Um analista do SANS ISC publicou um script que extrai e normaliza os logs de sessão TTY capturados pelos honeypots DShield, registrando os comandos digitados por atacantes e bots após o login nos sensores. Os dados processados são enviados diariamente a um SIEM central, onde são correlacionados via consultas ES|QL para identificar padrões de ataque recorrentes. Em um exemplo citado, um único hash de sequência de comandos (variantes de edição de crontab) foi associado a mais de 3.130 endereços IP distintos em 90 dias, evidenciando reutilização massiva de scripts de automação maliciosa.
O artigo "Hearsay" audita 16 frameworks de agentes de IA implantados e conclui que nenhum produz um registro de execução verificável por um leitor que não estava presente — ou seja, nenhum atende ao padrão que os autores chamam de "evidenciário". Exames feitos por LLMs e por humanos conseguem apontar a falha certa em 74% a 91% dos casos, mas raramente conseguem provar, a partir do próprio log, como a execução de fato ocorreu, e a saída proposta é duplicar o registro com um log externo, somente para acréscimo (append-only) e assinado por hash.
Um novo framework não supervisionado, o RECAL, ataca um problema pouco discutido em sistemas de detecção de intrusão baseados em proveniência (PIDS): a frequência de tipos de relação em grafos de auditoria pode variar em até 140.000 vezes, fazendo os modelos ignorarem padrões raros e relevantes. Testado nos datasets DARPA Engagement 3, o método reduziu a taxa de falsos positivos em até 105 vezes mantendo F1 acima de 99,9%.
Pesquisadores analisam as principais abordagens de captura de telemetria de kernel para sistemas de proveniência de segurança, identificando eBPF como a tecnologia mais promissora e classificando oito sistemas de proveniência e cinco agentes de captura existentes. A conclusão mais relevante é preocupante: a maioria dessas ferramentas não consegue garantir integridade nem disponibilidade dos eventos capturados, o que as torna inadequadas para uso forense em produção.
Logs de eventos do Windows rotacionam e se sobrescrevem rápido. O artigo defende o arquivamento contínuo como pré-condição para reconstruir a timeline de um incidente — sem os logs preservados, boa parte da história do ataque desaparece.