Capítulo 6 — Logs e formatos de log

Capítulo 6 — Logs e formatos de log

Mapa da aula

Aula 06 publicada. Mapa, exemplo, EX016.

flowchart TD
  N0["6.1 Por que os logs importam"]
  N1["6.2 Extração de campos"]
  N2["6.3 Hora e relógios"]
  N3["6.4 Guarda dos logs"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX016"]

Desenho lógico

flowchart LR
  N0["6.1 Por que os logs importam"]
  N1["6.2 Extração de campos"]
  N2["6.3 Hora e relógios"]
  N3["6.4 Guarda dos logs"]
  N0 --> N1 --> N2 --> N3 --> Q["EX016"]

[6.1 Por que os logs importam]
    |
    v
[6.2 Extração de campos]
    |
    v
[6.3 Hora e relógios]
    |
    v
[6.4 Guarda dos logs]
    |
    v
[Exemplo resolvido] --> [Exercício EX016]

Objetivos de aprendizagem

Você vai (1) ler formatos comuns de log; (2) extrair campos com padrões; (3) entender os fusos horários e os relógios nos logs.

6.1 Por que os logs importam

Os logs registram o que os sistemas fizeram: logins, falhas, alterações e erros. Jamal aprende que os logs são o meio pelo qual os tecnólogos descobrem o que aconteceu depois de um problema. Os sistemas do Riverbend produzem logs em formatos diferentes: o sistema de reservas exporta CSV, os servidores gravam linhas de texto e o firewall usa um formato próprio. A Sra. Grant explica que conseguir ler qualquer formato é uma habilidade central do tecnólogo. Ele coleta uma linha de exemplo de cada formato e anota os campos no caderno, o que o ajuda depois a reconhecer cada formato rapidamente. O gerente de TI confirma que esses são os logs que ele mais consulta quando algo dá errado num centro.

6.2 Extração de campos

Jamal aprende expressões regulares com o módulo re do Python para extrair campos de linhas de texto, como a hora, o nome de usuário e o endereço de origem de um registro de login. Ele pratica com logs sintéticos e testa seu padrão contra linhas incomuns, como nomes de usuário com pontos ou endereços em formatos diferentes. Ele aprende que um padrão que funciona nas primeiras cem linhas pode falhar na milésima, por isso testar com dados variados é importante. Ele mantém um arquivo de teste com linhas incomuns e executa contra ele todo padrão novo antes de usá-lo.

6.3 Hora e relógios

Os horários dos logs só ajudam se os relógios estiverem certos. Jamal descobre que o relógio do gravador de câmeras de um centro está onze minutos atrasado, o que confundiria qualquer investigação que comparasse as imagens com os registros dos caixas. Ele também aprende que alguns sistemas registram em hora local e outros em tempo universal. Ele recomenda sincronizar todos os relógios com uma fonte de hora confiável e registrar os fusos horários explicitamente. A Sra. Grant observa que relógios desencontrados já prejudicaram muitas investigações. O gerente de TI configura todos os gravadores e servidores para usar a mesma fonte de hora, e Jamal verifica uma semana depois que todos os relógios coincidem.

6.4 Guarda dos logs

Jamal aprende que os logs precisam ser guardados por tempo suficiente para investigar problemas, protegidos contra alteração e armazenados onde os atacantes não possam apagá-los. O Riverbend guarda os logs dos servidores por apenas sete dias em cada servidor. Ele recomenda encaminhá-los a um repositório central mantido por noventa dias, com acesso limitado à equipe de TI. Ele observa que os logs que contêm dados pessoais também precisam seguir as regras de retenção. O gerente de TI monta o repositório central usando espaço já existente nos servidores. Jamal verifica depois de uma semana que os logs de todos os servidores estão chegando e encontra um servidor que não encaminhava por causa de um erro de digitação na configuração.

Exemplo resolvido

Jamal lê vários formatos de log, extrai campos com padrões testados, encontra um erro de onze minutos no relógio de uma câmera e recomenda o armazenamento central dos logs por noventa dias.

Caso sintético. Os logs são sintéticos.

Erros e limites

Relógios não sincronizados tornam impossível ordenar os eventos de sistemas diferentes.

Exercícios

• EX016 — Módulo de padrões. Qual módulo extrai os campos? Rubrica: 3 = re;; 2 = parcialmente correto;; 1 = outro;; 0 = nenhuma.

• EX017 — Erro do relógio. Quanto o relógio do gravador de câmeras está atrasado? Rubrica: 3 = onze minutos;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

• EX018 — Retenção dos logs. Por quanto tempo os logs centrais devem ser guardados? Rubrica: 3 = noventa dias;; 2 = parcialmente correto;; 1 = errado;; 0 = nenhuma.

Continue estudando — aula 06 (capítulo 06 de 30)

← Capítulo 05 · Índice das aulas · Capítulo 07 →

Continue para a próxima aula já escrita.