de Unix, o log controlado pelo syslog. Nesses logs sao armazenados eventos basicos, como auditoria de arquivos, logins bem sucedidos ou nao, inicio e termino de programas, entre outros. Contadores ou indicadores do sistema. Nesse caso, sao monitorados aspectos como consumo de CPU (via Performance Monitor do NT ou sar do Unix), espaco disponivel em disco e consumo de memoria, entre outros. Embora sejam dados nao diretamente relacionados a seguranca, uma mudanca nestes parametros pode indicar que algo mudou significativamente. Como exemplo, caso um servidor esteja sendo utilizado indevidamente para tentar quebrar senhas (com programas como L0phtcrack ou Crack, por exemplo) o consumo de CPU podera ser notadamente maior.Alguns outros sistemas de deteccao de intrusao via host tambem permitem a monitoracao de outros logs, especificados pelo usuario. Nesse caso, podem ser monitorados os logs de programas que, por um motivo ou outro, nao usam os logs do sistema. Nessa categoria podemos incluir sistemas de banco de dados, servidores de autenticacao (como Radius/Tacacs), servidores Web, entre outros. Nesses casos, o agente deve ser "treinado" em o que deve ser analisado do log.Com todas essas caracteristicas, os IDS baseados em host acabam por oferecer vantagens significativas para o implementador de IDS. A principal delas e que a qualidade da informacao coletada. Como o log a ser gerado pela aplicacao pode ser o resultado de uma longa transacao, por exemplo, e possivel detectar ataques ou situacoes que uma analise dos pacotes individuais nao mostraria.Outra vantagem do modelo de IDS de host e que, como o agente e especializado para um determinado sistema operacional, ele pode inspecionar caracteristicas desse sistema nao acessiveis via rede. Existem diversas vulnerabilidades conhecidas, tanto em Unix como em NT, que so podem ser exploradas por usuarios locais. E comum que indicadores dessas vulnerabilidades (ou de tentativas de exploracao delas) nao sejam percebidas por quem esta "fora" do sistema, como um IDS de rede.Por outro lado, e importante conhecermos as limitacoes dos IDS de host.Em primeiro lugar, um IDS de host e significativamente mais trabalhoso de implementar, pois necessita agentes em todos os equipamentos a serem protegidos. Se estamos falando de 200, 300 servidores, pode ser um impacto grande ter que instalar e configurar agentes em todos eles.Outro problema com IDS de host e a nao existencia de um agente para o sistema operacional em questao. Sao poucos os produtos que possuem suporte a uma gama variada de sistemas operacionais. A maioria tende a suportar Windows (mesmo assim quase sempre somente NT), Solaris e talvez outro tipo de Unix, como HP-UX, AIX ou Linux. De que adianta um IDS que nao suporta a plataforma desejada?Outro ponto a ser observado diz respeito a qualidade da informacao inicial. Caso os logs observados pelo IDS nao indiquem os eventos desejados em um grau de detalhe adequado, o IDS nao pode extrair nada dali. No caso de um sistema que inspecione o syslog de Unix, por exemplo, nao podemos detectar possiveis incidentes com o daemon de DNS (ou de FTP) se o mesmo nao foi configurado para gerar logs no syslog (ou se o IDS nao