Monitoramento e Gestão de Redes

1. Visão Geral

No contexto da Segurança de Redes, o monitoramento e a gestão são processos contínuos e interdependentes, essenciais para garantir a estabilidade e a proteção da informação. Eles vão além da simples instalação de ferramentas: envolvem metodologias, frameworks, conformidade legal e centros de operação especializados que atuam 24/7 para detectar, triar e responder a anomalias.

O objetivo prático do monitoramento pode ser resumido em três perguntas: o que está acontecendo agora?, por que aconteceu? e como impedir que se repita? Essas perguntas correspondem, respectivamente, às funções de detecção, investigação e melhoria contínua.

2. Modelos de Gerência: FCAPS e SGSI

2.1. Modelo FCAPS (ITU-T M.3400)

O FCAPS divide a gerência de redes em cinco áreas funcionais, cada uma com foco distinto:

2.2. SGSI (ISO/IEC 27001)

O Sistema de Gestão da Segurança da Informação utiliza o ciclo PDCA (Plan-Do-Check-Act) para melhoria contínua. As fases do PDCA mapeiam-se à operação de segurança da seguinte forma:

3. Análise de Tráfego de Rede (NTA / NDR)

O monitoramento evoluiu da análise tradicional de desempenho (vazão e latência) para o conceito de NTA (Network Traffic Analysis), hoje frequentemente chamado NDR (Network Detection and Response) pela inclusão de capacidades automatizadas de resposta.

3.1. Fontes de Dados

• NetFlow / IPFIX (RFC 3954): Resumo estatístico de fluxos. Permite detectar anomalias volumétricas sem capturar payload.
• PCAP (packet capture): Captura bruta de pacotes via port mirror / SPAN. Essencial para forensics.
• Zeek (ex-Bro): Gera logs estruturados (conn.log, dns.log, http.log) a partir do PCAP.
• Telemetria eBPF: Coleta por kernel sem dependência de mirror (Cilium, Tetragon).
• APIs do provedor: AWS VPC Flow Logs, Azure NSG Flow Logs, GCP Packet Mirroring.

3.2. Ferramentas Clássicas e Modernas

4. Gestão de Logs e SIEM

4.1. Tipos de Logs Relevantes

Ativos de rede (firewalls, roteadores, switches, servidores) geram registros constantes. Os tipos mais relevantes para segurança são:

• Syslog (RFC 5424): Padrão de log de eventos em sistemas Unix e appliances de rede.
• Windows Event Logs: Security, System, Application — correlação com MITRE ATT&CK.
• HTTP/SOAP/REST access logs: WAFs, proxies reversos, identity providers.
• DNS query logs: Detecção de tunneling (longas subdomains, alta entropia).
• Authentication logs: LDAP, RADIUS, Kerberos, OAuth/SAML.

4.2. Correlação com SIEM

Um SIEM agrega eventos de múltiplas fontes e aplica regras de correlação para identificar ataques complexos. Exemplo de regra pseudo-código:

EVENT src=firewall action=deny count>50 within=1min FROM ip=$x
  AND EVENT src=edr action=suspicious_parent FROM host=$h
  AND host=$h inside subnet=X
THEN raise incident "Possible brute-force + lateral movement" severity=HIGH

4.3. Métricas Operacionais

5. Conformidade Legal Brasileira

No Brasil, o Marco Civil da Internet (Lei 12.965/2014) estabelece obrigações específicas para provedores de aplicação e conexão:

A LGPD adicionalmente exige consentimento para coleta de dados pessoais e define o papel do DPO (Encarregado), responsável por canal de comunicação com a ANPD.

6. Centros de Operação: SOC vs. NOC

A gestão operacional é dividida entre dois centros que, embora distintos, devem trabalhar em harmonia.

Incidentes de segurança frequentemente degradam o desempenho da rede (ex: DDoS, worms), então o trabalho do NOC é diretamente impactado pelas ameaças cibernéticas. Em organizações maduras, o SOC e o NOC compartilham o mesmo runbook para responder a incidentes que cruzam as duas áreas.

7. Modelos de Maturidade (SOC/CMMC/CSF)

Frameworks comuns para avaliar maturidade de monitoramento e resposta:

• NIST CSF: 5 funções (Identify, Protect, Detect, Respond, Recover). Versão 2.0 inclui Govern.
• CMMC (Cybersecurity Maturity Model Certification): 3 níveis (Level 1 — Foundational, Level 2 — Advanced, Level 3 — Expert).
• MITRE ATT&CK: Framework de técnicas de adversários, usado para mapear detecções.

8. Gestão de Vulnerabilidades e Incidentes

8.1. Gestão de Vulnerabilidades

Ciclo contínuo que envolve:

1. Descoberta: Scans semanais com Nessus, Qualys, Rapid7, OpenVAS.
2. Triagem: Priorização por CVSS + criticidade do ativo + exposição (internet/INT).
3. Remediação: Aplicação de patches, hardening, WAF virtual patching.
4. Verificação: Re-scan para confirmar remediação.

8.2. Gestão de Incidentes

Após detecção, segue-se um processo estruturado baseado em NIST SP 800-61:

1. Preparação: Runbooks, contatos, ferramentas, IR retainer.
2. Detecção e Análise: Triagem, scoping, attribution.
3. Contenção, Erradicação, Recuperação: Isolamento de hosts, reimage, reset de credenciais.
4. Pós-Incidente: Lessons learned, atualização de runbooks e baselines.

Frameworks complementares: ITIL (gestão de serviços) e COBIT (governança), garantindo que as correções sigam as melhores práticas globais.

9. Conclusão

Monitoramento e gestão formam a espinha dorsal operacional da segurança de redes. Sem visibilidade contínua, qualquer controle preventivo perde eficácia — não se protege o que não se vê. A combinação de frameworks estruturados (FCAPS, ISO 27001, NIST CSF), ferramentas modernas (SIEM + EDR + NDR) e processos bem definidos (gestão de vulnerabilidades, resposta a incidentes) transforma dados de telemetria em decisões acionáveis, reduzindo MTTD/MTTR e limitando o impacto de incidentes. Em uma era de ataques automatizados, a velocidade de detecção é o principal diferencial entre uma organização resiliente e uma organização que descobre a invasão pelo jornal.