Blue Team Nível 1: visibilidade, logs e telemetria
Detecção começa com dados. Sem log, não há caça. Onde ficam os sinais no Windows e no Linux — e como centralizar tudo num lugar onde dá pra procurar.
root808
26 de set. de 2026 · 11 min de leitura
Toda detecção, por mais sofisticada, depende de uma coisa banal: ter o dado. A maior parte das invasões que passam batido não passam por falta de regra — passam por falta de log.
Windows: Sysmon
O Sysmon (Sysinternals) é a telemetria de endpoint mais valiosa do Windows: registra criação de processo com linha de comando e hash, conexões de rede, carregamento de imagem e criação de arquivo. Comece com uma config curada pela comunidade (a do SwiftOnSecurity é o clássico) e vá ajustando.
# instala o Sysmon com uma config curada
sysmon.exe -accepteula -i sysmonconfig-export.xml
# a partir daqui cada processo vira evento com linha de comando + hashLinux: auditd
No Linux, o auditd registra execuções (execve), acessos a arquivos sensíveis e syscalls; journald e syslog completam o quadro. Regras bem escolhidas transformam um servidor mudo numa fonte rica de sinal.
Centralizar
Log espalhado por 50 máquinas não serve pra caça. Envie tudo pra um coletor (Wazuh, ELK/OpenSearch) onde dá pra consultar, correlacionar e cruzar. É aí que eventos isolados viram histórias.
Log que ninguém lê é só custo de disco. Log centralizado e consultável é defesa.
Com os dados fluindo, o próximo passo é transformar comportamento malicioso em detecção.
root808
Pesquisa de segurança, do hardware à órbita — sempre dentro do escopo.
Continue lendo
A ética hacker: o código que ninguém escreveu
Antes de virar manchete de crime, 'hacker' era elogio nos corredores do MIT. Seis princípios nascidos nos anos 60 ainda separam quem é da cultura de quem só faz cosplay.
IoT do zero: como um dispositivo falha e como montar seu lab
Nível 0 da série. Antes de abrir qualquer carcaça, entenda a anatomia de um device IoT e monte um laboratório legal para estudar o que é seu.