Capítulo 1 — Tomada de decisão avançada em segurança
Mapa da aula
Aula 01 publicada. Mapa, exemplo, EX001.
flowchart TD
N0["1.1 O problema da perita sênior"]
N1["1.3 Decisão sob incerteza"]
N2["1.4 Registros de decisão"]
N3["1.5 Armadilhas cognitivas"]
N4["1.6 Delegação"]
N5["1.7 Comunicação"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6
N6 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX001"]
Desenho lógico
flowchart LR
N0["1.1 O problema da perita sênior"]
N1["1.3 Decisão sob incerteza"]
N2["1.4 Registros de decisão"]
N3["1.5 Armadilhas cognitivas"]
N4["1.6 Delegação"]
N5["1.7 Comunicação"]
N6["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> N5 --> N6 --> Q["EX001"]
[1.1 O problema da perita sênior]
|
v
[1.3 Decisão sob incerteza]
|
v
[1.4 Registros de decisão]
|
v
[1.5 Armadilhas cognitivas]
|
v
[1.6 Delegação]
|
v
[1.7 Comunicação]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX001]
Objetivos de aprendizagem
Você vai (1) tomar decisões periciais sob pressão de tempo e incerteza; (2) ponderar a preservação da evidência contra a recuperação do negócio; (3) documentar decisões de modo que possam ser defendidas; (4) reconhecer armadilhas cognitivas em funções de liderança.
1.1 O problema da perita sênior
Marta Kowalczyk chefia a perícia digital do fictício Corvane Financial Group. Às 06:10 de uma segunda-feira, a equipe descobre que um ransomware cifrou 40 hosts, entre eles servidores de arquivos e estações de trabalho. O diretor de operações quer os sistemas restaurados até o meio-dia. Marta precisa decidir o que preservar antes que qualquer coisa seja apagada. A tensão é concreta: cada host reconstruído antes da preservação perde a memória, os logs locais e os vestígios no sistema de arquivos que poderiam mostrar como o atacante entrou. Manter os hosts parados custa à Corvane horas de negociação e de atendimento ao cliente. Marta tem menos de uma hora para escolher, e o que ela escolher será examinado depois pelo regulador.
1.2 Objetivos concorrentes
A recuperação quer reconstruções limpas e rápidas. A investigação quer memória, discos e logs preservados. Os reguladores podem exigir um relato de quais dados foram afetados. A NIST SP 800-61r3 situa essas atividades dentro da gestão de riscos da organização: as decisões de resposta são decisões de negócio informadas pelas necessidades da evidência. Na Corvane, os três objetivos estão vivos ao mesmo tempo naquela manhã de segunda-feira. O diretor de operações responde pela recuperação, Marta pela evidência, e o jurídico prestará contas ao regulador financeiro sobre os dados de clientes. Nenhum deles pode simplesmente se sobrepor aos outros, por isso a escolha é formulada como uma decisão de negócio, com os custos periciais expressos em horas e em respostas perdidas.
1.3 Decisão sob incerteza
Marta não sabe qual foi o ponto de entrada nem se dados foram levados. Ela escolhe ações que mantêm as opções abertas: capturar a memória de uma amostra dos hosts afetados ainda em execução, tirar snapshots dos servidores virtuais antes da reconstrução, preservar imediatamente os logs centrais e então liberar os sistemas para recuperação em ondas. Cada uma dessas ações é barata comparada com o que protege. A memória de oito hosts leva minutos por host, os snapshots de VM levam pouco mais, e os logs centrais só precisam ser copiados antes que a rotação ou a retenção os elimine. Reconstruir em ondas significa que os primeiros sistemas voltam às 09:00, enquanto os demais aguardam a coleta.
1.4 Registros de decisão
Cada decisão é registrada: horário, opções, escolha, justificativa, quem aprovou. Se um regulador ou um tribunal perguntar depois por que um host foi reconstruído sem imagem, o registro responde. O registro das 06:45 de Marta é o modelo: três opções, a escolhida, a justificativa ligada às perguntas sobre o ponto de entrada e a exfiltração, e o COO como aprovador. Escrever as opções rejeitadas importa tanto quanto a escolha, porque um revisor posterior vai perguntar por que os 40 hosts não foram todos copiados em imagem. O registro fica com os autos do caso e só é encerrado quando o caso se encerra.
