Playbook de resposta a ransomware
Ransomware é uma crise de negócio com um núcleo técnico. As equipes que se recuperam bem tinham backups funcionando, praticaram o playbook e tomaram as decisões difíceis antes da pressão.
O que acontece
Os ataques modernos de ransomware costumam ser operados por humanos. Um atacante entra (credenciais roubadas, um serviço exposto, um link de phishing), explora, rouba dados, remove ou corrompe backups e então criptografa o maior número possível de sistemas de uma só vez, muitas vezes fora do horário comercial. Muitos grupos também ameaçam publicar os dados roubados, então restaurar os arquivos não encerra o incidente.
Primeiras horas
- Isole da rede os sistemas afetados (não os desligue se puder evitar; a memória pode conter chaves e evidências).
- Declare um incidente grave, abra o canal fora de banda e envolva o jurídico, a comunicação, os executivos e sua seguradora ou empresa contratada.
- Proteja os backups: desconecte ou bloqueie o sistema de backup agora, antes que seja criptografado ou apagado.
- Identifique o escopo: quais sistemas, quais contas, quais dados e se credenciais em nível de domínio estão comprometidas.
- Preserve as evidências: nota de resgate, amostras de arquivos criptografados, logs, memória e imagens de disco dos sistemas principais.
- Redefina credenciais privilegiadas e tokens de forma controlada, a partir de uma máquina limpa.
Recuperação
- Reconstrua a partir de um estado confiável: restaure de backups verificados como limpos e anteriores ao primeiro acesso do atacante.
- Recupere em ordem de prioridade: primeiro a infraestrutura de identidade, depois os serviços de que o negócio mais precisa.
- Não reconecte os sistemas restaurados até que o ponto de entrada esteja fechado e a persistência removida, ou você será criptografado de novo.
- Monitore de perto depois que cada sistema voltar: o atacante ainda pode ter um ponto de apoio.
- Teste as restaurações antes de precisar delas. Um backup que nunca foi restaurado é uma suposição.
A questão do pagamento
Pagar ou não é uma decisão de negócio e jurídica, não técnica, e deve ser considerada com assessoria jurídica, a seguradora e as autoridades. O pagamento não garante um decryptor funcional nem que os dados roubados serão apagados, e pode trazer exposição legal, como sanções contra o destinatário. Defina sua posição com antecedência como política, para que ela não seja inventada sob pressão.
Reduza as chances e o dano
- Aplique patches nos sistemas expostos à internet e remova serviços de acesso remoto expostos.
- Autenticação multifator para acesso remoto e para toda conta administrativa.
- e administração em camadas, para que uma credencial roubada não alcance tudo.
- Ensaie o playbook com um exercício de mesa, incluindo a decisão de tirar sistemas do ar.
backups:
offline_or_immutable_copy: true # um atacante com admin não consegue apagá-la
restore_test_frequency: quarterly
scope: [domain-controllers, databases, file-servers, config-repos]
identity:
mfa_for_admins_and_remote_access: true
tiered_admin_accounts: true # sem logins de domain admin em estações de trabalho
service_account_review: quarterly
network:
segmentation: [workstations, servers, backup, management]
rdp_exposed_to_internet: false
detection:
edr_coverage: "todos os servidores e endpoints"
alert_on: [mass_file_rename, shadow_copy_deletion, backup_service_stop]
runbook:
out_of_band_comms: "árvore de telefones e chat secundário, guardados offline"
decision_owner_for_payment: "CEO com assessoria jurídica"conexões no mapa
- Triagem, delimitação de escopo e contençãoé especializado paraPlaybook de resposta a ransomware
atualizado em 14/10/2026 · fontes para aprofundar · reportar erro
em outros domínios
- Confiabilidade em escala: idempotência, retries e backpressuresecengbackups que restauram e recuperação em ordem de prioridade
Estude antes
teste o que entendeu
Carregando perguntas…