Preparação: planos de IR, manuais operacionais e equipes

O ciclo de vida de resposta a incidentes do NIST tem quatro fases: Preparação, Detecção e análise, Contenção/erradicação/recuperação e Atividade pós-incidente. A preparação é a fase mais importante — tudo o que uma organização faz antes de um incidente determina a eficácia de sua resposta durante o incidente. As organizações que investem em preparação descobrem violações mais rapidamente, contêm-nas com maior agilidade e gastam muito menos com a recuperação. A diferença média de custo entre uma preparação para IR alta e baixa é de milhões de dólares por incidente.

Um Plano de Response a Incident (IRP) é o documento orientador que define a abordagem da organização para lidar com incidentes de segurança. Um IRP abrangente inclui: a missão e o Scope, as funções da equipe e as informações de contato, as definições do que constitui um incidente, os critérios de classificação de gravidade, os procedimentos de escalonamento, os modelos de comunicação, os requisitos legais e regulatórios de notificação e referências a Playbooks técnicos. O IRP deve ser aprovado pela alta liderança e revisado pelo menos uma vez por ano.

O CSIRT é a equipe responsável por executar o IRP. As principais funções incluem: Comandante do Incident (coordenação geral e tomada de decisões), Analistas de Security (investigação técnica e coleta de Evidence), Líder de Communication (mensagens para as partes interessadas, clientes e mídia), Consultor Legal (conformidade regulatória e ligação com as autoridades policiais) e Patrocinador Executivo (autorização para ações significativas de remediação). Funções bem definidas evitam confusão e garantem que nenhuma tarefa crítica fique sem execução.

A classificação de gravidade determina a urgência da Response, o caminho de escalonamento e os requisitos de notificação. Um modelo típico de quatro níveis: P1/Critical — violação ativa com exfiltração de dados ou impacto comercial significativo, exigindo Response imediata 24 horas por dia, 7 dias por semana; P2/High — compromise Confirmed sem perda de dados Confirmed; P3/Medium — atividade suspeita em investigação; P4/Low — violações de políticas ou anomalias menores. Erros de classificação — tratar um P1 como P3 — permitem que as violações se expandam enquanto a Response é atrasada.

Enquanto o IRP fornece orientação estratégica, os playbooks oferecem procedimentos táticos, passo a passo, para responder a tipos específicos de incidentes. Um Playbook de Ransomware pode especificar: isolar os sistemas afetados (etapa 1), capturar imagens Forensic antes de qualquer limpeza (etapa 2), verificar se a variante é conhecida e se existem ferramentas de descriptografia (etapa 3), notificar a equipe executiva (etapa 4), contratar uma empresa externa de IR (etapa 5). Os Playbooks reduzem a carga cognitiva durante incidentes de alto estresse, quando os responsáveis pela Response poderiam deixar de executar etapas críticas.

A preparação técnica inclui implantar e configurar as ferramentas necessárias aos responsáveis pela Response durante um incidente. Kit essencial de ferramentas de IR: SIEM para agregação e correlação de registros, EDR para visibilidade e contenção dos endpoints, ferramentas de criação de imagens Forensic (FTK, dd, Magnet AXIOM), aquisição de memória (Magnet RAM Capture, WinPmem), captura de pacotes de rede (Wireshark, Zeek) e canais de Communication fora de banda (caso o Email principal seja comprometido durante o incidente).

Muitas organizações mantêm acordos de retenção com empresas especializadas em Response a incidentes (Mandiant, CrowdStrike, Palo Alto Unit 42). Um acordo de retenção garante Response prioritária quando ocorre um incidente, com tarifas negociadas previamente e SLAs definidos (por exemplo, um responsável pela Response no local em até 4 horas após a notificação). Sem um acordo de retenção, a contratação de uma empresa de IR durante uma violação grave pode levar dias e resultar em preços elevados. As empresas contratadas também oferecem facilitação de exercícios de simulação, caça a ameaças e avaliações anteriores a violações.

Exercícios de simulação reproduzem cenários de incidentes em um formato de discussão em sala de reunião, sem tocar nos sistemas de produção. Os participantes acompanham a evolução de um cenário — um ataque de Ransomware, um Email fraudulento enviado em nome do CEO, um compromise de credentials — e discutem o que fariam em cada ponto de decisão. Esses exercícios revelam lacunas nos Playbooks, responsabilidades de função pouco claras e suposições não testadas antes que um incidente real as exponha. Eles devem ser realizados trimestralmente com o CSIRT e anualmente com os executivos.

A Communication sobre incidentes deve ser planejada com antecedência. Principais considerações: prazos de notificação regulatória (GDPR exige notificação de violação em até 72 horas, HIPAA em até 60 dias; as leis estaduais sobre violações variam), modelos de notificação a clientes, critérios de notificação às autoridades policiais (FBI para Ransomware, Serviço Secreto para fraude financeira), mensagens de relações públicas e Communication interna aos funcionários. É fundamental que a Communication durante um incidente use canais fora de banda — o invasor pode estar monitorando o Email corporativo.

A preparação inclui estabelecer procedimentos de coleta de Evidence que preservem sua admissibilidade Legal. Requisitos principais: documentar a ordem de volatilidade, usar bloqueadores de gravação para criar imagens de discos e registrar os hashes criptográficos de todas as Evidence (SHA-256), além de documentar a Chain of Custody desde a coleta até o Storage. Evidence que não pode ser autenticada — porque os procedimentos não foram seguidos — pode ser inadmissível em processos judiciais contra invasores ou funcionários.

Organizações sem preparação madura de IR cometem regularmente erros dispendiosos durante violações: os responsáveis pela Response recriam imagens dos sistemas antes de capturar Evidence Forensic (destruindo a capacidade de entender o que aconteceu), comunicam-se por canais comprometidos (alertando os invasores), escalam o incidente muito lentamente porque a classificação de gravidade não é clara, não têm autoridade para tomar decisões de contenção (exigindo horas de aprovações) e não conseguem identificar os sistemas afetados porque o inventário de ativos está incompleto. Cada uma dessas falhas pode ser evitada com preparação.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) abordados nesta lição.

Nesta lição, você aprendeu que: o IRP é o documento orientador que define funções, classificações de gravidade e procedimentos de Communication, os Playbooks fornecem orientação tática passo a passo para tipos específicos de incidentes e os exercícios de simulação e os acordos de retenção preparam as equipes para responder com eficácia antes que um incidente real ocorra. A seguir, exploraremos a detecção e a análise: identificando incidentes reais.