1.5 Armadilhas cognitivas
Ancoragem na primeira teoria, excesso de confiança na experiência e pressão para agradar aos executivos. Marta designa um colega para defender alternativas em cada reunião de situação. No CF-21, a primeira teoria da reunião da manhã poderia facilmente ter sido "um usuário abriu um anexo infectado na WS-07". Ancorar-se nela teria escondido a conta de VPN comprometida por phishing e a preparação dos dados no servidor de backup, descobertas mais tarde. O contestador designado pergunta, em cada reunião, que evidência tornaria errada a teoria atual, e a resposta é registrada.
1.6 Delegação
Peritos experientes conduzem a coleta; Marta fica com o registro de decisões e a interface com os executivos. Aiyana Brooks e os demais peritos executam as capturas de memória, os snapshots e a coleta de triagem, cada um registrando os próprios passos. Marta fica fora do trabalho prático para poder acompanhar as decisões, responder ao COO e ao diretor e perceber quando uma nova constatação obriga a rever uma decisão. Dividir os papéis desse modo mantém o registro de decisões completo enquanto a coleta continua. Os peritos levam a ela as decisões que precisam de aprovação, como liberar um host para reconstrução.
1.7 Comunicação
Ela apresenta ao diretor um custo-benefício claro: duas horas de preservação poupam semanas de incerteza depois. A mensagem ao diretor é dita nos termos dele: a recuperação começa às 09:00 em vez de imediatamente e, em troca, a Corvane poderá dizer ao regulador como o atacante entrou e se dados saíram. Sem essa evidência, as perguntas do regulador poderiam ficar em aberto por semanas. Marta dá ao diretor um número para o atraso e outro para o risco evitado. O diretor concorda, e a aprovação é escrita no registro das 06:45.
Exemplo resolvido
Registro de decisão das 06:45: "Opções: (a) reconstruir tudo agora; (b) gerar imagem dos 40 primeiro; (c) memória de 8 hosts representativos, snapshots de 6 servidores, logs centrais e depois reconstrução escalonada. Escolhida: (c). Justificativa: preserva a evidência para as perguntas sobre ponto de entrada e exfiltração e permite a recuperação a partir das 09:00. Aprovado por: COO."
Caso sintético. A Corvane e o incidente são inventados.
Erros e limites
Amostrar hosts traz o risco de perder justamente aquele que guarda a evidência decisiva; escolha as amostras por papel (primeiro infectado, servidores, estações de administração), não por conveniência.
Exercícios
- EX001 — Objetivos concorrentes. Cite os três objetivos concorrentes no incidente da Corvane. Rubrica: 3 = recuperação, investigação, relato regulatório; 2 = dois; 1 = um; 0 = nada.
- EX002 — Opção (c). Descreva a opção (c) e por que ela foi escolhida. Rubrica: 3 = memória por amostragem, snapshots de servidores, logs, reconstrução escalonada; preserva a evidência e permite a recuperação; 2 = parcial; 1 = vago; 0 = nada.
- EX003 — Registro de decisão. Liste cinco campos de um registro de decisão. Rubrica: 3 = horário, opções, escolha, justificativa, aprovador; 2 = três; 1 = um; 0 = nada.
- EX004 — Controle da armadilha. Como Marta combate a ancoragem? Rubrica: 3 = um colega defende alternativas nas reuniões de situação; 2 = parcial; 1 = experiência; 0 = nada.
- EX005 — Regra de amostragem. Como os hosts devem ser amostrados para a captura de memória? Rubrica: 3 = por papel (primeiro infectado, servidores, administração), não por conveniência; 2 = parcial; 1 = só aleatória; 0 = nada.
Síntese
Decisões periciais de liderança mantêm as opções abertas, equilibram as necessidades do negócio e são registradas para escrutínio posterior.
Continue estudando — capítulo 01 de 12
← Página do curso · Índice de capítulos do curso · Capítulo 02 (rascunho) →