# Diferentes tipos de logs no SIEM e seus formatos Uma solução de gerenciamento de informações e eventos de segurança [SIEM](https://www.manageengine.com/br/log-management/siem/what-is-siem.html) uma postura de segurança saudável para a rede de uma organização monitorando diferentes tipos de dados da rede. Os dados de log registram todas as atividades que acontecem no dispositivo e nas aplicações na rede. Para avaliar a postura de segurança de uma rede, [as soluções SIEM](https://www.manageengine.com/log-management/top-siem-tools.html?source=analysing-log-types) devem coletar e analisar diferentes tipos de dados de log. Este artigo elabora os diferentes tipos de dados de log que você deve coletar e analisar usando uma solução SIEM para garantir a segurança da rede. ## Tipos de dados de log Existem seis tipos diferentes de logs monitorados por soluções SIEM: - [Logs de dispositivos de perímetro](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l1) - [Logs de eventos do Windows](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l2) - [Logs de endpoints](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l3) - [Logs de aplicação](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l4) - [Logs de proxy](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l5) - [Logs de IoT](https://www.manageengine.com/br/log-management/siem/collecting-and-analysing-different-log-types.html#l6) ### 1. Registros de dispositivos de perímetro Dispositivos de perímetro monitoram e regulam o tráfego de e para a rede. Firewalls, redes privadas virtuais (VPNs), sistemas de detecção de intrusão (IDSs) e sistemas de prevenção de intrusão (IPSs) são alguns dos dispositivos de perímetro. Esses dispositivos geram logs contendo uma grande quantidade de dados, e os logs de dispositivos de perímetro são vitais para entender os eventos de segurança que ocorrem. Dados de log no formato syslog ajudam os administradores de TI a realizar auditorias de segurança, solucionar problemas operacionais e entender melhor o tráfego que passa pela rede corporativa e dela sai. **Por que você precisa monitorar os dados de log de um dispositivo de perímetro?** - **Para detectar tráfego malicioso na sua rede:** esses logs contêm detalhes sobre o tráfego de entrada, endereços IP dos sites navegados pelos usuários e tentativas de logon malsucedidas, o que ajuda a rastrear comportamento de tráfego anômalo. - **Para detectar erros de configuração de segurança:** eles são a causa mais importante para violações de firewall. Algumas mudanças nas configurações de firewall podem abrir as portas para tráfego de rede malicioso. Monitorar logs de firewall ajuda a detectar mudanças não autorizadas na configuração de segurança. - **Para detectar ataques:** Analisar logs de firewall ajuda a detectar padrões na atividade de rede. Por exemplo, quando o servidor recebe, em um curto espaço de tempo, um grande número de pacotes SYN para conectar o cliente a um servidor, isso pode indicar um ataque de negação de serviço distribuído (DDoS). **Dissecando dados de log de um dispositivo de perímetro típico (firewall)** ```text 2015-07-06 11:35:26 ALLOW TCP 10.40.4.182 10.40.1.11 63064 135 0 - 0 0 0 - - - SEND ``` A entrada de log acima especifica o carimbo de data/hora do evento, seguido pela ação. Neste caso, ele indica o dia e a hora em que o firewall permitiu o tráfego. Ele também contém informações sobre o protocolo usado, bem como os endereços IP e números de porta da origem e do destino. A partir de dados de log como esses, você pode detectar tentativas de conexão a portas que você não usa, indicando que o tráfego é malicioso. Os logs de todas as fontes acima são geralmente encaminhados para a [solução de log centralizada](https://www.manageengine.com/products/eventlog/centralized-logging-solution.html) que correlaciona e analisa os dados para fornecer uma visão geral da segurança da sua rede. Os logs são armazenados e transmitidos em diferentes formatos, como CSV, JSON, Key Value Pair e Common Event Format. ## Diferentes formatos de log ### CSV CSV é um formato de arquivo que armazena valores em um formato separado por vírgulas. É um formato de arquivo de texto simples, que permite que arquivos CSV sejam facilmente importados para um banco de dados de armazenamento, independentemente do software usado. Como os arquivos CSV não são hierárquicos ou orientados a objetos, eles também são mais fáceis de converter para outros tipos de arquivo. ### JSON JavaScript Object Notation (JSON) é um formato baseado em texto para armazenar dados. É um formato estruturado, o que facilita a análise dos logs armazenados. Ele também pode ser consultado para campos específicos. Esses recursos adicionais tornam o JSON um formato muito confiável para gerenciamento de logs. ### Key Value Pair (KVP) Consiste em dois elementos: uma chave e um valor mapeado para ela. A chave é uma constante, e o valor é variável em diferentes entradas. A formatação envolve agrupar conjuntos semelhantes de dados sob uma chave comum. Ao executar a consulta para uma chave específica, todos os dados sob ela podem ser extraídos. ## Formato de log comum Common Event Format, comumente referenciado como CEF, é um formato de gerenciamento de log que promove a interoperabilidade ao facilitar a coleta e o armazenamento de dados de log de diferentes dispositivos e aplicações. Ele usa o formato de mensagem syslog. O formato de log mais amplamente usado, é suportado por uma variedade de fornecedores e plataformas de software, e consiste em um cabeçalho e uma extensão CEF que contém dados de log em Key Value Pair (KVP) Esses são os diferentes tipos de dados de log e seus formatos. Coletar manualmente esses logs de todas as diferentes fontes em uma rede e correlacioná-los é um processo tedioso e demorado. Uma solução SIEM pode ajudar você com isso. Ela analisa os logs coletados de diferentes fontes, [correlaciona os dados de log](https://www.manageengine.com/br/log-management/event-correlation-siem.html), e fornece insights para ajudar as organizações a detectar e se recuperar de ataques cibernéticos.