Conceito e funcionamento
HTTP define métodos e códigos de status com semânticas distintas. Um 401 pode ser resposta de desafio de autenticação, e um 403 uma recusa de acesso. Códigos de erro em volume não comprovam exploração: health checks, clientes desatualizados e navegação legítima geram muitos erros. Proxy e aplicação podem registrar o mesmo pedido em diferentes camadas.
Como investigar e correlacionar
Investigue timestamp, virtual host, método, rota, status, latência, identidade quando existente, IP original validado pelo proxy e correlation/request ID. Compare alterações de deploy, limites, mecanismos de autenticação e sessões. Para eventos suspeitos, verifique sequência e efeito na aplicação em vez de contar apenas URLs incomuns.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
curl -I --max-time 5 https://example.org/
# Em log próprio autorizado:
sudo tail -n 30 /var/log/nginx/access.logESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
O reverse proxy registra muitos 401 e um painel declara ataque sem verificar comportamento da aplicação.
Procedimento orientado
Separe autenticação esperada, IP original validado, método, rota, request ID, resposta e mudanças de deploy.
Resultado esperado
O resultado define se houve exploração demonstrável ou apenas desafios e erros, com consulta reproduzível ao log.
Cuidados adicionais
Cabeçalhos enviados pelo cliente podem ser forjados; só confie em IP repassado por proxy controlado.
Limitações e interpretações incorretas
Cabeçalhos X-Forwarded-For não são confiáveis se o proxy não controla sua origem. Parâmetros podem conter segredos e dados pessoais; sanitize antes de publicar. Rotas de aplicação podem ter semântica própria além dos códigos HTTP.
Checklist de validação
- Diferenciar status por camada
- Validar IP de cliente no proxy
- Relacionar request ID
- Evitar exposição de parâmetros sensíveis
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial