Monitoramento

Registro de eventos e auditoria

Eventos recomendados para registrar

• Autenticação: login bem-sucedido, login com falha, logout, alterações de senha, entre outros.
• Autorização: acessos negados/concedidos, alterações de permissões, alterações de função, entre outros.
• Operações críticas: alterações de configuração, CRUD de dados, rastreamento de transações, geração de relatórios, entre outras.
• Segurança: rate limits atingidos e erros gerados pela ativação de um controle.

✅ EXEMPLO DE LOG COMPLETO:

{
  "timestamp": "2026-01-15T10:30:45.123Z",
  "user_id": "12345",
  "action": "view_order",
  "resource": "order/67890",
  "result": "success",
  "ip": "192.168.1.100",
  "request_id": "abc123-def456"
}

Informações importantes a incluir:

• Timestamp: data e hora em UTC.
• Usuário: id do usuário em questão.
• Ação: O que foi tentado?
• Recurso: Sobre qual recurso?
• Resultado: Sucesso ou falha.
• IP de origem: endereço IP da requisição.
• Request ID: identificador único por requisição para correlação.

Informações que NÃO devem ser incluídas:

• Senhas ou tokens.
• Dados pessoais completos (e-mails, telefones, endereços, entre outros).
• Dados financeiros.
• Qualquer outro tipo de informações consideradas confidenciais.

Referências

• OWASP Logging Cheat Sheet: melhores práticas de logging de segurança.
• OWASP Logging Vocabulary: vocabulário padrão para logs de segurança.
• CWE-778 (Insufficient Logging): documentação sobre logging insuficiente.

Glossário

Termo	Significado
Log	Registro de eventos que ocorrem no seu sistema.
Auditoria	Revisão de logs para verificar o que aconteceu, quando e quem fez.
Timestamp	Marca de tempo que indica quando ocorreu um evento.
RequestID	Identificador único para rastrear uma requisição por todo o sistema.
Evento de segurança	Ação relevante para segurança: login, logout, alteração de permissões, acesso negado, etc.
Retenção de logs	Por quanto tempo os registros são mantidos antes de excluí-los.

Gestão de anomalias

SEM GESTÃO DE ANOMALIAS	COM GESTÃO DE ANOMALIAS
Você fica sabendo do problema quando um seller reclama	Você recebe alertas automáticos antes de afetar usuários
Você não sabe se há ataques em andamento	Você detecta padrões suspeitos em tempo real
Você investiga manualmente cada problema	O sistema prioriza e categoriza automaticamente
Você reage tarde	Você age proativamente

Tipos de anomalias

Nem todas as anomalias são iguais. Entender os tipos ajuda você a configurar melhor seus alertas:

Anomalias pontuais:

Um evento único que se desvia significativamente do normal:

MONITORAMENTO DE SEGURANÇA: DETECÇÃO DE ANOMALIAS
---------------------------------------------

ESTADO NORMAL:
Frecuencia: 5-10 logins fallidos por hora

ESTADO ANOMALIA:
Frecuencia: 500 logins fallidos en 1 minuto

INTERPRETAÇÃO TÉCNICA:
Diagnóstico: Possível ataque de força bruta

Anomalias contextuais:

Um evento que é normal em um contexto mas anômalo em outro.

MONITORAMENTO DE SEGURANÇA: ANÁLISE DE HORÁRIOS
-------------------------------------------

NORMAL:
Alto tráfego das 9h às 18h (horário comercial)

ANOMALIA:
Mesmo tráfego alto às 3h da manhã

INTERPRETAÇÃO TÉCNICA:
Diagnóstico: Possível atividade automatizada maliciosa ou bot

Anomalias coletivas:

Um grupo de eventos que juntos indicam um problema, embora individualmente pareçam normais.

MONITORAMENTO DE SEGURANÇA: SEQUÊNCIA DE EVENTOS SUSPEITA
------------------------------------------------------

FLUXO DETECTADO:
1. Login bem-sucedido da Argentina
2. Alteração de senha
3. Atualização de e-mail
4. Login da Nigéria (5 min depois)

ANÁLISE TÉCNICA:
Cada evento separado é normal, mas a sequência
indica um possível account takeover.

