Agente de IA para Resposta a Incidentes de Segurança de Dados

Preparar o payload de busca no SIEM/EDR para recuperar alertas de segurança relevantes dentro de uma janela de tempo e critérios definidos para posterior correlação.

1.3.1 Especificação do Input

• Mecanismo de Acionamento: Este agente é o ponto de partida do fluxo e deve ser acionado pelo envio de um objeto JSON com parâmetros de coleta via API. Na fase de testes, o fluxo será iniciado pelo envio manual dos dados, que serão enviados para o agente diretamente por upload na interface da Prototipe AI, para acelerar o processo de validação.
• Tipo do input: O input inicial para o fluxo é um objeto JSON com parâmetros de coleta.
• Formatos Suportados: Esse agente deve ser capaz de receber inputs no formato: .json.
• Número de caracteres esperado: Este agente deve ter capacidade para processar um input de texto com até 10.000 caracteres.

1.3.2 Especificação do Output

• Formato de output: O output deve ser um objeto JSON formatado para busca de alertas no SIEM/EDR.
• Exemplo de Estrutura de Output:

   {"endpoint": "siem.alerts.search", "method": "POST", "headers": {"Authorization": "Bearer {{auth_token}}"}, "query": {}, "body": {"time_range": {"from": "2025-11-30T09:00:00Z", "to": "2025-11-30T13:00:00Z"}, "sources": ["firewall", "ids", "edr", "proxy", "casb"], "min_severity": "high", "filters": {"tenant_id": "org-123", "environment": ["prod"]}, "pagination": {"limit": 1000, "cursor": null}, "fields": ["id","timestamp","source","severity","entity","rule","evidence"]}}

• Número de caracteres esperado: O JSON gerado deve ter um tamanho estimado em torno de 1.500 caracteres.

1.3.3 Parâmetros de Geração

• Modelo: GPT-5
• Temperatura: 0.6

1.3.4 Ferramentas do Agente

• Documentos: Não consulta documentos externos.
• Calculadora: Não utiliza.
• Busca Online: Não utiliza.
• Sistemas Externos: Não se conecta a sistemas externos.

1.3.5 Memória

• Visibilidade das Instruções (Prompt): As instruções deste agente não devem ser visíveis para nenhum agente.
• Visibilidade da Resposta: A resposta gerada por este agente deve ser visível para o Agente de Execução de Chamada à API - SIEM (RF 2).

1.3.6 Regras de Orquestração e Transição

Ao concluir sua execução, esse agente aciona o Agente de Execução de Chamada à API - SIEM (RF 2).

Realizar chamada à API do Sistema SIEM para obter dados de alertas de segurança na janela definida.

2.3.1 Especificação do Input

• Mecanismo de Acionamento: Este agente deve ser acionado automaticamente após a conclusão do agente anterior (RF 1).
• Tipo do input: Este agente deve ser apto a receber como input um payload pronto em JSON para chamada à API.
• Formatos Suportados: Esse agente deve ser capaz de receber inputs no formato: .json.
• Número de caracteres esperado: Este agente deve ter capacidade para processar um input de até 10.000 caracteres.

2.3.2 Especificação do Output

• Formato de output: O output deve ser um JSON com a lista de alertas brutos recuperados do SIEM.
• Exemplo de Estrutura de Output:

  {"alerts": [{"id": "a1", "timestamp": "2025-11-30T10:01:02Z", "source": "edr", "severity": "high", "entity": {"host": "srv-01", "user": "u123"}, "rule": "possible_data_exfiltration", "evidence": {...}}, ...], "pagination": {"next_cursor": "abc123"}}

• Número de caracteres esperado: O JSON gerado deve ter um tamanho estimado em torno de 5.000 caracteres.

2.3.3 Parâmetros de Geração

• Modelo: Não se aplica (uso de ferramenta)
• Temperatura: Não se aplica (uso de ferramenta)

2.3.4 Ferramentas do Agente

• Documentos: Não consulta.
• Calculadora: Não utiliza.
• Busca Online: Não utiliza.
• Sistemas Externos: O agente deverá enviar o JSON recebido para a API externa do SIEM e retornar o JSON recebido como resposta.

2.3.5 Memória

• Visibilidade das Instruções (Prompt): As instruções não são visíveis para agentes subsequentes.
• Visibilidade da Resposta: A resposta (JSON de alertas) deve ser visível para o Agente de Correlação e Identificação de Incidentes (RF 3).

2.3.6 Regras de Orquestração e Transição

Ao concluir sua execução, esse agente aciona o Agente de Correlação e Identificação de Incidentes (RF 3).

