SOC - Incidentes (contenção, eliminação, restauração)

 

A contenção, eliminação e a recuperação são fases cruciais do ciclo de vida de resposta a incidentes. Estas etapas têm como objetivo limitar os danos causados por um incidente de segurança, eliminar a ameaça do ambiente e restabelecer as operações normais, evitando futuros incidentes.

 

Contenção

A contenção de incidentes envolve a implementação de medidas para limitar o impacto de um incidente de segurança e impedir a sua propagação. A contenção efectiva é fundamental para minimizar os danos e preparar a erradicação e restauração. Vejamos a seguir algumas das medidas a implementar:
Contenção a curto prazo - Implementar acções imediatas para impedir a escalada do incidente. Isto pode incluir a desconexão dos sistemas afectados da rede, o bloqueio de endereços IP maliciosos ou a desativação de contas comprometidas.
Isolamento do sistema - isolar os sistemas comprometidos para impedir o movimento lateral do atacante. Assegurar que o isolamento não perturbe as funções críticas da empresa.
Segmentação de redes - utilizar a segmentação da rede para conter o incidente numa parte específica da rede, reduzindo o risco de afetar outros sistemas.
Verificação de cópias de segurança - assegurar que as cópias de segurança estão actualizadas e são seguras. Verificar a sua integridade para evitar a perda de dados durante a fase de contenção.
Plano de comunicação - Desenvolver um plano de comunicação para informar as partes interessadas e coordenar os esforços de contenção sem alertar supostos atacantes.

Uma vez contido o incidente, o passo seguinte é remover a ameaça do ambiente, envolvendo a identificação e a eliminação de todos os elementos da ameaça para garantir que ela não volte a ocorrer. A destacar:
Análise da causa raiz - efetuar uma análise exaustiva para determinar a causa principal do incidente. Compreender como a ameaça entrou no ambiente é crucial para uma erradicação eficaz.
Remover o malware - uso de ferramentas especializadas para detectar e remover o malware dos sistemas afectados. Assegurar que todos os vestígios do software malicioso são aliminados.
Reforçar o sistema - aplicar patches de segurança, actualizar o software e implementar alterações de configuração para corrigir vulnerabilidades exploradas pelo atacante.
Redefinição de credenciais - alterar palavras-passe e credenciais que possam ter sido comprometidas durante o incidente. Certificar-se de que novas credenciais seguem políticas de segurança fortes.
Envolvimento de terceiros - Se o incidente envolver serviços ou fornecedores terceiros, coordenar com eles para garantir a eliminação total da ameaça.

 

Restauração

Esta fase centra-se no restabelecimento das operações normais e na garantia de que os sistemas estão seguros e totalmente funcionais. Também envolve a verificação de que a ameaça foi completamente eliminada. Vejamos alguns pontos importantes:
Restauração do sistema - restaurar sistemas a partir de cópias de segurança limpas ou reconstruí-los a partir do zero, se necessário. Certificar-se de que os sistemas restaurados estão livres de malware e vulnerabilidades.
Testes e validação - realizar testes exaustivos para validar se os sistemas estão a funcionar corretamente e de forma segura. Isto inclui testes de segurança para confirmar se as vulnerabilidades foram de facto eliminadas.
Controlo e verificação - implementar uma monitoria melhorada para detectar quaisquer sinais de reaparecimento da ameaça. A monitoria contínua ajuda a garantir que o ambiente permaneça seguro.
Continuidade das actividades - assegurar que as operações foram restabelecidas e com o mínimo de perturbações. Coordenar com outras unidades da organização para verificar se funções críticas voltaram ao normal.
Documentação e revisão - documentar todas as acções de recuperação e lições aprendidas. Efetuar uma análise pós-incidente para identificar áreas a melhorar e actualizar os planos de resposta a incidentes em conformidade.

A contenção, eliminação e recuperação eficazes são essenciais para atenuar o impacto dos incidentes de segurança e garantir uma defesa sólida contra ameaças futuras. Seguindo estes passos, organizações podem manter a resiliência e proteger seus activos críticos.