Questão de Segurança da Informação — Análise de Tráfego e Logs — VUNESP 2025

Syslog: o campo facility

Gabarito: letra A. No padrão Syslog, o código facility identifica o tipo de sistema ou subsistema que originou a mensagem (ex.: kernel, mail, cron, daemon), enquanto a severity indica o nível de gravidade. A alternativa A é a única que descreve corretamente essa função.

O Syslog é um protocolo padrão para envio de mensagens de log em redes IP, definido originalmente na RFC 3164 e atualizado pela RFC 5424. Cada mensagem Syslog contém um cabeçalho com campos como timestamp, hostname, tag (nome do processo) e, principalmente, dois campos numéricos: facility e severity. O facility é um número de 0 a 23 que classifica a origem da mensagem — por exemplo, 0 para kernel, 1 para user-level, 2 para mail system, 3 para system daemons, 4 para security/authorization, 5 para syslogd, 9 para clock daemon, 14 para log alert, 16 a 23 para uso local. Já a severity é um número de 0 a 7 que indica a gravidade do evento: 0 = emergency, 1 = alert, 2 = critical, 3 = error, 4 = warning, 5 = notice, 6 = informational, 7 = debug.

A distinção entre facility e severity é essencial para a análise de logs: enquanto o facility responde à pergunta "quem gerou a mensagem?", a severity responde "quão grave é o evento?". Essa separação permite que ferramentas de correlação e SIEM filtrem e priorizem eventos de forma eficiente. Por exemplo, uma mensagem com facility 0 (kernel) e severity 2 (critical) indica um problema grave no núcleo do sistema operacional, enquanto uma mensagem com facility 2 (mail) e severity 6 (informational) é apenas um aviso rotineiro do serviço de e-mail.

A banca explora justamente a confusão entre esses dois campos. As alternativas B, C e D tentam associar o facility a conceitos que pertencem a outros campos da mensagem: a severity (nível de gravidade), o hostname (endereço IP) e o tag (identificação do processo). A alternativa E, por sua vez, inventa uma função que não existe no padrão Syslog — o facility não tem relação com usuário responsável pelo tratamento da mensagem. Portanto, a única definição correta é a da letra A.

Guarde a fronteira: facility = origem (quem gerou), severity = gravidade (quão grave). É exatamente nessa distinção que as alternativas se dividem.

Alternativa A — ✅ Correta ⟵ GABARITO

O facility é um campo numérico que identifica o tipo de sistema ou subsistema que originou a mensagem. Na RFC 5424, os valores de facility vão de 0 a 23, abrangendo desde o kernel (0) até local use (16–23). Essa informação é usada para rotear e filtrar logs por origem, permitindo, por exemplo, separar mensagens do sistema de correio das mensagens do daemon de autenticação. A alternativa espelha exatamente essa definição.

Alternativa B — ❌ Incorreta

A alternativa B confunde facility com severity. O nível de dificuldade para tratar ou resolver um erro não é um campo do Syslog; o que existe é a severity, que classifica a gravidade do evento (0 a 7). O facility não diz nada sobre a complexidade do tratamento — ele apenas indica a origem.

Alternativa C — ❌ Incorreta

A alternativa C também troca facility por severity. O nível de severidade é um campo separado, com valores de 0 (emergency) a 7 (debug). O facility não mede gravidade; ele identifica o subsistema de origem.

Alternativa D — ❌ Incorreta

O endereço IP do dispositivo que originou a mensagem é registrado no campo hostname (ou no cabeçalho da mensagem), não no facility. O facility é um número de 0 a 23 que classifica o tipo de sistema, não o endereço de rede.

Alternativa E — ❌ Incorreta

Não existe no padrão Syslog um campo que especifique o identificador do usuário responsável por verificar e tratar a mensagem. O facility não tem relação com responsáveis por tratamento; ele apenas indica a origem da mensagem. Essa alternativa inventa uma funcionalidade inexistente.

Gabarito: letra A