Logs são a memória do firewall. Sem eles, é impossível investigar um incidente, entender um comportamento anômalo ou comprovar o que aconteceu. Com eles, mas sem análise, os registros viram apenas volume. A visibilidade nasce da combinação entre registro adequado e monitoramento.
Este guia aborda o que registrar, como reter e como transformar eventos em sinais úteis de segurança.
O que registrar
- Conexões bloqueadas e permitidas relevantes para a segurança.
- Eventos de VPN, como conexões e falhas de autenticação.
- Alterações de configuração e acessos administrativos.
- Estado de links e túneis em ambientes com multi-WAN.
Retenção e centralização
Logs locais têm espaço limitado e se perdem em uma falha do equipamento. Centralizar os registros em um servidor de logs ou em um SIEM aumenta a retenção, facilita a correlação entre fontes e preserva evidências para investigação. A retenção adequada depende de requisitos de negócio e conformidade.
De eventos a visibilidade
O valor do log aparece quando ele é analisado. Monitorar tendências, picos de bloqueios, falhas de autenticação repetidas e comunicação para destinos suspeitos transforma dados brutos em sinais de alerta. Em ambientes maiores, um SIEM ajuda a correlacionar eventos de várias fontes.
Boas práticas
Boas práticas
- Defina o que registrar conforme o valor para segurança.
- Centralize logs fora do próprio firewall.
- Estabeleça período de retenção alinhado ao negócio.
- Crie alertas para eventos críticos.
- Revise periodicamente o que está sendo monitorado.
Riscos de não monitorar
Atenção
- Incidentes que passam despercebidos por falta de visibilidade.
- Investigações inviáveis por ausência de registros.
- Logs apenas locais, perdidos em uma falha do equipamento.
- Volume de eventos sem análise, sem gerar valor.
Limites do monitoramento
Monitoramento ajuda a detectar e a reagir, mas não impede ataques por si só. Ele faz parte de um conjunto de controles e funciona melhor quando combinado com segmentação, hardening e um plano de resposta a incidentes.
Quando buscar apoio especializado
Estruturar registro, retenção e alertas exige desenho. A OpenSourceBrasil atua com segurança de redes corporativas e suporte pfSense especializado, ajudando a transformar logs em visibilidade prática de segurança.
Fontes e documentação de referência
- Netgate: logs do sistemaEstrutura dos logs do sistema e do firewall.
- Netgate: configuração de log e envio remoto por syslogEnvio remoto por syslog e limites do armazenamento local circular.
- Netgate: captura de pacotes para diagnósticoQuando o log não basta e a captura de pacotes responde.
Sobre o autor
Cesar Gargiulo
Especialista em segurança da informação e infraestrutura de redes
Cesar Gargiulo trabalha com tecnologia desde 2006 e com segurança da informação há mais de uma década. A base da carreira é infraestrutura: data center, rede, servidor e disponibilidade. É a partir dessa base que ele trata firewall, VPN e segmentação, e não como um assunto isolado de produto.
- Pós-graduação em Offensive Cyber Security (Red Team Operations), FIAP
- MBA em Governança Estratégica de TI, FHO Uniararas
- Fundador da GUARDIASEC, GUARDIASEC LTDA
- Cisco CCNA e certificações de pentest