Registro e protocolo

1) Por que necessitar de revistas e protocolos

As revistas são uma «caixa preta» da organização: fornecem provas (evidence) para auditorias e investigações, reduzem o risco operacional e regulatório, permitem a recuperação de eventos e confirmação da execução de políticas (access, retenção, criptografia, KYC/AML, PCI, etc).

• Rastreamento de ações (quem/o/o/o/o/o/porquê/o).
• Detecção e contenção de incidentes (detetives e controladores preventivos).
• Base de provas para reguladores/auditores (imutability).
• Analista de desempenho e conformidade SLA/SLO.

2) Taxonomia de logs (cobertura mínima)

Acessíveis e identidades (IAM/IGA): autenticação, alteração de papéis, SoD, JIT.
Infraestrutura/nuvem/IaC: API, deriva de configuração, eventos KMS/HSM.
Aplicativos/negócios: transações, transações PI/finanças, ciclo de vida de consultas (DSAR).
Segurança: IDS/IPS, EDR, DLP/EDRM, WAF, vulnerabilidade/patchi, antivírus.
Rede: firewall, VPN/Zero Trust, proxy, DNS.
CI/CD/DevSecOps: montagem, depósito, SAST/DAST/SCA, segredo-scan.
Dados/analista: lineage, acesso a vitrines, camuflagem/anonimato.
Operações: ITSM/tíquetes, incidentes, mudança-gestão, DR/BCP testes.
Vendedores/3rd-party: webhooks, federação SSO, eventos SLA.

3) Requisitos regulatórios (orientações)

GDPR/ISO 27701: Minimização/camuflagem PI, Retenção Gráfica, Legal Hold, Rastreamento DSAR.
SOC 2/ISO 27001: auditoria de trailers, controle de acesso a logs, provas de execução de controles.
PCI DSS: Logagem de acessibilidade para ambientes/dados de mapas, integridade de registros, visão diária.
AML/KYC: rastreabilidade de verificações, controle de sanções/RR-screening, protocolos TR/SAR.

4) Arquitetura de loging

1. Produções: aplicativos, nuvem, rede, agentes de hospedagem.
2. Pneu/coletores: recepção com back-pressure, retry, TLS mTLS, dedução.
3. Normalização: formato único (JSON/OTel), enriquecimento (tenant, user, geo, severity).

• Quente (pesquisa/SIEM): 7 a 30 dias, acesso rápido.
• Frio (objeto): meses/anos, armazenamento barato.
• Arquivo-evidence (WORM/Object Lock): imutável, recibos hash.
• 5. Integridade e assinatura: cadeias de hasteamento/borracha/rótulos de tempo.
• 6. Acesso e segurança: RBAC/ABAC, segmentação por jurisdição, mala baseada.
• 7. Analista e alertas: SIEM/SOAR, ID correlation, playbooks.
• 8. Diretórios e circuitos: registro de tipos de evento, versioning, testes de padrão.

5) Políticas-como-código (exemplos YAML)

Retenção e Legal Hold

yaml id: LOG-RET-001 title: "Access logs retention"
scope: ["iam. ","app. access"]
retention:
hot_days: 30 cold_days: 365 worm_years: 3 legal_hold: true # when Legal Hold is active, block privacy removal:
pii_mask: ["email","phone","ip"]
review: "annual"

Integridade e assinatura

yaml id: LOG-INT-001 title: "Signature and commercial fixation"
hashing: "SHA-256"
anchor:
cadence: "hourly"
store: "s3://evidence/anchors"
verification:
schedule: "daily"
alert_on_failure: true

6) Requisitos de qualidade de revistas

Estruturação: apenas JSON/OTel, sem texto «cru».
Sincronização de tempo: NTP/PTP, controle de drivt; gravação de 'timestamp', 'received _ at'.
Correlation IDs: 'trace _ id', 'span _ id', 'request _ id', 'user _ id' (pseudônimo).
Semântica de campos: dicionário (data dictionary) e contrato de padrão de teste.
Localização/língua: campos - chaves inglesas, valores unificados (enum).
Volume e política de drop: proibição do drop descontrolado; filas/quotas/sempling em risco.
Dados sensíveis: camuflagem/toquenização; a proibição de manter segredos/mapas inteiros.

7) Privacidade e minimização

Higiene PII: Logar hashi/tokens em vez de valores; máscara rigorosa para email/telefone/IP.
Contexto: Não pichar payload com dados pessoais sem base.
Jurisdição: armazenamento e acesso por país (data residency), rastreabilidade de cópias.
DSAR: marcas de busca e exportação por mala; capacidade de imprimir relatórios de despersonalização.

8) Imutabilidade e evidência (imutability)

WORM/Object Lock: impede a remoção/substituição durante o período.
Criptopoder: assinatura de batches; raízes merckley com anquering diário.
Cadeia de armazenamento (chain of custody): registro de acesso, recibos hash, qubits nos relatórios.
Verificação: Verificações periódicas de integridade e alertas de racinhonização.

9) Controle de acesso aos logs

RBAC/ABAC: rol «leitura/apenas busca» vs «exportação/sharing».
Case-based access: acesso a logs sensíveis - apenas como parte de uma investigação/tíquete.
Segredos/chaves: KMS/HSM; rotação, split-knowledge, dual-controle.
Auditoria de acesso: uma revista «quem leu quais logs» + alertas para a anomalia.

