O Ciclo de Vida de IR: Preparar, Identificar, Conter

Resposta a incidentes (IR) é a abordagem organizada para lidar com incidentes de segurança e gerenciá-los. O objetivo é minimizar os danos, reduzir o tempo de recuperação e evitar recorrências. Ter um plano de IR documentado antes de um incidente é fundamental.

Principais estruturas de IR:

• NIST SP 800-61: Preparação → Detecção/Análise → Contenção/Erradicação/Recuperação → Pós-incidente
• SANS PICERL: Preparar, Identificar, Conter, Erradicar, Recuperar, Lições aprendidas
• CISA: Alinhada amplamente ao NIST

Atividades de preparação:

• Documentar a política e os procedimentos de IR
• Formar e treinar a equipe de IR (CIRT)
• Implantar ferramentas de registro e detecção
• Estabelecer canais de comunicação e caminhos de escalonamento
• Realizar exercícios de mesa e simulações
• Criar manuais operacionais para tipos comuns de incidentes

Prepare-se antes que os incidentes ocorram:

• SIEM centralizado para análise de registros
• Estação de trabalho forense com bloqueadores de gravação e ferramentas de criação de imagens
• Contatos da área jurídica e de HR identificados previamente
• Contrato de prontidão de IR com uma empresa externa de perícia digital
• Cópias de segurança desconectadas da rede, verificadas e acessíveis

Identificação é detectar e confirmar que um incidente ocorreu. Fontes de detecção:

• Alertas do SIEM e eventos de IDS/IPS
• Relatos de usuários ("meu computador está se comportando de forma estranha")
• Fontes de inteligência sobre ameaças
• Detecção de anomalias (horários de login incomuns, transferências de dados)
• Notificação de terceiros (autoridades policiais, parceiros)

Classifique os incidentes por gravidade para priorizar a resposta:

• P1/Crítico: invasão ativa, exfiltração de dados, software de extorsão
• P2/Alto: conta privilegiada comprometida, software malicioso detectado
• P3/Médio: violação de política, atividade suspeita
• P4/Baixo: tentativas de login malsucedidas, configuração incorreta de menor gravidade

A contenção interrompe a propagação dos danos sem destruir as evidências. Há dois tipos:

• Contenção de curto prazo: isolar os sistemas afetados (quarentena de rede)
• Contenção de longo prazo: remover artefatos maliciosos mantendo as operações

Ações de contenção:

• Isolamento de rede: quarentena de VLAN, regras de bloqueio da barreira de proteção de rede
• Bloqueio de contas: desativar credenciais comprometidas
• Encerramento por EDR: finalizar processos maliciosos por meio do EDR
• Sumidouro de DNS: redirecionar domínios de comando e controle para impedir chamadas de retorno
• Preserve as evidências ANTES de apagar os dados

Durante incidentes graves, use uma estrutura de comando clara:

• Comandante do incidente — coordenação geral
• Líder técnico — investigação e remediação
• Líder de comunicações — notificações internas e externas
• Jurídico/Conformidade — obrigações regulatórias

Uma IR eficaz executa contenção, investigação e comunicações em paralelo — não sequencialmente. Enquanto a equipe técnica contém a ameaça, a área jurídica prepara as notificações e a gestão se comunica com as partes interessadas. O tempo é importante: cada hora de acesso sem contenção causa mais danos.

Documente tudo durante um incidente:

• Linha do tempo dos eventos com marcas de data e hora
• Todas as ações realizadas (por quem, o quê e quando)
• Evidências coletadas e cadeia de custódia
• Decisões tomadas e suas justificativas

Essa documentação é essencial para processos judiciais e para a análise pós-incidente.

Durante qual fase de IR você isolaria um sistema infectado da rede para impedir a propagação do software malicioso?

O ciclo de vida de IR (NIST) consiste em: Preparação, Identificação, Contenção, Erradicação, Recuperação e Pós-incidente. A preparação é a fase mais importante — forme a equipe, prepare as ferramentas e crie os manuais operacionais antes que os incidentes ocorram. A identificação confirma um incidente. A contenção interrompe a propagação enquanto preserva as evidências. Documente cada ação com marcas de data e hora.