Resposta e recuperação de incidentes

A resposta a incidentes depende de preparação, não de improvisação. Um manual de resposta a software de extorsão documentado, funções conhecidas e procedimentos ensaiados transformam o caos em um processo controlado.

A resposta segue fases reconhecidas: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas. Esta lição percorre cada uma delas no contexto de um ataque de software de extorsão.

Um ataque de software de extorsão é uma crise empresarial, não apenas um problema de IT. A equipe abrange várias funções:

• Responsável pela coordenação do incidente para coordenar e tomar decisões
• Segurança e IT para o trabalho técnico
• Jurídico para as obrigações relacionadas à violação e o risco de sanções
• Comunicação para as mensagens internas e externas
• Liderança para as decisões empresariais

Use comunicação fora de banda (o invasor pode estar lendo seu correio eletrônico e suas mensagens).

Antes de agir de forma ampla, entenda com o que você está lidando.

• Qual variante e quais sistemas foram afetados?
• Onde ocorreu a entrada (paciente zero) e como?
• Os dados foram extraídos, indicando uma violação?

Preserve as evidências forenses: capture imagens da memória e do disco e os registros antes de apagar tudo, para que você possa responder a essas perguntas e atender às necessidades legais. Não destrua os rastros na pressa de limpar o ambiente.

A contenção interrompe a propagação enquanto preserva as evidências. Isole, não desligue às cegas, pois desligar o sistema pode destruir evidências da memória volátil e acionar armadilhas em algumas variantes.

Durante a contenção, proteja imediatamente os recursos necessários para a recuperação.

• Verifique se suas cópias de segurança imutáveis e fora da rede estão intactas e inacessíveis ao invasor
• Proteja o sistema de identidade (controladores de domínio); os invasores frequentemente mantêm contas privilegiadas
• Redefina as credenciais de contas privilegiadas e de serviço
• Desconecte os sistemas de cópia de segurança da rede comprometida até que sejam liberados

Perder suas cópias de segurança agora significa perder seu caminho de recuperação.

A erradicação remove completamente o acesso do invasor. Uma limpeza parcial convida a uma nova infecção.

• Remova software malicioso, portas dos fundos e mecanismos de persistência (serviços, tarefas agendadas)
• Identifique e feche o vetor de acesso inicial
• Redefina todas as credenciais potencialmente comprometidas, incluindo contas de serviço
• Procure pontos de apoio restantes antes de declarar o ambiente limpo

Presuma que o invasor teve amplo acesso; se os controladores de domínio foram afetados, talvez seja necessário reconstruir toda a identidade.

Restaure os sistemas em uma rede limpa e reconstruída, nunca em uma rede comprometida. Dê prioridade de acordo com a importância para o negócio.

• Reconstrua a partir de cópias de segurança confiáveis ou imagens limpas, não dos sistemas criptografados
• Restaure a infraestrutura central primeiro (identidade, DNS) e depois os serviços críticos
• Analise os sistemas restaurados antes de reconectá-los
• Reative os serviços em etapas controladas, observando sinais de nova infecção

Decidir se deve pagar é uma decisão da liderança e do jurídico, não uma decisão técnica, e deve levar em conta a orientação jurídica e, possivelmente, das autoridades policiais.

• O pagamento pode ser restringido pela legislação de sanções contra determinados grupos
• As ferramentas de descriptografia são pouco confiáveis, lentas e podem nem ser fornecidas
• Os dados roubados podem ser vazados de qualquer forma

A postura mais defensável, estabelecida por boas cópias de segurança e pelo planejamento de IR, é recuperar-se sem pagar. Envolva as autoridades policiais desde cedo; elas podem fornecer informações ou ferramentas de descriptografia.

Se os dados foram extraídos, o incidente é uma violação de dados com obrigações regulatórias e contratuais.

• Determine os requisitos de notificação (órgãos reguladores, clientes, parceiros) e os prazos
• Documente a linha do tempo e as decisões para auditores e seguradoras
• Coordene as comunicações externas por meio de um único canal
• Acione cedo o seguro cibernético, de acordo com os termos da apólice

O jurídico e a comunicação devem atuar em paralelo à recuperação técnica, não depois dela.

Após a recuperação, faça uma análise pós-incidente sem atribuição de culpa para transformar o problema em melhorias.

• Como os invasores entraram e por que isso não foi identificado antes?
• Quais controles funcionaram e quais lacunas permitiram a propagação?
• Quais melhorias na detecção ou nas cópias de segurança teriam ajudado?
• Atualize o manual de resposta e agende um novo teste

O resultado mais importante é uma lista concreta de ações, com responsáveis e datas, para que o próximo ataque encontre defesas mais fortes.

Um plano não testado falha sob pressão. Faça simulações antes de precisar dele.

• Exercícios de simulação conduzem a equipe por um ataque simulado
• Teste restaurações em escala, não apenas arquivos individuais
• Verifique se a comunicação fora de banda e as listas de contatos realmente funcionam
• Cronometre a recuperação para validar as metas de RTO/RPO

As equipes que fazem simulações se recuperam em dias; as que não fazem podem levar semanas.

Escolha a ação que contenha o ataque sem destruir evidências ou cópias de segurança.

Agora você pode responder a um ataque confirmado de software de extorsão.

• Siga as fases: prepare-se, identifique, contenha, elimine, recupere-se e aprenda
• Ative uma equipe multifuncional usando comunicação fora de banda
• Isole, não desligue às cegas; preserve as evidências e proteja as cópias de segurança e a identidade
• Elimine completamente a ameaça e depois recupere-se em uma rede limpa a partir de cópias de segurança confiáveis
• Trate a exfiltração como uma violação com obrigações legais; faça do pagamento uma decisão da liderança em último caso
• Pratique o plano para que a recuperação leve dias, não semanas

Curso concluído: você pode prevenir, detectar e recuperar-se de ataques de software de extorsão.