A detecção e resposta a incidentes (também conhecida como IR, do inglês Incident Response) é uma das áreas mais críticas da segurança da informação. Quando um ataque ocorre, a velocidade e a qualidade da resposta podem determinar se o incidente será um pequeno contratempo ou uma catástrofe para a organização. Nesta aula, vamos explorar os elementos fundamentais de uma resposta eficaz, começando pelos documentos que guiam as ações: playbooks e runbooks. Em seguida, discutiremos as estratégias de contenção para limitar o dano e, por fim, os erros comuns que as equipes cometem durante o processo.

O objetivo é fornecer um entendimento prático e aprofundado de como estruturar uma resposta a incidentes, desde a preparação até a recuperação, com exemplos concretos que você pode adaptar à sua realidade. Vamos mergulhar no universo da resposta a incidentes, que exige não apenas conhecimento técnico, mas também organização, comunicação e tomada de decisão sob pressão.

Playbooks

Playbooks são documentos que descrevem, passo a passo, como responder a um tipo específico de incidente. Eles são como roteiros que orientam a equipe sobre o que fazer, em que ordem e com quais ferramentas. Um bom playbook é detalhado, claro e testado, permitindo que até mesmo um analista menos experiente siga os procedimentos com segurança.

Os playbooks são essenciais para padronizar as respostas, reduzir o tempo de reação e garantir que nenhuma etapa crítica seja esquecida. Eles devem ser atualizados regularmente com base em lições aprendidas de incidentes anteriores e mudanças no ambiente. Um playbook típico inclui: detecção (como identificar o incidente), triagem (classificação de severidade), contenção (ações imediatas para limitar o dano), erradicação (remoção da causa raiz), recuperação (restauração dos sistemas) e lições aprendidas (revisão pós-incidente).

Exemplo de estrutura de um playbook para um incidente de phishing:

Playbook: Resposta a Phishing
1. Detecção: Usuário reporta e-mail suspeito ou alerta do gateway de e-mail.
2. Triagem: Determine se o e-mail é malicioso (verifique links, anexos, remetente).
3. Contenção: Bloqueie o remetente, isole o e-mail, apague a mensagem das caixas de todos os usuários.
4. Erradicação: Analise anexos maliciosos, remova malware de sistemas afetados.
5. Recuperação: Restaure arquivos se necessário, redefina credenciais comprometidas.
6. Lições Aprendidas: Documente o incidente, atualize filtros de spam, treine usuários.

Os playbooks devem ser facilmente acessíveis durante um incidente, muitas vezes integrados a ferramentas de orquestração, como TheHive ou Splunk Phantom.

Runbooks

Runbooks são semelhantes aos playbooks, mas são mais focados em procedimentos operacionais específicos e frequentemente incluem automação. Enquanto um playbook descreve a estratégia de resposta, um runbook detalha os passos técnicos exatos para executar uma tarefa, como coletar logs, isolar um host ou revogar certificados. Runbooks são essenciais para garantir que as ações sejam consistentes e possam ser executadas rapidamente, especialmente em situações de estresse.

Runbooks são frequentemente usados em conjunto com ferramentas de automação, como scripts ou orquestradores, para executar passos automaticamente. Por exemplo, um runbook pode descrever como usar o SIEM para buscar indicadores de comprometimento (IOCs) ou como usar o EDR para isolar um endpoint. Eles também são úteis para documentar comandos específicos, caminhos de arquivos e credenciais de acesso.

Exemplo de um runbook para coleta de evidências de um host Linux:

Runbook: Coleta de Evidências em Linux
1. Acesse o host via SSH com credenciais de emergência.
2. Liste processos: ps aux > /tmp/ps.txt
3. Liste conexões de rede: netstat -tulpn > /tmp/net.txt
4. Copie logs relevantes: cp /var/log/auth.log /tmp/
5. Colete informações do sistema: uname -a > /tmp/uname.txt
6. Empacote tudo: tar -czf /tmp/evidencias.tar.gz /tmp/*.txt /tmp/auth.log
7. Transfira o arquivo para o servidor de coleta: scp /tmp/evidencias.tar.gz usuario@servidor:/destino/
8. Limpe os arquivos temporários do host.

A principal diferença entre playbooks e runbooks é que os playbooks são mais estratégicos (o que fazer) e os runbooks são mais táticos (como fazer). Ambos devem ser mantidos em um repositório versionado e revisados periodicamente.

Contenção

A contenção é uma das fases mais importantes da resposta a incidentes. O objetivo é limitar o dano e impedir que o atacante avance ou cause mais estragos. A contenção pode ser dividida em duas categorias: contenção imediata (ações rápidas para parar o sangramento) e contenção de longo prazo (medidas mais permanentes para isolar o incidente).

