Capítulo 22 — Tratamento de incidentes

Capítulo 22 — Tratamento de incidentes

Mapa da aula

Aula 22 publicada. Mapa, exemplo, EX064.

flowchart TD
  N0["22.1 O procedimento"]
  N1["22.2 Um incidente real"]
  N2["22.3 Evidências"]
  N3["22.4 Comunicação"]
  N0 --> N1 --> N2 --> N3
  N3 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX064"]

Desenho lógico

flowchart LR
  N0["22.1 O procedimento"]
  N1["22.2 Um incidente real"]
  N2["22.3 Evidências"]
  N3["22.4 Comunicação"]
  N0 --> N1 --> N2 --> N3 --> Q["EX064"]

[22.1 O procedimento]
    |
    v
[22.2 Um incidente real]
    |
    v
[22.3 Evidências]
    |
    v
[22.4 Comunicação]
    |
    v
[Exemplo resolvido] --> [Exercício EX064]

Objetivos de aprendizagem

Você vai (1) seguir um procedimento de incidentes; (2) preservar as evidências; (3) comunicar durante e depois de um incidente.

22.1 O procedimento

O Riverbend tem um procedimento de incidentes curto, escrito pelo gerente de TI com a ajuda de Jamal: comunicar, avaliar, conter, investigar, recuperar e revisar. Ele se baseia nas funções Responder e Recuperar do NIST Cybersecurity Framework 2.0. Cada passo indica quem age e como contatá-lo fora do expediente. A Sra. Grant explica que os tecnólogos muitas vezes são os primeiros a chegar à cena, por isso precisam conhecer o procedimento bem o bastante para segui-lo com calma sob pressão. Jamal leva uma cópia impressa na mochila durante as visitas aos centros.

22.2 Um incidente real

Uma gerente de centro comunica que sua conta de e-mail enviou mensagens que ela não escreveu. Jamal segue o procedimento. Ele redefine a senha dela, encerra todas as sessões, procura regras de encaminhamento e encontra uma que envia cópias dos e-mails dela a um endereço externo. Ele a remove e confirma que a autenticação multifator está ativada. A conta era uma das últimas que aguardavam a inscrição. Ele registra cada passo, com os horários, no log de incidentes. Ele também confere a pasta de enviados para ver quais destinatários receberam as mensagens, para que possam ser alertados.

22.3 Evidências

Antes de remover a regra de encaminhamento, Jamal tira uma captura de tela e exporta os logs de entrada que mostram um login de um país desconhecido. Ele os guarda numa pasta restrita com a data e seu nome. A Sra. Grant explica que as evidências coletadas com cuidado ajudam a entender o que aconteceu e podem ser exigidas por seguradoras ou reguladores. Alterar as coisas antes de registrá-las pode destruir as evidências necessárias para saber o que o atacante acessou. Ele registra o fuso horário de cada entrada de log, porque os logs de entrada usam o tempo universal, enquanto a gerente do centro informou horários locais.

22.4 Comunicação

O gerente de TI conta à gerente do centro o que aconteceu e o que foi feito, informa o responsável pela proteção de dados, porque e-mails de associados foram encaminhados, e alerta os demais funcionários sobre a mensagem de phishing usada. Uma breve revisão posterior identifica a causa: a inscrição atrasada na autenticação multifator. As inscrições restantes são concluídas em uma semana. Jamal aprende que a comunicação clara reduz a preocupação e que as revisões transformam incidentes em melhorias. O responsável pela proteção de dados revisa quais e-mails de associados foram encaminhados e decide, com o gerente de TI, como informar os associados afetados. Jamal acrescenta o incidente e suas lições ao relatório mensal.

Exemplo resolvido

Jamal segue o procedimento para uma caixa postal comprometida, remove uma regra de encaminhamento externo depois de capturar as evidências, envolve o responsável pela proteção de dados e ajuda a fechar a lacuna nas inscrições.

Caso sintético. O incidente é sintético.

Erros e limites

Alterar configurações antes de registrá-las pode destruir evidências.

Exercícios

• EX064 — Base do procedimento. Quais funções do CSF 2.0 moldam o procedimento? Rubrica: 3 = Responder e Recuperar;; 2 = parcialmente correto;; 1 = outras;; 0 = nenhuma.

• EX065 — Regra de encaminhamento. O que Jamal encontrou na caixa postal? Rubrica: 3 = uma regra que encaminha e-mails para fora;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

• EX066 — Causa raiz. O que causou o incidente? Rubrica: 3 = a inscrição atrasada na MFA;; 2 = parcialmente correto;; 1 = vago;; 0 = nenhuma.

Continue estudando — aula 22 (capítulo 22 de 30)

← Capítulo 21 · Índice das aulas · Capítulo 23 →

Continue para a próxima aula já escrita.