Conceito e funcionamento
Deduplicação reduz duplicatas identificadas por critérios controlados; correlação combina eventos que juntos sustentam hipótese. Dois logs textualmente iguais podem representar tentativas separadas; remover um deles pode ocultar comportamento. Correlação precisa de chaves como host, usuário, processo ou sessão e de janela temporal justificada.
Como investigar e correlacionar
Projete correlação com eventos de autenticação, processo e rede; valide origem de cada chave e consistência de timezone. Teste eventos fora de janela, valores nulos, NAT e retransmissão. Registre qual evento original sustenta cada condição e como a regra lida com atraso de ingestão.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma regra combina falhas e sucesso de autenticação, porém um NAT reúne usuários distintos no mesmo endereço público.
Procedimento orientado
Teste chaves por conta, host e sessão, avalie janela UTC e atraso e preserve eventos originais.
Resultado esperado
A saída apresenta correlação sustentada e caso negativo em que eventos simultâneos não devem ser associados.
Cuidados adicionais
Eliminar registros repetidos por texto pode descartar tentativas independentes e destruir evidência de repetição.
Limitações e interpretações incorretas
Unir logs apenas por IP ou nome de processo pode misturar usuários e hosts. A ausência de campo pode gerar falso negativo. Agregar sem preservar referências ao evento bruto diminui capacidade de auditoria.
Checklist de validação
- Definir hipótese e janela
- Testar chaves de associação
- Preservar IDs originais
- Verificar cenário benigno
Referências técnicas
Guias para aprofundar
- hipoteses deteccao efetivas — aguardando publicação editorial