Agrupar alertas em incidentes únicos, deduplicar, classificar tipo e severidade, e identificar possível envolvimento de dados pessoais conforme critérios da LGPD.

3.3.1 Especificação do Input

• Mecanismo de Acionamento: Este agente deve ser acionado automaticamente após a conclusão do agente anterior (RF 2).
• Tipo do input: Este agente deve ser apto a receber como input um JSON com alertas brutos do SIEM.
• Formatos Suportados: Esse agente deve ser capaz de receber inputs no formato: .json.
• Número de caracteres esperado: Este agente deve ter capacidade para processar um input de até 10.000 caracteres.

3.3.2 Especificação do Output

• Formato de output: O output deve ser um JSON com a lista de incidentes identificados e suas características.
• Exemplo de Estrutura de Output:

  {"incidents": [{"incident_id": "INC-2025-11-30-0001","titulo": "Possível exfiltração de dados via proxy","janela": {"inicio": "2025-11-30T10:00:00Z","fim": "2025-11-30T10:15:00Z"},"entidades_afetadas": {"hosts": ["srv-01"], "usuarios": ["u123"], "aplicacoes": ["proxy-gw"]},"tipo_incidente": "exfiltracao_dados","severidade": "alta","score_severidade": 7.5,"dados_pessoais_env": true,"dados_pessoais_sensiveis_env": false,"categorias_dado": ["identificadores", "credenciais_hash"],"volume_registros_est": {"min": 8000, "max": 15000, "melhor_estimativa": 12000},"confianca_classificacao": 0.82,"suposicoes": ["volume estimado a partir de 1.2GB de upload para domínio externo"],"evidencias_ref": ["a1","a5","a7"],"status": "em_investigacao"}],"audit_decisions": [{"incident_id": "INC-2025-11-30-0001","decisao": "grupo_por_host_user_tempo","racional": "alertas com mesma entidade e IO correlato em janela de 15min"},{"incident_id": "INC-2025-11-30-0001","decisao": "severidade_calculada","racional": "impacto alto + escopo moderado + alta confiança"}],"cursor_out": "abc123"}

• Número de caracteres esperado: O JSON gerado deve ter um tamanho estimado em torno de 7.000 caracteres.

3.3.3 Parâmetros de Geração

• Modelo: GPT-5
• Temperatura: 0.6

3.3.4 Ferramentas do Agente

• Documentos: Não consulta.
• Calculadora: Não utiliza.
• Busca Online: Não utiliza.
• Sistemas Externos: Não utiliza.

3.3.5 Memória

• Visibilidade das Instruções (Prompt): As instruções não são visíveis para agentes subsequentes.
• Visibilidade da Resposta: A resposta (JSON de incidentes) deve ser visível para o Agente de Geração de Plano de Resposta e Documentação de Incidentes (RF 4).

3.3.6 Regras de Orquestração e Transição

Ao concluir sua execução, esse agente aciona o Agente de Geração de Plano de Resposta e Documentação de Incidentes (RF 4).

Produzir, para cada incidente, um plano acionável de resposta (contenção, erradicação, recuperação), requisitos de comunicação conforme LGPD e um relatório técnico em markdown para auditoria.

4.3.1 Especificação do Input

• Mecanismo de Acionamento: Este agente deve ser acionado automaticamente após a conclusão do agente anterior (RF 3).
• Tipo do input: Este agente deve ser apto a receber como input um JSON com incidentes correlacionados.
• Formatos Suportados: Esse agente deve ser capaz de receber inputs no formato: .json.
• Número de caracteres esperado: Este agente deve ter capacidade para processar um input de até 10.000 caracteres.

4.3.2 Especificação do Output

• Formato de output: O output deve ser um JSON com planos de resposta para cada incidente e documentação em markdown.
• Exemplo de Estrutura de Output:

