Triagem, delimitação de escopo e contenção

Perguntas de triagem

• Qual é o alerta e ele é verdadeiro? Descarte rapidamente um falso positivo com uma segunda fonte de dados.
• O que foi afetado: quais hosts, identidades, contas, serviços e dados?
• Quando começou? O primeiro alerta raramente é o primeiro evento; olhe para trás.
• O que o atacante tem agora: credenciais, persistência, uma base na nuvem?
• Há dados saindo e a atividade continua?
• Qual é o impacto no negócio e que severidade isso implica?

Opções de contenção

• Identidade: redefina credenciais, revogue sessões e tokens, desative a conta ou chave de acesso, exija nova autenticação com um segundo fator.
• Endpoint: isole o host na rede por meio do EDR (ele continua ligado e acessível às suas ferramentas), em vez de desligá-lo e perder a memória.
• Rede: bloqueie endereços e domínios conhecidamente maliciosos, restrinja o egress, mova o sistema para um segmento de quarentena.
• Nuvem: política deny-all no papel comprometido, security group de quarentena na instância, snapshot do volume antes de qualquer mudança.
• Aplicação: desative o recurso vulnerável ou desvie o tráfego com uma regra de WAF enquanto a correção é construída.

Exemplo em nuvem: conter uma chave de acesso vazada

# 1. impeça a chave de funcionar (mantenha-a; não exclua, você precisa dela como evidência)
aws iam update-access-key --user-name build-bot --access-key-id AKIAEXAMPLEKEY --status Inactive

# 2. negue tudo para o usuário enquanto investiga
aws iam attach-user-policy --user-name build-bot --policy-arn arn:aws:iam::aws:policy/AWSDenyAll

# 3. isole uma instância suspeita com um security group que não permite nada
aws ec2 modify-instance-attribute --instance-id i-0abc123 --groups sg-0quarantine

# 4. preserve o disco dela antes de qualquer limpeza
aws ec2 create-snapshot --volume-id vol-0abc123 --description "INC-2026-0142 evidence" \
  --tag-specifications 'ResourceType=snapshot,Tags=[{Key=incident,Value=INC-2026-0142}]'

Erros a evitar

• Apagar ou reinstalar antes de coletar evidências: você perde a resposta de como eles entraram.
• Conter apenas o host que você encontrou: o atacante tem outros pontos de apoio, então delimite o escopo primeiro ou contenha de forma ampla de uma vez.
• Redefinir uma senha mas deixar sessões, tokens, chaves de API e regras de caixa de correio ativos.
• Alertar o atacante ao mudar coisas aos poucos ao longo de dias; coordene a contenção em uma única janela decisiva.
• Esquecer de registrar quem fez o quê e quando.