pular para o conteúdo
sec/atlas
base de conhecimento · resposta a incidentes e forense

Resposta a incidentes, do alerta à evidência.

Como se preparar para, detectar, conter e investigar uma intrusão: o ciclo de vida, threat hunting e inteligência, ransomware, forense e triagem de malware.

$ clique num card para ver os detalhes · ctrl+k para buscar

mapa de aprendizado

Os tópicos estão organizados por nível, dos fundamentos ao avançado. As setas vão do pré-requisito para o que se apoia nele. Selecione um tópico para ver uma prévia ou siga o próximo passo destacado.

Seu próximo passo

0 de 8 estudados
começar este tópico

01 Fundamentos

As ideias sobre as quais todo o resto se apoia.

02 Prática

Aplique os controles e faça-os funcionar na prática.

03 Avançado

Projete, escale e opere em profundidade.

  • estudado
  • pronto para estudar
  • faltam pré-requisitos

da preparação à evidência

Preparar, detectar, responder, investigar: cada fase alimenta a próxima e a última melhora a primeira. Cada chip abre o tópico correspondente.

  1. 01preparar

    decidir antes da crise

    papéis, severidade e comunicaçãoquem nos ataca e comoexercícios de mesa (tabletop)

    gate: a primeira hora de um incidente é um procedimento ensaiado, não um improviso

  2. 02detectar

    encontrar o que os alertas deixaram passar

    busca guiada por hipótesetimestamps limpos e pivôscaças viram detecções

    gate: toda técnica confirmada deixa uma detecção automatizada para trás

  3. 03responder

    parar o dano, preservar a evidência

    primeiro delimitar o escopo, depois contero playbook de ransomwarerecuperar a partir de um estado confiável

    gate: a contenção é proporcional, coordenada e registrada

  4. 04investigar

    entender exatamente o que aconteceu

    evidência, ordem de volatilidade, custódiatriagem segura de um arquivo suspeitorevisão pós-incidente sem culpados

    gate: o relatório explica como entraram, o que fizeram e o que muda

tópicos

O ciclo de vida da resposta a incidentes
O momento de um incidente não é hora de inventar um processo. As equipes que respondem bem definiram papéis, níveis de severidade e canais de comunicação muito antes de algo quebrar.
conceito· etapa: prepare
Inteligência de ameaças
Uma lista de endereços IP maliciosos é dado. Inteligência é saber quais adversários miram em você, o que eles fazem e o que isso significa para suas prioridades, com um nível de confiança associado.
conceito· etapa: prepare
Threat hunting
A detecção espera uma regra disparar. O hunting assume que algo já pode estar dentro e busca as evidências, depois transforma o que encontra em detecções permanentes.
prática· etapa: detect
Análise de logs e construção de uma linha do tempo
Toda investigação termina como uma linha do tempo: primeiro acesso, o que tocaram, como se movimentaram, o que levaram. A qualidade dessa linha do tempo depende de timestamps limpos e bons pivôs.
técnica· etapa: detect
Triagem, delimitação de escopo e contenção
A primeira hora gira em torno de duas perguntas: até onde isso chegou e qual é a forma menos danosa de parar? Responda na ordem certa e mantenha as evidências intactas.
prática· etapa: respond
Playbook de resposta a ransomware
Ransomware é uma crise de negócio com um núcleo técnico. As equipes que se recuperam bem tinham backups funcionando, praticaram o playbook e tomaram as decisões difíceis antes da pressão.
prática· etapa: respond
Fundamentos de forense digital
Forense é a disciplina da evidência: colete-a de modo que não possa ser contestada, analise cópias em vez de originais e documente cada passo para que outro perito chegue ao mesmo resultado.
técnica· etapa: investigate
Fundamentos de análise de malware
O objetivo não é admirar o malware, mas responder perguntas práticas: o que ele faz, como persiste, como fala com seu operador e como o detectamos e removemos?
técnica· etapa: investigate