OpenCyber Academy
Graduação · Capítulo 23 · Português
Código do curso: OCA-094Capítulo 23: OCA-094-C023

Capítulo 23 — Registro de logs e monitoramento

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 23 publicada. Mapa, exemplo, EX067.

flowchart TD
  N0["23.1 O que registrar"]
  N1["23.2 Revisando os logs"]
  N2["23.3 Um padrão real"]
  N3["23.4 Protegendo os logs"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX067"]

Desenho lógico

flowchart LR
  N0["23.1 O que registrar"]
  N1["23.2 Revisando os logs"]
  N2["23.3 Um padrão real"]
  N3["23.4 Protegendo os logs"]
  N0 --> N1 --> N2 --> N3 --> Q["EX067"]

[23.1 O que registrar]
    |
    v
[23.2 Revisando os logs]
    |
    v
[23.3 Um padrão real]
    |
    v
[23.4 Protegendo os logs]
    |
    v
[Exemplo resolvido] --> [Exercício EX067]

Objetivos de aprendizagem

Você vai (1) escolher que eventos registrar em log; (2) revisar os logs em busca de atividades suspeitas; (3) proteger os logs contra adulteração.

23.1 O que registrar

Os logs registram eventos: logins, falhas de login, mudanças em contas, acessos a registros sensíveis e erros do sistema. Aisha ajuda a Ashfield a decidir o que registrar. Ela pergunta que perguntas um investigador precisaria responder, como quem viu o registro deste associado na semana passada ou quem criou esta conta. Cada pergunta aponta para eventos que precisam ser registrados. O Dr. Carrow observa que registrar tudo produz volume demais para revisar, enquanto registrar de menos deixa os investigadores às cegas. Ela lista seis perguntas de investigação e os eventos que cada uma exige numa tabela.

23.2 Revisando os logs

Os logs só ajudam se alguém olhar para eles. A Ashfield é pequena demais para ter uma equipe de monitoramento em tempo integral, então Aisha propõe alertas automatizados para alguns eventos de alto valor: logins de administrador fora do horário de trabalho, muitas falhas de login numa mesma conta e a visualização em massa de registros de associados por um mesmo funcionário. O gerente de TI revisa os alertas toda manhã. Ela aprende que uma lista curta de alertas significativos é mais eficaz do que uma lista longa que ninguém lê. A revisão leva cerca de dez minutos toda manhã e é registrada num breve log.

23.3 Um padrão real

Numa revisão sintética, Aisha descobre que uma conta de funcionário visualizou mais de trezentos registros de associados numa tarde, muito mais do que o normal. A investigação mostra que o funcionário estava preparando uma lista de mala direta legítima para uma assembleia anual, aprovada por um gerente. O alerta funcionou corretamente, mas a atividade era autorizada. Ela recomenda que as tarefas em massa sejam avisadas com antecedência, para que os alertas possam ser conferidos rapidamente e o uso indevido genuíno se destaque. O gerente de operações concorda em enviar um e-mail à TI antes de qualquer tarefa em massa aprovada, o que leva apenas um minuto e economiza tempo de investigação.

23.4 Protegendo os logs

Os atacantes que obtêm o controle muitas vezes apagam os logs para esconder suas ações. Aisha recomenda enviar os logs para um sistema separado, que os administradores comuns não conseguem alterar, e guardá-los por um período definido, acordado com o responsável pela conformidade. Ela também recomenda que os relógios de todos os sistemas sejam sincronizados, para que os eventos de sistemas diferentes possam ser colocados em ordem. O Dr. Carrow observa que os logs são evidências, e as evidências precisam ser confiáveis. O responsável pela conformidade define um período de retenção de doze meses, depois do qual o sistema central apaga automaticamente os logs antigos, e o gerente de TI confirma que os relógios estão sincronizados.

Exemplo resolvido

Aisha escolhe os eventos a partir das perguntas de investigação, define três alertas automatizados, investiga um alerta de visualização em massa que se mostra autorizado e protege os logs de forma centralizada, com relógios sincronizados.

Caso sintético. Os logs são sintéticos.

Erros e limites

Os logs guardados apenas onde os administradores podem alterá-los são evidências fracas.

Exercícios

Respostas comentadas

EX067. Os logins de administrador fora do horário de trabalho.

EX068. O funcionário estava preparando uma lista de mala direta aprovada.

EX069. Para que os eventos de sistemas diferentes possam ser colocados em ordem.