Zeek Logs: Como Investigar conn.log, dns.log e http.log
A análise de Zeek Logs é feita mapeando Flow, horários, protocolos, DNS/TLS/HTTP e o contexto do ativo. Um único pacote ou conexão é uma evidência parcial, por isso é construída uma sequência e validada com fontes adicionais.
O tráfego de rede fornece uma perspetiva que não depende apenas do endpoint. Permite identificar quem comunicou com quem, qual protocolo, em que ordem e com que volume, mas requer uma compreensão dos limites da visibilidade e da encriptação. Este artigo foca-se nos Zeek Logs e destina-se a analistas SOC e Network Hunters. O objetivo é fornecer um método de trabalho que possa ser aplicado na prática, numa entrevista profissional e num ambiente de trabalho, sem se limitar a uma definição de dicionário.
O principal desafio é que os dados são quase sempre parciais. query name, response code, TTL podem indicar uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos a investigação em torno de uma questão de inquérito, evidências necessárias e um critério claro para a conclusão.
O cenário prático no artigo é: investigar uma única sessão através de quatro Logs. Todos os exemplos são dados de laboratório ou descrições de processos. Quando se trata de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com autorização expressa, Scope definido e capacidade de interromper o teste.
