Capítulo 6 — Cálculo II
Mapa da aula
Aula 06 publicada. Mapa, exemplo, EX016.
flowchart TD
N0["6.1 Integrais como totais"]
N1["6.2 Crescimento exponencial"]
N2["6.3 Decaimento"]
N3["6.4 Aproximações"]
N4["6.5 Caso"]
N5["6.6 Regras de retenção"]
N6["Taxas de variação do custo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7
N7 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX016"]
Desenho lógico
flowchart LR
N0["6.1 Integrais como totais"]
N1["6.2 Crescimento exponencial"]
N2["6.3 Decaimento"]
N3["6.4 Aproximações"]
N4["6.5 Caso"]
N5["6.6 Regras de retenção"]
N6["Taxas de variação do custo"]
N7["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> N7 --> Q["EX016"]
[6.1 Integrais como totais]
|
v
[6.2 Crescimento exponencial]
|
v
[6.3 Decaimento]
|
v
[6.4 Aproximações]
|
v
[6.5 Caso]
|
v
[6.6 Regras de retenção]
|
v
[Taxas de variação do custo]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX016]
Objetivos de aprendizagem
Você vai (1) usar integrais para totalizar quantidades ao longo do tempo; (2) aplicar crescimento e decaimento exponenciais a volumes de logs e à retenção; (3) usar aproximações por séries no planejamento de capacidade; (4) ligar modelos contínuos aos custos de armazenamento.
6.1 Integrais como totais
O armazenamento necessário para os logs é a integral da taxa de ingestão ao longo do período de retenção. Se um SIEM ingere r(t) gigabytes por dia, o armazenamento depois de T dias é a área sob r(t) de 0 a T. Quando a taxa é constante, a área é só um retângulo: taxa vezes dias. A ingestão real sobe nos dias úteis, cai nos fins de semana e salta durante incidentes, de modo que a área tem uma borda superior irregular. Somar os números diários dos próprios relatórios de volume do SIEM dá a área diretamente, e comparar essa soma com a estimativa do retângulo mostra quanto o modelo simples deixa escapar.
6.2 Crescimento exponencial
Se o volume de logs cresce 3% ao mês, o volume depois de n meses é V₀·1,03ⁿ. Depois de dois anos, ele quase dobra. Planos de capacidade que supõem volume constante falham. A duplicação vem de 1,03²⁴ ≈ 2,03. Um atalho útil é a regra dos 70: dividir 70 pela taxa percentual de crescimento dá o tempo aproximado de duplicação, aqui cerca de 23 meses. Um crescimento assim vem da conexão de novos sistemas, de logs mais verbosos depois de incidentes e da expansão do negócio, por isso tende a continuar, a menos que alguém corte fontes de forma deliberada. Amara traça as duas projeções.
6.3 Decaimento
O valor dos logs antigos decai: a maioria das investigações usa dados recentes. Um modelo simples trata a chance de precisar dos logs de um dia como decaindo exponencialmente com a idade, o que orienta o armazenamento em camadas — quente, morna, fria. Sob esse modelo, se a chance de precisar de um dado dia cai pela metade a cada mês, logs de três meses são necessários com um oitavo da frequência dos recentes. Isso sugere armazenamento rápido e caro para os dados recentes e armazenamento mais lento e barato depois. O modelo é uma simplificação: algumas investigações, como casos lentos de ameaça interna, voltam muito atrás, e é por isso que a camada fria é mantida pesquisável em vez de descartada.
6.4 Aproximações
Para taxas de crescimento pequenas, (1 + g)ⁿ ≈ 1 + ng em períodos curtos, uma verificação rápida para planilhas. A 3% ao longo de três meses, a estimativa linear dá 9% contra 9,27% exatos, perto o bastante para uma checagem de sanidade. Ao longo de dois anos, ela dá 72% contra 103% exatos, muito errado. O valor da aproximação está em pegar rapidamente erros grosseiros de planilha, como uma vírgula decimal fora do lugar, e não em substituir o cálculo exato no planejamento. Amara a usa para conferir sua planilha de armazenamento: uma alta mensal de 3% ao longo de um trimestre deve acrescentar cerca de 9% à ingestão, e uma célula mostrando 90% apontaria direto para uma vírgula decimal fora do lugar.
6.5 Caso
O SIEM da Lindqvist ingere 120 GB por dia e mantém 90 dias na camada quente. Paolo pergunta a Amara se a camada quente atual, de 12 TB, vai durar um ano caso o volume cresça 3% ao mês. A pergunta tem duas partes: quanto armazenamento quente a taxa de hoje exige, e como essa necessidade muda à medida que a ingestão cresce ao longo do ano. Amara a monta como uma taxa multiplicada pela janela de retenção, primeiro com a taxa de hoje e depois com a taxa daqui a um ano. Ela observa que a camada quente guarda uma janela móvel, então o que importa é a taxa de ingestão no momento, e não o total coletado durante o ano.
6.6 Regras de retenção
A retenção também é definida por política e por lei; o NIST SP 800-92 recomenda definir a retenção por tipo de log. A matemática informa o custo; a política decide os mínimos. Um tipo de log necessário para auditorias regulatórias pode precisar ser guardado por anos, mesmo que as investigações raramente o toquem; logs de depuração de um sistema de teste podem ser guardados por dias. O SOC propõe a retenção com base no valor investigativo, as equipes jurídica e de conformidade definem os mínimos, e o custo de armazenamento determina em que camada cada tipo fica em cada fase de sua vida.
Taxas de variação do custo
A derivada do custo de armazenamento em relação aos dias de retenção é o custo diário de ingestão. Ver o custo como uma taxa ajuda os gestores a comparar guardar mais dez dias de logs com outros usos do orçamento. Amara apresenta o custo total e o custo marginal de cada tipo de log, para que as decisões possam ser tomadas fonte por fonte, e não todas de uma vez.
Exemplo resolvido
Amara calcula a necessidade quente de hoje: 120 GB × 90 = 10,8 TB. Em 12 meses, a ingestão será de 120 × 1,03¹² ≈ 171 GB/dia, então 90 dias exigem cerca de 15,4 TB, acima dos 12 TB. Ela recomenda mover os logs de firewall com mais de 30 dias para a camada morna.
Caso sintético. Os volumes e as camadas são inventados.
Erros e limites
O crescimento raramente segue uma curva suave; novas fontes de logs acrescentam degraus. Revise os planos a cada trimestre.
Exercícios
- EX016 — Integral do armazenamento. Expresse o armazenamento como uma integral e calcule a necessidade quente de hoje. Rubrica: 3 = área sob a ingestão ao longo da retenção; 10,8 TB; 2 = uma parte; 1 = errado; 0 = nada.
- EX017 — Efeito do crescimento. Que armazenamento quente será necessário em 12 meses com crescimento de 3% ao mês? Rubrica: 3 = cerca de 171 GB/dia, 15,4 TB, acima de 12 TB; 2 = parcial; 1 = suposição de volume constante; 0 = nada.
- EX018 — Política versus matemática. O que decide a retenção mínima, e o que a matemática decide? Rubrica: 3 = política/lei definem o mínimo; a matemática informa custo e camadas; 2 = parcial; 1 = a matemática decide tudo; 0 = nada.
Síntese
Integrais e modelos de crescimento transformam taxas de ingestão em planos de armazenamento, dentro dos limites de retenção definidos pela política.
Continue estudando — capítulo 06 de 50
← Capítulo 05 (rascunho) · Índice de capítulos do curso · Capítulo 07 (rascunho) →