina de um Centro de Operações de Segurança (SOC). As equipes gastam um esforço considerável normalizando dados de diferentes ferramentas para correlacionar eventos. Por exemplo, detectar um funcionário logando de São Francisco às 10h em seu notebook e, dois minutos depois, acessando um recurso na nuvem de Nova York, pode indicar uma credencial vazada. No entanto, configurar um sistema capaz de correlacionar esses eventos é complexo, pois cada ferramenta descreve a mesma ideia com campos, estruturas e suposições distintas. O OCSF foi criado para simplificar esse processo, ajudando fornecedores a mapear seus próprios esquemas para um modelo comum e facilitando o movimento de dados por pipelines e ferramentas SIEM (Security Incident and Event Management) sem a necessidade de traduções demoradas a cada etapa.
A rápida ascensão do OCSF no mercado
A aceleração mais visível do OCSF ocorreu nos últimos dois anos. O projeto foi anunciado em agosto de 2022 por gigantes como Amazon AWS e Splunk, baseando-se em contribuições de Symantec, Broadcom e outras empresas de infraestrutura renomadas como Cloudflare, CrowdStrike, IBM, Okta, Palo Alto Networks, Rapid7, Salesforce, Securonix, Sumo Logic, Tanium, Trend Micro e Zscaler.
A comunidade OCSF tem mantido um ritmo constante de lançamentos e um crescimento impressionante. Em agosto de 2024, a AWS informou que o OCSF havia se expandido de uma iniciativa de 17 empresas para uma comunidade com mais de 200 organizações participantes e 800 colaboradores. Esse número cresceu para 900 quando o OCSF se juntou à Linux Foundation em novembro de 2024, solidificando seu status como um padrão da indústria.
OCSF em ação: Exemplos de adoção na indústria
No vasto universo da observabilidade e segurança, o OCSF está cada vez mais presente. O AWS Security Lake, por exemplo, converte logs e eventos da AWS nativamente para o formato OCSF e os armazena em Parquet. O AWS AppFabric pode gerar dados de auditoria normalizados em OCSF, e as descobertas do AWS Security Hub também utilizam OCSF, com a AWS publicando extensões para detalhes de recursos específicos da nuvem.
Outros grandes players também estão a bordo. A Splunk pode traduzir dados de entrada para OCSF, enquanto a Cribl oferece suporte para conversão contínua de dados de streaming para OCSF e formatos compatíveis. A Palo Alto Networks pode encaminhar dados de seu Strata Logging Service para o Amazon Security Lake em OCSF. Já a CrowdStrike atua em ambas as pontas, traduzindo dados do Falcon para OCSF para o Security Lake e posicionando seu SIEM de próxima geração, o Falcon Next-Gen SIEM, para ingerir e analisar dados formatados em OCSF.
Essa ampla adoção demonstra que o OCSF transcendeu o status de um padrão abstrato para se tornar uma infraestrutura operacional crucial em toda a indústria.
A urgência da IA impulsiona o OCSF
A ascensão da Inteligência Artificial (IA) está conferindo uma nova urgência à narrativa do OCSF. Quando as empresas implementam infraestruturas de IA, os Large Language Models (LLMs) ficam no centro, cercados por sistemas distribuídos complexos, como gateways de modelos, runtimes de agentes, armazenamentos de vetores, chamadas de ferramentas, sistemas de recuperação de informação e motores de política. Esses componentes geram novas formas de telemetria, muitas das quais abrangem as fronteiras de diferentes produtos.
As equipes de segurança estão cada vez mais focadas em capturar e analisar esses dados. A pergunta central muitas vezes se torna ‘o que um sistema de IA com capacidade de agente realmente fez?’, em vez de apenas ‘qual texto ele produziu?’, e ‘suas ações levaram a alguma violação de segurança?’.
Isso coloca mais pressão sobre o modelo de dados subjacente. Um assistente de IA que chama a ferramenta errada, recupera os dados incorretos ou encadeia uma sequência de ações arriscadas cria um evento de segurança que precisa ser compreendido em vários sistemas. Um esquema de segurança compartilhado se torna ainda mais valioso nesse cenário, especialmente quando a IA também está sendo usada no lado da análise para correlacionar mais dados, e mais rapidamente.
O OCSF e a segurança de agentes de IA
Imagine que uma empresa utiliza um assistente de IA para ajudar funcionários a consultar documentos internos e acionar ferramentas como sistemas de tickets ou repositórios de código. Se esse assistente de IA realiza uma ação inesperada ou não autorizada, como acessar um repositório restrito ou enviar informações sensíveis, é fundamental que todos os sistemas envolvidos – desde o LLM, passando pelo runtime do agente, até o sistema de tickets – registrem esse evento de maneira consistente. O OCSF permite que essa ‘linguagem’ seja a mesma em todos os componentes, facilitando a detecção e resposta a incidentes de segurança gerados por IA.
Conclusão
O Open Cybersecurity Schema Framework (OCSF) representa um avanço significativo para a segurança cibernética, oferecendo uma linguagem comum que simplifica a complexa tarefa de normalização e correlação de dados. Sua rápida adoção por grandes players da indústria e sua relevância crescente com a proliferação da Inteligência Artificial o posicionam como um padrão fundamental para as operações de segurança modernas. Ao permitir que as equipes de segurança entendam e respondam a eventos de forma mais eficiente, o OCSF não apenas otimiza processos, mas também fortalece as defesas em um cenário de ameaças cada vez mais sofisticado. À medida que a IA continua a redefinir o panorama digital, a capacidade de ter uma visão unificada dos eventos de segurança, proporcionada pelo OCSF, será mais vital do que nunca.
Gostou da notícia? Inscreva-se na nossa newsletter para receber as principais novidades sobre inteligência artificial e segurança diretamente no seu e-mail.