Estratégias comuns de contenção incluem: isolar o sistema afetado (desconectar da rede), desativar contas comprometidas, bloquear IPs maliciosos no firewall, revogar certificados, e alterar senhas. A escolha da estratégia depende do tipo de incidente e do impacto nos negócios. Por exemplo, isolar um servidor crítico pode causar indisponibilidade, então é preciso pesar os riscos.

Exemplo de ações de contenção para um ransomware:

Ações de Contenção para Ransomware
1. Isole imediatamente os hosts infectados da rede (desconecte cabos ou desative interfaces de rede).
2. Desative contas de usuários que possam ter sido comprometidas.
3. Bloqueie os domínios e IPs de C2 no firewall.
4. Suspenda serviços de compartilhamento de arquivos para impedir a propagação.
5. Altere senhas de administradores locais e de domínio.
6. Faça backup dos dados críticos antes de qualquer tentativa de limpeza.
7. Mantenha a comunicação com a equipe de TI e a gestão.

Após a contenção, é crucial realizar a erradicação para remover a causa raiz e a recuperação para restaurar os sistemas com segurança. A contenção não deve ser negligenciada, pois uma contenção mal feita pode permitir que o atacante continue agindo.

Erros comuns

Muitas organizações cometem erros durante a resposta a incidentes que podem agravar a situação. Conhecer esses erros é o primeiro passo para evitá-los. Aqui estão alguns dos mais frequentes:

  • Falta de preparação: Não ter playbooks, runbooks ou uma equipe treinada antes do incidente.
  • Comunicação inadequada: Não informar as partes interessadas (executivos, equipe jurídica, clientes) de forma clara e oportuna.
  • Agir sem evidências: Tomar ações destrutivas antes de coletar e preservar evidências forenses.
  • Isolar sistemas sem pensar: Desconectar um host pode destruir evidências ou interromper a detecção de atividades maliciosas.
  • Subestimar o incidente: Tratar um incidente como menor sem avaliar corretamente o impacto e a propagação.
  • Não documentar: Falhar em registrar todas as ações e observações durante o incidente, o que dificulta a análise posterior.
  • Retornar aos negócios cedo demais: Restaurar sistemas sem garantir que estejam limpos e seguros.

Para evitar esses erros, é fundamental investir em preparação, realizar simulações de incidentes, estabelecer canais de comunicação claros e manter uma mentalidade de melhoria contínua.

Boas práticas e observações finais

Uma resposta a incidentes eficaz começa muito antes do incidente. A preparação é a chave: crie e mantenha playbooks e runbooks atualizados, realize treinamentos e simulações regulares, e estabeleça uma cadeia de comando clara. Durante o incidente, priorize a comunicação e a documentação. Após o incidente, conduza uma revisão completa para identificar pontos fortes e fracos, e implemente melhorias.

Lembre-se de que a resposta a incidentes não é apenas técnica, mas também envolve aspectos legais, de conformidade e de relações públicas. Esteja preparado para lidar com todas essas dimensões. Por fim, adote uma postura de aprendizado contínuo, pois as ameaças evoluem constantemente e suas respostas devem evoluir junto.

Referências

Exercícios

  1. Descreva a diferença entre um playbook e um runbook, e cite um exemplo de cada um.

    ✓ Resposta: Um playbook é um guia estratégico que descreve as etapas de resposta para um tipo de incidente (ex.: phishing), enquanto um runbook é um guia tático com procedimentos técnicos específicos (ex.: comandos para coletar logs). Exemplo de playbook: resposta a malware; exemplo de runbook: isolamento de um host no EDR.

  2. Liste três estratégias de contenção e explique quando cada uma é apropriada.

    ✓ Resposta: 1. Isolar o host da rede: apropriado para malware que se propaga. 2. Desativar contas comprometidas: apropriado para acesso não autorizado. 3. Bloquear IPs maliciosos: apropriado para ataques externos contínuos.

  3. Quais são três erros comuns em resposta a incidentes? Como evitá-los?

    ✓ Resposta: 1. Falta de preparação: crie playbooks e treine a equipe. 2. Comunicação inadequada: estabeleça um plano de comunicação. 3. Agir sem evidências: sempre colete evidências antes de tomar ações destrutivas.

  4. Explique por que a contenção deve ser planejada com cuidado, considerando o impacto nos negócios.

    ✓ Resposta: A contenção pode causar indisponibilidade ou perda de dados. Por exemplo, isolar um servidor crítico pode interromper serviços essenciais. Portanto, é necessário avaliar os riscos e escolher medidas que limitem o dano sem paralisar a organização.

  5. Cite duas fontes oficiais que você pode consultar para desenvolver playbooks de resposta a incidentes.

    ✓ Resposta: NIST SP 800-61 (Computer Security Incident Handling Guide) e SANS Incident Handler's Handbook.