Cenário 04 / 10 · NIST SP 800-61 REV. 3

Atualização de fornecedor comprometida

Uma atualização assinada de fornecedor alcança vários endpoints antes de o fornecedor alertar sobre possível comprometimento da compilação.

Cenário fictício para estudo; nenhuma pessoa ou sistema real é descrito.

Limite de segurança e autoridade

Não presuma que uma assinatura válida prova segurança; separe instalação confirmada de comportamento malicioso suspeito.

01 / 05

Preparação

GV · ID · PR

Uma atualização assinada de fornecedor alcança vários endpoints antes de o fornecedor alertar sobre possível comprometimento da compilação.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Juniper Equipe de evidências	Preparou a rota de evidências	Nomeou fontes somente de leitura e responsáveis para: O comportamento dos endpoints muda após a instalação, mas o aviso preliminar ainda não lista todas as versões afetadas.	O primeiro alerta precisa de origem e horário verificáveis.
Kestrel Equipe de serviço	Ensaiou a continuidade segura	Testou em isolamento uma versão de: Reimplante versão anterior verificada por caminho de reversão aprovado após testar dependências de negócio.	Recuperação apressada pode agravar o impacto no serviço.
Lumen Equipe de decisão	Definiu autoridade e escalonamento	Atribuiu responsáveis e condições de aprovação para: Não presuma que uma assinatura válida prova segurança; separe instalação confirmada de comportamento malicioso suspeito.	Segurança, privacidade e comunicação exigem decisão atribuída.

02 / 05

Detecção e análise

O comportamento dos endpoints muda após a instalação, mas o aviso preliminar ainda não lista todas as versões afetadas.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Juniper Equipe de evidências	Avaliou o sinal	Preservou origem, horário UTC e confirmação independente de: O comportamento dos endpoints muda após a instalação, mas o aviso preliminar ainda não lista todas as versões afetadas.	Um alerta é pista, não prova de causa ou abrangência.
Kestrel Equipe de serviço	Mediu impacto nos usuários	Comparou o serviço real com a linha de base: Uma atualização assinada de fornecedor alcança vários endpoints antes de o fornecedor alertar sobre possível comprometimento da compilação.	Alertas técnicos sozinhos não comprovam impacto operacional.
Lumen Equipe de decisão	Abriu caso delimitado	Registrou fatos confirmados, incógnitas, responsável e horário da próxima revisão.	As equipes se coordenam sem exagerar as evidências.

03 / 05

Resposta e contenção

Não presuma que uma assinatura válida prova segurança; separe instalação confirmada de comportamento malicioso suspeito.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Juniper Equipe de evidências	Preservou e delimitou evidências	Guardou registros originais e definiu caminho limitado para: Pause a distribuição, preserve hashes dos pacotes e registros de instalação e isole hosts apenas onde houver evidência de impacto.	A contenção não deve destruir a base da revisão posterior.
Kestrel Equipe de serviço	Aplicou o controle aprovado	Executou: Pause a distribuição, preserve hashes dos pacotes e registros de instalação e isole hosts apenas onde houver evidência de impacto.	Mudança reversível e aprovada reduz danos sem ampliar o escopo.
Lumen Equipe de decisão	Autorizou e comunicou	Registrou aprovador, pessoas afetadas e limite: Não presuma que uma assinatura válida prova segurança; separe instalação confirmada de comportamento malicioso suspeito.	Ações exigem autoridade clara e aviso proporcional.

04 / 05

Recuperação

Reimplante versão anterior verificada por caminho de reversão aprovado após testar dependências de negócio.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Juniper Equipe de evidências	Verificou persistência	Comparou nova telemetria com: Um hash de versão não afetada está presente, fluxos essenciais passam e o monitoramento não encontra recorrência suspeita.	Serviço aparentemente saudável ainda pode estar comprometido.
Kestrel Equipe de serviço	Restaurou em etapas	Executou: Reimplante versão anterior verificada por caminho de reversão aprovado após testar dependências de negócio.	O retorno gradual testa dependências antes de ampliar o acesso.
Lumen Equipe de decisão	Aceitou o resultado operacional	Pediu aprovação do responsável somente após: Um hash de versão não afetada está presente, fluxos essenciais passam e o monitoramento não encontra recorrência suspeita.	Recuperação é decisão de serviço, não apenas painel verde.

05 / 05

Melhoria

ID.IM

Exija implantação em etapas, contato com fornecedor, proveniência do artefato assinado e ensaio de reversão.

Sua decisão. Antes de abrir a resposta, decida o que cada equipe nomeada deve fazer, como, por quê, quem aprova e qual evidência mudaria a decisão.

Mostrar a resposta comentada das equipes

Equipe	O que fez	Como fez	Por que fez
Juniper Equipe de evidências	Transformou incerteza em teste	Documentou lacuna de evidência e propôs: Exija implantação em etapas, contato com fornecedor, proveniência do artefato assinado e ensaio de reversão.	Uma lição exige verificação futura mensurável.
Kestrel Equipe de serviço	Ensaiou o controle alterado	Atribuiu responsável e data para testar: Exija implantação em etapas, contato com fornecedor, proveniência do artefato assinado e ensaio de reversão.	Item não testado não é melhoria verificada.
Lumen Equipe de decisão	Fechou registro de decisões	Aprovou recursos, acompanhou o responsável e verificou depois o controle.	O aprendizado deve alimentar Governar, Identificar e Proteger.

Critério de aceitação da recuperação

Um hash de versão não afetada está presente, fluxos essenciais passam e o monitoramento não encontra recorrência suspeita.

Melhoria a verificar

Exija implantação em etapas, contato com fornecedor, proveniência do artefato assinado e ensaio de reversão.