Processo de detecção de anomalias

Um sistema eficaz de detecção segue estas fases:

CICLO DE DETECÇÃO DE ANOMALIAS (FEEDBACK LOOP)
-----------------------------------------------

[ 1 ] COLETAR DADOS
      - Logs, métricas e eventos do sistema.
        ^
        |
[ 2 ] ESTABELECER BASELINE
      - Definir parâmetros de comportamento "Normal".
        |
        v
[ 3 ] DETECTAR DESVIO
      - Comparação em tempo real contra o baseline.
        |
        v
[ 4 ] ALERTAR
      - Notificação imediata à equipe de segurança.
        |
        v
[ 5 ] RESPONDER
      - Investigação, contenção e escalonamento.
        |
        v
[ 6 ] MELHORAR / AJUSTAR
      - Refinar limiares e lógica de detecção.
        |
        +------- REALIMENTAÇÃO DO SISTEMA -------+

Fase 1: Coletar dados

• Centralize logs de todos os seus serviços.
• Inclua: acessos, erros, transações, alterações de configuração.
• Use formato estruturado (JSON) para facilitar análise.

Fase 2: Estabelecer baseline

• Defina o que é "comportamento normal" para sua aplicação.
• Considere: hora do dia, dia da semana, temporadas (ex: Hot Sale).
• O baseline deve ser atualizado periodicamente.

Fase 3: Detectar desvios

• Compare métricas atuais vs baseline.
• Use métodos estatísticos (Desvio padrão, percentis).
• Considere machine learning para padrões complexos.

Fase 4: Alertar

• Notifique a equipe correta (Slack, e-mail, PagerDuty).
• Inclua contexto suficiente para agir.
• Priorize por severidade.

Fase 5: Responder

• Investigue a causa raiz.
• Escale se necessário.
• Documente as descobertas.

Fase 6: Melhorar

• Ajuste limiares para reduzir falsos positivos.
• Adicione novas métricas se descobrir pontos cegos.
• Aprenda com cada incidente.

Métricas sugeridas para monitoramento

MÉTRICAS DE DESEMPENHO E SEGURANÇA
-----------------------------------------

Métrica: MTTD (Mean Time To Detect)
Descrição: Tempo médio para detectar uma anomalia
Umbral sugerido: < 15 minutos

Métrica: MTTR (Mean Time To Respond)
Descrição: Tempo médio para responder
Umbral sugerido: < 1 hora

Métrica: False Positive Rate
Descrição: % de alertas que não são problemas reais
Umbral sugerido: < 20%

Métrica: Alert Fatigue Score
Descrição: Alertas ignorados pela equipe
Umbral sugerido: < 5%

Métrica: Coverage
Descrição: % de sistemas/serviços monitorados
Umbral sugerido: 100%

Ferramentas recomendadas

FERRAMENTAS DE MONITORAMENTO E OBSERVABILIDADE
------------------------------------------

CATEGORIA: Monitoramento de infraestrutura
Ferramentas: Datadog, New Relic, Prometheus + Grafana
Nível: Todos

CATEGORIA: Logging centralizado
Ferramentas: ELK Stack, Splunk, Loki
Nível: Intermediário

CATEGORIA: APM (Application Performance)
Ferramentas: Datadog APM, New Relic, Dynatrace
Nível: Intermediário

CATEGORIA: SIEM (Security focused)
Ferramentas: Splunk, Elastic SIEM, Sumo Logic
Nível: Avançado

CATEGORIA: Alertas
Ferramentas: PagerDuty, OpsGenie, Slack integrations
Nível: Todos

ESTRATÉGIA INICIAL (BAIXO CUSTO):
- Prometheus + Grafana (open source)
- ELK Stack (open source)
- Alertas via Slack webhooks

Referências

• OWASP AppSensor: detecção de ataques em tempo real no nível de aplicação.
• NIST SP 800-137: monitoramento contínuo de segurança da informação.

Glossário

Termo	Significado
Anomalia	Comportamento incomum ou fora do esperado no seu sistema (ex: pico de erros, padrões de acesso estranhos).
Baseline	Linha de base de comportamento "normal" contra a qual comparar para detectar anomalias.
Alerta	Notificação automática quando se detecta uma anomalia ou um limiar é ultrapassado.
Umbral (Threshold)	Limite definido que, ao ser ultrapassado, dispara um alerta (ex: mais de 100 erros/minuto).
Dashboard	Painel visual que exibe métricas e estado do sistema em tempo real.
False positive	Alerta acionado que não corresponde a um problema real.
SIEM	Security Information and Event Management - Sistema que centraliza e analisa logs de segurança.

Próximo: Gestão de incidentes.