  {"resposta_incidentes": [{"incident_id": "INC-2025-11-30-0001","acoes_contemplacao": ["isolar host srv-01 da rede", "revogar tokens da conta u123", "bloquear egressos suspeitos no proxy"],"acoes_erradicacao": ["remover binários maliciosos", "resetar credenciais e rotação de chaves"],"acoes_recuperacao": ["restaurar backups verificados", "monitorar IOC por 14 dias"],"requisitos_comunicacao_lgpd": {"notificar_anpd": true, "notificar_titulares": true, "prazo_recomendado_horas": 72, "criterio": "risco aos direitos e liberdades dos titulares; envolvimento de dados pessoais"},"avaliacao_base_legal": "legitimo_interesse/obrigacao_legal para tratamento do incidente e comunicações necessárias","papel_responsaveis": {"owner_resposta": "Segurança da Informação", "apoios": ["Jurídico/Privacidade", "TI Operações"]},"sla_interno_horas": {"contencao": 4, "erradicacao": 24, "relatorio_preliminar": 24},"requer_aprovacao_humana": [{"acao": "isolamento de servidor de produção","motivo": "impacto potencial em disponibilidade"}],"relatorio_markdown": "# Relatório de Incidente INC-2025-11-30-0001\n## Sumário\n..."}],"anexos_referencias": ["policy_resposta_incidentes_v1", "playbook_LGPD_notificacao_v2"]}

• Número de caracteres esperado: O JSON gerado deve ter um tamanho estimado em torno de 8.000 caracteres.

4.3.3 Parâmetros de Geração

• Modelo: GPT-5
• Temperatura: 0.6

4.3.4 Ferramentas do Agente

• Documentos: O conteúdo dos documentos "policy_resposta_incidentes_v1" e "playbook_LGPD_notificacao_v2" é inserido integralmente na janela de contexto, ao final do prompt principal, para garantir que o agente tenha acesso às informações mais atualizadas durante a geração da resposta.
• Calculadora: Não utiliza.
• Busca Online: Não utiliza.
• Sistemas Externos: Não utiliza.

4.3.5 Memória

• Visibilidade das Instruções (Prompt): As instruções não são visíveis para agentes subsequentes.
• Visibilidade da Resposta: A resposta (JSON de planos de resposta) deve ser visível para o Agente de Consolidação de Registro de Auditoria (RF 5).

4.3.6 Regras de Orquestração e Transição

Ao concluir sua execução, esse agente aciona o Agente de Consolidação de Registro de Auditoria (RF 5).

Gerar o registro de auditoria estruturado contendo linha do tempo, decisões, base legal, avaliação de risco e rastreabilidade completa para fins de conformidade com a LGPD.

5.3.1 Especificação do Input

• Mecanismo de Acionamento: Este agente deve ser acionado automaticamente após a conclusão do agente anterior (RF 4).
• Tipo do input: Este agente deve ser apto a receber como input um JSON com o plano de resposta e relatório por incidente.
• Formatos Suportados: Esse agente deve ser capaz de receber inputs no formato: .json.
• Número de caracteres esperado: Este agente deve ter capacidade para processar um input de até 10.000 caracteres.

5.3.2 Especificação do Output

• Formato de output: O output deve ser um JSON contendo o registro de auditoria estruturado.
• Exemplo de Estrutura de Output:

  {"audit_log": [{"incident_id": "INC-2025-11-30-0001","timeline": [{"t": "2025-11-30T10:01:02Z", "evento": "alerta EDR"}, {"t": "2025-11-30T10:10:00Z", "evento": "correlação incidente"}],"decisoes_chave": [{"decisao": "notificar_anpd", "criterio": "risco a titulares e dados pessoais envolvidos"}],"base_legal_tratamento": "obrigacao_legal/legitimo_interesse (segurança)","avaliacao_risco_titulares": "alto","notificacao": {"anpd": {"necessario": true, "deadline_sugerido_horas": 72}, "titulares": {"necessario": true}},"evidencias": ["a1", "a5", "a7"],"acoes_executadas": [{"acao": "isolamento host", "t": "2025-11-30T10:20:00Z", "executor": "sistema/analista"}],"licoes_aprendidas": ["reforçar DLP no proxy"],"redacoes_privacidade": {"campos_pii_omitidos": true, "estrategia": "somente categorias de dados; nenhum identificador pessoal"}}]}

• Número de caracteres esperado: O JSON gerado deve ter um tamanho estimado em torno de 6.000 caracteres.

5.3.3 Parâmetros de Geração

• Modelo: GPT-5
• Temperatura: 0.6

5.3.4 Ferramentas do Agente

• Documentos: Não consulta.
• Calculadora: Não utiliza.
• Busca Online: Não utiliza.
• Sistemas Externos: Não utiliza.

5.3.5 Memória

• Visibilidade das Instruções (Prompt): As instruções não são visíveis para agentes subsequentes.
• Visibilidade da Resposta: A resposta (JSON de auditoria) é o entregável final e não é passada para outros agentes internos.

5.3.6 Regras de Orquestração e Transição

A execução deste agente finaliza o fluxo. O JSON gerado é o resultado que deve ser disponibilizado ao usuário.