Logs registram o que aconteceu. Em qualquer volume real isso é mais do que alguém lê, então a pergunta vira quais entradas merecem atenção, e o SmartEvent existe para respondê-la.

Correlação

A unidade de correlação lê logs e aplica regras que reconhecem padrões entre muitas entradas. A saída é um evento: um objeto representando algo que levou várias linhas de log para ser descrito.

O valor é a compressão. Uma varredura de portas são centenas de conexões descartadas no log e um evento no SmartEvent. Uma tentativa de força bruta são dezenas de falhas de autenticação e um evento. Ler o segundo é possível; ler o primeiro não é.

A arquitetura pode ser consolidada no servidor de gerência em implantações menores, ou separada onde o volume de logs justifica hardware dedicado — o mesmo raciocínio que separa um servidor de logs, aplicado uma camada acima.

Eventos e alertas

Um evento é algo que o SmartEvent concluiu. Um alerta é uma notificação gerada a partir de um evento, por e-mail, trap ou script.

Mantê-los separados é o que torna o sistema utilizável. Nem todo evento merece notificação, e uma implantação que alerta sobre tudo treina todo mundo a ignorar alertas, o que deixa você em situação pior do que não ter nenhum.

A disciplina que funciona: alerte sobre o que alguém vai tratar agora, e deixe o resto para revisão. Se ninguém mudaria o que está fazendo às 3h, é item de relatório, e não alerta.

O ajuste é o trabalho

Um SmartEvent sem ajuste produz eventos para coisas normais no seu ambiente: um backup que parece exfiltração pelo volume, um sistema de monitoramento que parece varredura, uma aplicação cujo comportamento casa com uma assinatura escrita para outra coisa.

Ajustar significa mexer em limiares, excluir origens reconhecidamente boas, e desabilitar as definições que não se aplicam. É contínuo, e não um passo de instalação, porque o ambiente muda.

A falha a evitar é a conhecida: deixar um evento ruidoso habilitado porque desabilitá-lo parece reduzir a segurança. Um evento ruidoso já não fornece segurança alguma, porque ninguém o lê — e é ativamente prejudicial, porque esconde os que importam.

Relatórios

Relatórios servem a um público diferente dos eventos. Eventos são para quem está de plantão; relatórios são para a revisão semanal ou mensal, e para as pessoas que não estão olhando um console.

Os relatórios que são lidos respondem uma pergunta que alguém já tem: o que mudou, o que está em tendência, o que bloqueamos, onde estamos expostos. Os que não são lidos são abrangentes.

O Compliance Blade

Conformidade é um eixo totalmente diferente. O SmartEvent examina tráfego; o Compliance Blade examina a sua configuração, comparando-a com boas práticas e frameworks regulatórios e pontuando o resultado.

Ele responde perguntas que análise de logs alguma responderá: regras permissivas demais, recursos que deveriam estar habilitados e não estão, ajustes que se afastaram da postura recomendada.

Duas limitações honestas, que vale enunciar para que ninguém leia demais numa pontuação:

Ele conhece o framework, não o seu contexto. Um controle que ele marca como falho pode estar satisfeito por algo que ele não enxerga, ou ser uma exceção documentada. A pontuação é insumo para uma conversa, e não veredito.

Pontuação perfeita não é conformidade. Significa que as verificações técnicas que ele sabe rodar passaram. Frameworks contêm exigências de processo que ferramenta alguma avalia.

Onde ele é genuinamente valioso é na deriva. Uma configuração que pontuava bem seis meses atrás e pontua pior agora mudou de formas que ninguém acompanhou, e essa tendência é mais informativa que o número absoluto.

O que quem vai prestar o CCSE precisa saber de cor

A unidade de correlação transforma muitas entradas de log relacionadas num evento; eventos são conclusões e alertas são notificações geradas a partir deles, e separar os dois evita fadiga de alertas. Alerte sobre o que exige ação imediata e relate o resto. O ajuste é contínuo, e um evento ruidoso não fornece segurança enquanto esconde os que importam. O Compliance Blade audita a configuração, e não o tráfego, pontuando-a contra boas práticas e frameworks regulatórios; ele não conhece seus controles compensatórios nem exceções documentadas, então a pontuação é insumo, e não veredito, e a deriva ao longo do tempo é a leitura mais útil.