A verdade sobre o cão de Sherlock Holmes
O chamado cão do Sherlock Holmes é, na realidade, uma referência direta a uma passagem do conto "O Cão dos Baskerville" e, mais especificamente, ao episódio de "Silver Blaze", onde a solução do mistério está justamente no fato de o cão não ter latido durante a noite. Na prática técnica e investigativa, isso virou sinônimo de um princípio: quando algo expected simplesmente não acontece, isso é, em si mesmo, um dado. Não é filosofia. É lógica aplicada. Não existe um software, script ou ferramenta que se chame oficialmente "cão do Sherlock Holmes". O que existe é um método de análise que muitos profissionais de segurança, investigadores digitais e até analistas de dados aplicam sem necessariamente nomeneá-lo. E a maior parte dos tutoriais que você vai encontrar por aí é enrolação barata.
como aplicar o principio do cão do sherlock holmes
Vamos direto ao ponto. A técnica funciona assim. Você define o comportamento normal de um sistema, processo ou ambiente. Depois, você observa o que deveria acontecer mas não acontece. Essa ausência é o sinal. Eu já vi colegas perderem horas caçando logs maliciosos em servidores Windows, analisando processamento de CPU, tráfego de rede, processos suspeitos. Nada. Até que alguém parou e perguntou: "onde estão os logs de segurança do firewall?" Eles estavam desativados. O invasor sabia disso. Ele não precisava se esconder porque o sistema de registro nem existia. O cão não lateu porque não havia corrente para quebrar.
👉 Clique no botão abaixo para saber mais sobre o assunto!
Isso me levou a adotar um checklist fixo antes de qualquer análise forense ou incidente response. O primeiro item do checklist é sempre: o que deveria estar ativo e não está? Não o que parece suspeito. O que deveria existir e foi sutilmente removido ou desabilitado. Aqui vai um detalhe que poucos mencionam. A armadilha mais comum é cair no viés de confirmação depois de identificar uma anomalia de ausência. Você acha que encontrou o padrão "cão que não late" e imediatamente empieza a interpretar todos os dados subsequentes à luz dessa descoberta. Isso gera falsos positivos enormes. Em um caso, eu identifiquei corretamente que um serviço de DNS interno estava desatualizado em três nós de um cluster. Achei que era sabotagem. Revelou-se uma falha de sincronização causada por um patch automático mal configurado que sobrescrevia arquivos de zona. O dado estava correto — o serviço de DNS estava desatualizado. A interpretação estava errada. A correção foi ajustar o cron job do servidor, não investigar intrusão.
quando o método falha completamente
O princípio do cão do Sherlock Holmes não funciona quando o ambiente nunca teve um comportamento baseline definido. Se você não sabe o que é normal, não consegue identificar o que está faltando. Isso acontece com frequência em ambientes cloud onde a configuração muda semanalmente, ou em sistemas legados sem documentação. Nesses casos, o método não só é inútil como é perigoso, porque leva o analista a inferir ausências que podem ser perfeitamente normais. Uma alternativa viável nesses cenários é construir primeiro um baseline com ferramentas de monitoramento passivo durante pelo menos duas semanas antes de tentar qualquer análise baseada em anomalias de ausência. Ferramentas como o Wazuh ou o Elastic Stack permitem estabelecer linhas de base automatizadas. Leva tempo, mas evita meia dúzia de falsos alarmes.
O principio em si é sólido. A aplicação prática exige disciplina para não preencher lacunas com suposições. A maioria dos profissionais pula essa parte e chega a conclusões apressadas. Eu levei três anos para parar de fazer isso.
