System Design/03 - Qualidade/Monitoring2 min
Security Monitoring
- Que problema isso resolve?
- Quando usar / quando NÃO usar?
- Qual o principal trade-off?
- Como isso falha em produção?
Conceito
Detecta acesso indevido, comportamento anômalo e violação de política — e preserva evidência para investigação.
O que coletar
| Fonte | Sinais |
|---|---|
| Autenticação | Login, falha de login, MFA, troca de senha |
| Autorização | Acesso negado, escalonamento de privilégio |
| Auditoria de API | Quem chamou o quê, quando, de onde |
| Rede | Conexões, tráfego anômalo, portas |
| Dados | Acesso a informação sensível, exportação em massa |
| Configuração | Mudança em permissão, regra de firewall, política |
Padrões que merecem alerta
- Rajada de falhas de login (força bruta) e credential stuffing
- Login bem-sucedido de local geograficamente impossível
- Acesso fora do horário habitual daquela conta
- Exportação em massa de dados
- Criação de usuário privilegiado ou mudança de permissão
- Desativação de log ou de auditoria — sinal clássico de intrusão
Onde os sinais se juntam
SIEM agrega e correlaciona os eventos; a resposta pode ser automatizada (bloquear IP, revogar sessão, exigir MFA). O princípio operacional é que log de auditoria deve ser imutável e ficar fora do alcance de quem opera o sistema — senão, o primeiro movimento de um invasor é apagá-lo.
Trade-offs
O dilema permanente é volume contra sinal. Coletar tudo é caro e gera ruído; coletar pouco deixa lacunas que só aparecem durante uma investigação, quando já é tarde. A regra prática é reter eventos de autenticação, autorização e auditoria de API por muito tempo, e amostrar o resto.
Falso positivo é o inimigo silencioso: um alerta que dispara toda semana sem motivo é desligado pela equipe — e vai estar desligado no dia em que for verdadeiro.
Há também a tensão com privacidade: log de segurança frequentemente contém dado pessoal. Ele precisa de retenção definida, controle de acesso próprio e cuidado para nunca registrar segredo — senha, token e chave em log são vazamento, não monitoramento.
E o custo do tempo de detecção: a maior parte das invasões é descoberta semanas depois. O valor do monitoramento de segurança está menos no alerta perfeito e mais em ter a trilha quando a investigação começar.
Exemplo prático
regra: > 10 falhas de login do mesmo IP em 5 min
→ bloquear IP por 15 min, registrar evento
regra: login bem-sucedido de país diferente do anterior
em janela geograficamente impossível
→ exigir MFA, notificar o usuário, alertar equipe
regra: exportação > 1.000 registros por conta não administrativa
→ alerta imediato, com contexto da sessão
A terceira é a mais valiosa e a mais esquecida: ela não detecta invasão de fora, detecta uso indevido de credencial legítima — que é como a maior parte dos vazamentos realmente acontece.
Relacionado
Parte de Monitoring · roadmap.sh/system-design