SSI-55. FUNDAMENTOS DO ARQUIVO LOG – PARTE 02

1. 55.1. Logs de IDS/IPS

1.1. 55.1.1. Registram alertas e eventos de segurança detectados.

1.2. 55.1.2. Incluem tentativas de intrusão, padrões suspeitos e resposta a incidentes.

2. 55.2. Logs de Proxy

2.1. 55.2.1. Documentam atividades dos usuários ao navegar pela internet via proxy.

2.2. 55.2.2. Podem incluir URLs acessadas, datas, horários e endereços IP.

3. 55.3. Logs de Operadora

3.1. 55.3.1. Emitidos por empresas de telecomunicação.

3.2. 55.3.2. Incluem registros de chamadas, SMS, uso de dados móveis, etc.

4. 55.4. SDN – Software Defined Networking

4.1. 55.4.1. Modelo de rede que separa o plano de controle do plano de dados.

4.2. 55.4.2. Permite gerenciamento centralizado, visibilidade e automação dos logs e do tráfego.

5. 55.5. Dados de Tráfego e Fluxo de Rede

5.1. 55.5.1. Informações geradas durante a transmissão de dados entre dispositivos.

5.2. 55.5.2. Usados para análise de desempenho e detecção de anomalias.

6. 55.6. Logs de Sistema Operacional

6.1. 55.6.1. Variam conforme o sistema (Windows, Linux, etc.).

6.2. 55.6.2. Conteúdo comum:

6.2.1. 55.6.2.1. Tentativas de login válidas e inválidas

6.2.2. 55.6.2.2. Abertura e encerramento de serviços

6.2.3. 55.6.2.3. Acessos remotos

6.2.4. 55.6.2.4. Falhas de driver e hardware

6.2.5. 55.6.2.5. Alterações de política de segurança

7. 55.7. Logs de Aplicação – Fontes e Eventos

7.1. 55.7.1. Requisições cliente-servidor

7.2. 55.7.2. Informações de conta e uso

7.3. 55.7.3. Eventos operacionais significativos

7.4. 55.7.4. Logs de HIDS/HIPS e antivírus

8. 55.8. Logs de DNS

8.1. 55.8.1. Revelam domínios acessados por clientes da rede.

8.2. 55.8.2. Podem indicar:

8.2.1. 55.8.2.1. Comunicação com sites suspeitos

8.2.2. 55.8.2.2. Anomalias estatísticas, como falhas de resolução

9. 55.9. Logs de SSH

9.1. 55.9.1. Incluem tentativas de login, horários e ações realizadas em sessões remotas.

10. 55.10. Logs de SQL

10.1. 55.10.1. Registram ações em bancos de dados, como consultas, inserções e exclusões.

11. 55.11. Logs de HTTP, FTP e SMTP

11.1. 55.11.1. HTTP – requisições web feitas e respostas recebidas.

11.2. 55.11.2. FTP – transferências de arquivos realizadas via protocolo.

11.3. 55.11.3. SMTP – transações de envio e recebimento de e-mails entre servidores.

12. 55.12. Ferramentas para Análise de Logs

12.1. 55.12.1. Ferramentas Linux:

12.1.1. 55.12.1.1. grep – busca por padrões

12.1.2. 55.12.1.2. cut – extrai colunas de dados

12.1.3. 55.12.1.3. diff – compara arquivos

12.2. 55.12.2. Ferramentas Windows:

12.2.1. 55.12.2.1. find

12.2.2. 55.12.2.2. VMIC

12.2.3. 55.12.2.3. Event Viewer

12.2.4. 55.12.2.4. Bash / PowerShell