Por que arquivar logs de eventos é crítico para reconstruir a linha do tempo
Logs de eventos do Windows rotacionam e se sobrescrevem rápido. O artigo defende o arquivamento contínuo como pré-condição para reconstruir a timeline de um incidente — sem os logs preservados, boa parte da história do ataque desaparece.
Logs de eventos do Windows são a espinha dorsal da reconstrução de incidentes — e rotacionam impiedosamente. Canais críticos sobrescrevem em dias ou horas em servidores movimentados; quando a resposta a incidentes chega semanas depois da intrusão (a média real), a história inicial do ataque já foi sobrescrita.
O argumento do artigo é preventivo: arquivamento contínuo de logs (forwarding para repositório central, retenção longa) é pré-requisito de forense, não luxo de compliance. Sem os eventos preservados, a timeline começa no meio do filme — o acesso inicial, a primeira persistência e a escalada ficam para sempre no campo da especulação.
Para quem monta programa de DFIR, a régua é simples: cada canal de log relevante (Security, PowerShell, Sysmon, RDP) deve responder "quanto tempo de história eu consigo reconstruir?". Se a resposta for menor que o tempo típico de detecção, o programa está estruturalmente cego para a fase mais importante do ataque.