Filtros avançados em dashboards do Google SecOps: listas manuais e dinâmicas

Dashboard de SIEM que não filtra rápido não é usado — vira gráfico bonito que ninguém consulta durante um incidente real. No Google SecOps, a forma mais direta de restringir o que aparece em um painel é por lista, e existem duas categorias que vale a pena distinguir: lista manual e lista dinâmica alimentada por token.

Lista manual é o caso simples: um conjunto fixo de valores — IPs, domínios, nomes de regra — definido uma vez e referenciado no filtro do dashboard. Funciona bem para exclusões estáveis, como ranges internos conhecidos ou domínios de parceiros que não geram alerta relevante. O ponto fraco é manutenção: toda mudança exige editar a lista manualmente.

Lista dinâmica por token resolve exatamente essa manutenção. Em vez de um valor fixo, o filtro referencia um token que é preenchido em tempo de consulta — o que permite construir dropdowns interativos no próprio dashboard, onde quem está analisando escolhe o valor (um rule set, um estado de alerta, um intervalo de metadado) e o painel inteiro se reajusta sem precisar editar a definição do dashboard.

Na prática, isso muda o fluxo de triagem: em vez de um analista abrir uma query nova para cada hipótese, o dashboard com filtro dinâmico permite testar várias hipóteses — por rule set, por severidade, por estado — dentro do mesmo painel, reduzindo o tempo entre alerta e decisão. Para times que operam SecOps como SIEM central de uma organização GCP, esse é o tipo de ajuste operacional pequeno que tem efeito desproporcional no tempo médio de resposta.

Recomendação prática: reservar listas manuais para exclusões realmente estáveis (ranges internos, allowlist de infraestrutura própria) e usar listas dinâmicas por token para tudo que um analista precisa poder pivotar durante a investigação. Misturar os dois papéis é o erro mais comum — listas manuais crescendo até virar filtro dinâmico disfarçado, sem a interatividade real de um token.