10) Métricas e logs SLO

Ingestion Lag: 95º percurso de atraso na recepção (alvo ≤ 60 segundos).
Drop Rate: proporção de eventos perdidos (alvo 0; alert> 0. 001%).
Schema Compliance:% dos eventos validados (≥ 99. 5%).
Coverage:% dos sistemas sob loging centralizado (≥ 98% críticos).
Integrity Pass: verificações bem sucedidas de cadeias de hash (100%).
Access Review: publicidade mensal de direitos, atraso de 0.
PII Leak Rate: PI «limpo» detetado nos logs (alvo 0 crítico).

11) Dashboards (conjunto mínimo)

Inhestion & Lag: volume/velocidade, liga, drop, fontes «quentes».
Integrity & WORM: Status de ankering, verificação, Object Lock.
Segurança Events: correlações críticas, MITRE Card.
Access to Logs: quem leu/exportou o quê; anomalias.
Compliance View: Retenção/Legal Hold Estates, relatórios de auditoria, exportações DSAR.
Schema Health: erros de parsing/versão de circuitos, proporção de agentes obsoletos.

12) SOP (procedimentos padrão)

SOP-1: Conexão de origem de logs

1. Registro de origem e criticidade → 2) seleção de esquema/OTel → 3) TLS/mTLS, tokens →

2. dry-run no stejing (validação de circuitos, máscaras PII) → 5) conexão com a proda →

3. adição a diretórios/dashboards → 7) de verificação de retenção/WORM.

SOP-2: Resposta ao incidente (revistas como evidence)

Detect → Triage → Coletar logs (case-scope) → Congelar (Legal Hold) →

Hash-fixação e anquering → Analista/timeline → Relatório e CAPA → Lançamento das aulas.

SOP-3: Check-up/auditoria

1. Abra a mala e os filtros do ID de consulta → 2) exportar para o formato necessário →

2. verificação Legal/Compliance → 4) hash drive → 5) envio e registro.

SOP-4: Revisão do acesso aos logs

Avaliação mensal dos proprietários; O reuso automático dos «órfãos» tem razão; Relatório de SoD.

13) Formatos e exemplos

Exemplo de evento de acesso (JSON)

json
{
"ts": "2025-10-31T13:45:12. 345Z",
"env": "prod",
"system": "iam",
"event": "role_grant",
"actor": {"type": "user", "id": "u_9f1...", "tenant": "eu-1"},
"subject": {"type": "user", "id": "u_1ab..."},
"role": "finance_approver",
"reason": "ticket-OPS-1422",
"ip": "0. 0. 0. 0",
"trace_id": "2a4d...",
"pii": {"email": "hash:sha256:..."},
"sign": {"batch_id":"b_20251031_13","merkle_leaf":"..."}
}

Regra de detecção (pseudo-rego)

rego deny_access_if_sod_conflict {
input. event == "role_grant"
input. role == "finance_approver"
has_role(input. subject. id, "vendor_onboarder")
}

14) Papéis e RACI

15) Gerenciamento de vendedores e cadeia de fornecimento

Os contratos incluem direito de auditoria de logs, formatos, SLA de armazenamento e acesso, WORM/imutability.
Subprocessadores: registro de origem e retenção «transbordante».
Exportação/offboarding: confirmação de destruição e relatório de resumo de hash.

16) Antipattern

Logs em texto livre, sem esquemas ou correlação.
Armazenamento sem WORM e fixação hash - Controvérsia na auditoria.
Os dados sensíveis estão «como estão».
Não há sincronização de tempo e trace _ id normal.
Drop de eventos em picos de carga; não há back-pressure.
Acesso universal aos logs sem a mala de controlo.
Direitos «eternos» de leitura de logs, sem avaliação.

17) Folhas de cheque

Iniciar função de loging

• Taxonomia de fontes e criticidade definidos.
• Os esquemas e as políticas de retenção/Legal Hold foram declarados (as-código).
• TLS/mTLS, tokens, agentes com atualização automática.
• Máscaras PII/tokens testados.
• WORM/Object Lock e o questionário estão incluídos.
• Os dashboards/alertas/métricas estão estabelecidos.
• A revisão de acesso e o SoD estão configurados.

Antes de uma consulta/consulta

• Coletado «audit pack»: esquemas, políticas, relatórios de integridade, amostra.
• Verificar integrity e registros de acesso durante o período.
• Os estados DSAR/Legal Hold estão confirmados.
• Formou um resumo hash de carregamento e confirmação de envio.

18) Modelo de maturidade (M0-M4)

M0 Manual: logs esparsos, sem circuitos ou reticências.
M1 Coleta centralizada: pesquisa básica, taxonomia parcial.
M2 Controlado: esquemas e políticas-como-código, dashboards, retenção/WORM.
M3 Integrado: Rastreamento OTEL, SOAR, ankering/merckley, case-based access.
M4 Assured: «audit-ready por botão», detecções de previsão, controle automático de integridade e recibos legalmente significativos.

19) Artigos wiki relacionados

Monitoramento Contínuo de Conformidade (CCM)

KPI e métricas de complaens

Legal Hold e congelamento de dados

Ciclo de vida de políticas e procedimentos

Comunicação de soluções complicadas

Gerenciamento de alterações na política de complacência

Dê Diligence e riscos de outorga

Resultado

Uma função forte de loging não é um armazém de mensagens, mas um sistema controlado: eventos estruturados, esquemas rigorosos e reticências, imutabilidade e assinatura, privacidade padrão, controle rígido de acesso e replicação em provas. Este sistema torna as investigações rápidas, as auditorias previsíveis e os riscos controláveis.