Erradicação, Recuperação e Lições Aprendidas

Erradicação remove a ameaça de todos os sistemas afetados. Depois que a contenção confirma o escopo, a erradicação garante que não restem mecanismos de persistência — software malicioso, portas dos fundos, credenciais comprometidas ou contas não autorizadas.

Uma erradicação completa inclui:

• Remover todo o software malicioso e todos os implantes identificados na investigação
• Excluir contas de usuários não autorizadas e chaves SSH adicionadas pelo invasor
• Remover tarefas do cron, chaves de execução do registro e tarefas agendadas adicionadas pelo invasor
• Corrigir a vulnerabilidade que permitiu o acesso inicial
• Redefinir todas as credenciais comprometidas
• Reconstruir sistemas gravemente comprometidos a partir de imagens confiáveis e íntegras

Para sistemas gravemente comprometidos, reconstruir a partir de uma imagem limpa é mais confiável do que tentar remover todos os artefatos de software malicioso. Kits de acesso root e implantes persistentes podem sobreviver às tentativas de limpeza. O risco de deixar algo passar é alto demais em sistemas críticos.

Após a limpeza, verifique:

• Faça uma nova varredura com várias ferramentas de AV/EDR
• Revise os mecanismos de persistência (execuções automáticas, cron, serviços)
• Verifique se há novas contas de usuários ou chaves SSH
• Monitore o tráfego de rede em busca de chamadas de retorno de comando e controle
• Execute verificações de integridade em binários críticos

Recuperação restaura os sistemas às operações normais com segurança. Acelerar a recuperação sem confirmar a erradicação aumenta o risco de reinfecção. Principais atividades:

• Restaurar a partir de cópias de segurança limpas e verificadas quando necessário
• Colocar gradualmente os sistemas novamente em funcionamento com monitoramento aprimorado
• Verificar a integridade e a operação adequada dos sistemas
• Monitorar sinais do retorno do invasor

Restauração a partir de cópias de segurança:

• Verifique a integridade das cópias de segurança (comparação de resumos criptográficos)
• Restaure em um ambiente limpo (não no mesmo ambiente comprometido)
• Teste os sistemas restaurados antes de devolvê-los à produção
• No caso de software de extorsão: certifique-se de que o software malicioso seja removido antes de restaurar os arquivos

Após a recuperação, aumente a intensidade do monitoramento:

• Registro de eventos aprimorado nos sistemas restaurados por mais de 30 dias
• Gere alertas para qualquer atividade que corresponda às táticas, técnicas e procedimentos do invasor
• Revise os fluxos de rede em busca de conexões incomuns
• Revalide os controles de acesso e as permissões

A análise pós-incidente (lições aprendidas) deve ocorrer no prazo de 1 a 2 semanas. Participantes: equipe de IR, responsáveis pelos sistemas afetados e gestão. Objetivo: compreender a causa raiz, aprimorar as defesas e atualizar os procedimentos.

RCA pergunta: por que isso aconteceu?

• Qual foi o vetor de ataque inicial?
• Quais controles falharam ou estavam ausentes?
• Por quanto tempo o invasor esteve presente antes da detecção?
• Como o invasor se movimentou lateralmente?
• Quais dados foram acessados ou extraídos?

Principais métricas de IR a acompanhar:

• MTTD — Tempo médio para detectar
• MTTR — Tempo médio para responder/recuperar
• MTTC — Tempo médio para conter
• Número de sistemas afetados
• Escopo da exposição de dados

Resultados das lições aprendidas:

• Atualizar os manuais de IR com novas táticas, técnicas e procedimentos observados
• Implantar recursos de detecção ausentes
• Corrigir as vulnerabilidades identificadas
• Agendar treinamentos sobre as lacunas identificadas
• Atualizar os modelos de comunicação

Por que reconstruir um sistema gravemente comprometido a partir de uma imagem limpa costuma ser preferível a tentar limpá-lo?

A erradicação remove todos os artefatos do invasor: software malicioso, portas dos fundos, contas não autorizadas e persistência de comando e controle. Para sistemas gravemente comprometidos, reconstrua em vez de limpar. A recuperação restaura as operações a partir de cópias de segurança limpas e verificadas, com monitoramento aprimorado. A análise pós-incidente identifica a causa raiz, mede MTTD/MTTR e aprimora a resposta futura por meio de manuais atualizados e novas detecções.