Capítulo 3 — Física para computação
Mapa da aula
Aula 03 publicada. Mapa, exemplo, EX007.
flowchart TD
N0["3.1 Sinais e ruído"]
N1["3.2 Amostragem"]
N2["3.3 Energia e calor"]
N3["3.4 Falhas físicas"]
N4["3.5 Tempo e relógios"]
N5["3.6 Ligação com o caso"]
N6["Segurança eletromagnética e física"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX007"]
Desenho lógico
flowchart LR
N0["3.1 Sinais e ruído"]
N1["3.2 Amostragem"]
N2["3.3 Energia e calor"]
N3["3.4 Falhas físicas"]
N4["3.5 Tempo e relógios"]
N5["3.6 Ligação com o caso"]
N6["Segurança eletromagnética e física"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX007"]
[3.1 Sinais e ruído]
|
v
[3.2 Amostragem]
|
v
[3.3 Energia e calor]
|
v
[3.4 Falhas físicas]
|
v
[3.5 Tempo e relógios]
|
v
[3.6 Ligação com o caso]
|
v
[Segurança eletromagnética e física]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX007]
Objetivos de aprendizagem
Você vai (1) relacionar limites físicos ao projeto de sensores e de armazenamento; (2) raciocinar sobre sinal, ruído e amostragem na telemetria; (3) estimar energia e calor para a infraestrutura do SOC; (4) reconhecer modos de falha física.
3.1 Sinais e ruído
A física descreve medições como sinal mais ruído. A telemetria é parecida: a atividade real de ataque é o sinal, a atividade normal é o ruído. Um sensor que amostra raramente demais perde sinais curtos, assim como um osciloscópio lento perde pulsos rápidos. A razão entre os dois decide quão fácil é a detecção. Um ataque ruidoso contra uma rede silenciosa se destaca; um ataque discreto escondido em tráfego normal intenso, não. Os defensores podem melhorar essa razão coletando campos que separam os dois, como a filiação de processos, em vez de simplesmente coletar mais dados, que acrescentam ruído tão depressa quanto sinal.
3.2 Amostragem
Se um sensor de rede exporta resumos de fluxo a cada 5 minutos, uma rajada de 20 segundos aparece diluída num único registro. Amostragem mais rápida resolve rajadas, mas multiplica o volume de dados. A engenharia escolhe uma taxa que resolva os sinais de interesse a um custo aceitável. A diluição é um efeito de média: a intensidade da rajada espalhada por cinco minutos parece uma alta leve, e não um pico. Uma regra ajustada com dados por minuto deixaria de vê-la. Amara compara os logs web por requisição do portal com os resumos de fluxo de cinco minutos do mesmo período e vê com clareza o ritmo da rajada num deles, enquanto o outro guarda apenas um único registro grande.
3.3 Energia e calor
Um cluster de SIEM consome energia elétrica e a transforma em calor. Dobrar a ingestão pode exigir mais servidores, mais refrigeração e mais espaço em rack. A capacidade física limita quanta telemetria um SOC consegue guardar. O consumo de energia de cada servidor vira quase todo calor, que a refrigeração precisa remover, de modo que os orçamentos de energia e de refrigeração crescem juntos. Uma sala de dados com refrigeração fixa pode chegar ao limite antes que acabe o orçamento para servidores. Planejar o crescimento da ingestão envolve, portanto, a equipe de instalações, e não só a equipe do SIEM, e a retenção longa pode sair mais barata em armazenamento de arquivo mais lento e mais frio.
3.4 Falhas físicas
Discos se desgastam, fontes de alimentação falham, fibras são cortadas. A infraestrutura de monitoramento precisa de redundância; um único coletor com falha pode silenciar os logs de um site inteiro. Um coletor silencioso é pior do que um ruidoso, porque a ausência de logs pode parecer ausência de ataques. Por isso os SOCs monitoram o monitoramento: cada fonte tem um volume esperado, e uma queda brusca gera seu próprio alerta. Coletores redundantes, fontes duplas e caminhos de rede separados reduzem a chance de que uma única falha deixe um site inteiro às cegas.
3.5 Tempo e relógios
Os relógios derivam porque os osciladores são dispositivos físicos. O NTP os mantém próximos, mas uma deriva de segundos pode reordenar eventos entre hosts. O NIST SP 800-92 enfatiza a sincronização de tempo na gestão de logs. A ordem importa nas investigações: o login veio antes do acesso ao arquivo ou depois? O Network Time Protocol ajusta cada relógio em relação a servidores de referência, normalmente mantendo a deriva em milissegundos numa rede saudável. Os logs devem registrar horários em UTC, com o fuso declarado, para que eventos de regiões diferentes possam ser comparados sem erros de conversão.
3.6 Ligação com o caso
Os logs do portal da Lindqvist vêm de três servidores web. O relógio de um deles está 4 segundos adiantado, de modo que as falhas registradas ali aparecem um pouco depois de terem acontecido. Quatro segundos parecem triviais, mas durante uma rajada de várias tentativas por segundo eles reordenam eventos entre servidores. Um sucesso em outro servidor poderia parecer ter acontecido antes das falhas que o precederam. Amara anota o desvio em sua análise e o corrige em vez de editar os logs, e a equipe de operações conserta a sincronização de tempo do servidor.
Segurança eletromagnética e física
O acesso físico a armários de rede permite que alguém acrescente um tap ou desconecte um sensor. Sensores, coletores e seu cabeamento fazem parte do ambiente monitorado e precisam de fechaduras e alarmes contra violação.
Exemplo resolvido
Amara compara os resumos de fluxo de 5 minutos do portal com os logs web por requisição. Os fluxos mostram um único registro grande para 203.0.113.0/24 às 10:05; os logs web mostram, dentro dele, 600 tentativas espalhadas por 40 segundos. Ela anota que os dados de fluxo detectaram a rajada, mas não conseguiram mostrar seu ritmo.
Caso sintético. Os servidores e os números são inventados.
Erros e limites
Analogias físicas ajudam a intuição, mas o ruído da telemetria não é aleatório no sentido físico; ele segue padrões do negócio.
Exercícios
- EX007 — Efeito da amostragem. O que acontece com uma rajada de 20 segundos em resumos de fluxo de 5 minutos? Rubrica: 3 = diluída num único registro; o ritmo se perde; 2 = parcial; 1 = vago; 0 = nada.
- EX008 — Deriva do relógio. Por que um erro de relógio de 4 segundos importa? Rubrica: 3 = reordena eventos entre hosts; é preciso sincronizar o tempo (SP 800-92); 2 = parcial; 1 = não importa; 0 = nada.
- EX009 — Capacidade física. Como a física limita a retenção de telemetria? Rubrica: 3 = energia, refrigeração, espaço e disco limitam servidores e armazenamento; 2 = um fator; 1 = vago; 0 = nada.
Síntese
Os limites físicos de amostragem, relógios e infraestrutura determinam que telemetria um SOC consegue coletar e em qual pode confiar.
Continue estudando — capítulo 03 de 50
← Capítulo 02 (rascunho) · Índice de capítulos do curso · Capítulo 04 (rascunho) →