Como ler um auth.log sem se perder
Antes da ferramenta, o contexto: o que um log de autenticação conta, e o que ele não conta.
por @maria.sec · 07 out
O que o log responde, e o que não
Um log de autenticação responde quem tentou, de onde e se conseguiu. Não responde por quê, nem o que veio depois.
Separe ruído de padrão
Tentativas isoladas são rotina. O padrão é a sequência: várias falhas na mesma origem, em poucos minutos.
Procure o contexto anterior
O que aconteceu na mesma estação antes das falhas? Um login com MFA minutos antes muda a hipótese.
Linha do tempo antes da conclusão
Cada passo aponta para uma linha do log. Quem revisa confere sem refazer a investigação.