Realizando Onboarding de Fontes de Log em SIEM

Visão Geral

O onboarding de fontes de log é o processo sistemático de integração de novas fontes de dados em uma plataforma SIEM para permitir o monitoramento e a detecção de segurança. O onboarding adequado requer o planejamento das fontes de dados, a configuração de agentes de coleta, a construção de parsers, a normalização de campos para um esquema comum e a validação da qualidade dos dados. De acordo com o NCSC do Reino Unido, o onboarding deve priorizar fontes de log que forneçam o maior valor de segurança em relação ao custo de ingestão.

Quando Usar

• Ao realizar avaliações de segurança que envolvam o onboarding de fontes de log em SIEM
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes ou atividades de auditoria de segurança agendados
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Plataforma SIEM implantada (Splunk, Elastic, Sentinel, QRadar ou similar)
• Acesso de rede dos sistemas de origem para os coletores SIEM
• Acesso administrativo nos sistemas de origem para instalação de agentes
• Documentação do Modelo Comum de Informações (CIM) ou esquema equivalente
• Aprovação de gerenciamento de mudanças para modificações em sistemas de produção

Framework de Priorização de Fontes de Log

Nível 1 - Crítico (Onboard Primeiro)

Nível 2 - Alta Prioridade

Nível 3 - Padrão

Processo de Onboarding

Etapa 1: Descoberta e Avaliação

1. Identify the log source:
   - System type and version
   - Log format (syslog, CEF, JSON, Windows Events, etc.)
   - Log volume estimate (EPS - events per second)
   - Network location and firewall requirements

2. Assess security value:
   - What threats can this source help detect?
   - Which MITRE ATT&CK techniques does it cover?
   - Is there an existing SIEM parser?

3. Estimate ingestion cost:
   - Daily volume in GB
   - License impact (per-GB or per-EPS pricing)
   - Storage retention requirements

Etapa 2: Configurar Coleta de Logs

Coleta Baseada em Syslog (Firewalls, Dispositivos de Rede)

# rsyslog configuration for receiving syslog
# /etc/rsyslog.d/10-siem-collection.conf

# UDP reception
module(load="imudp")
input(type="imudp" port="514" ruleset="siem_forwarding")

# TCP reception
module(load="imtcp")
input(type="imtcp" port="514" ruleset="siem_forwarding")

# TLS reception
module(load="imtcp" StreamDriver.AuthMode="x509/name"
       StreamDriver.Mode="1" StreamDriver.Name="gtls")
input(type="imtcp" port="6514" ruleset="siem_forwarding")

ruleset(name="siem_forwarding") {
    # Forward to SIEM
    action(type="omfwd" target="siem.company.com" port="9514"
           protocol="tcp" queue.type="LinkedList"
           queue.filename="siem_fwd" queue.maxdiskspace="1g"
           queue.saveonshutdown="on" action.resumeRetryCount="-1")
}

Coleta de Logs de Eventos do Windows (Splunk Universal Forwarder)

# inputs.conf no Splunk Universal Forwarder
[WinEventLog://Security]
disabled = 0
index = wineventlog
sourcetype = WinEventLog:Security
evt_resolve_ad_obj = 1
checkpointInterval = 5

[WinEventLog://System]
disabled = 0
index = wineventlog
sourcetype = WinEventLog:System

[WinEventLog://Microsoft-Windows-Sysmon/Operational]
disabled = 0
index = wineventlog
sourcetype = XmlWinEventLog:Microsoft-Windows-Sysmon/Operational
renderXml = true

[WinEventLog://Microsoft-Windows-PowerShell/Operational]
disabled = 0
index = wineventlog

…