Um incidente acontece, e alguém precisa responder duas perguntas ao mesmo tempo: o que aconteceu, e como parar isso agora. A primeira pergunta é forense. A segunda é resposta a incidentes. DFIR junta as duas disciplinas porque, na prática, elas não dão pra separar: você investiga enquanto contém, e contém enquanto ainda está entendendo o que está acontecendo.
Não existe um curso único que te entrega isso pronto. DFIR é uma pilha de conhecimentos técnicos, cada um profundo o suficiente pra virar carreira sozinho, que precisam funcionar juntos sob pressão. Separei o que considero essencial pra quem quer atuar nessa área de verdade, não só saber o nome das ferramentas.
Fundamentos de sistemas operacionais e redes
Antes de qualquer ferramenta forense, você precisa entender o que está investigando por baixo dos panos. Sistema de arquivos NTFS e ext4, como o Windows registra execução de processo, o que fica no Registro do Windows, como o Linux trata processos e descritores de arquivo. Sem isso, qualquer ferramenta forense vira uma caixa preta que cospe resultado sem você saber se está certo.
O mesmo vale pra rede: TCP/IP na prática, não só o modelo OSI decorado. Você precisa reconhecer tráfego normal pra identificar o anômalo, e isso só vem de entender como os protocolos funcionam de verdade.
Forense de disco e sistema de arquivos
A base clássica do DFIR: imagem forense bit a bit do disco, preservando cadeia de custódia, e análise sem alterar a evidência original. Isso inclui recuperação de arquivo deletado, análise de timeline (quando um arquivo foi criado, modificado, acessado), e leitura de artefatos do sistema operacional (prefetch, shimcache, amcache no Windows, por exemplo) que mostram o que rodou numa máquina mesmo depois de apagado.
Ferramentas como Autopsy, FTK e Sleuth Kit fazem parte do dia a dia aqui. Mas a ferramenta não substitui entender o que ela está te mostrando.
Forense de memória
Boa parte do malware moderno roda só em memória, sem tocar disco, pra escapar da forense tradicional. Analisar um dump de RAM com Volatility Framework (ou equivalente) pra encontrar processo malicioso, injeção de código, conexão de rede escondida ou credencial em texto claro é uma habilidade separada da forense de disco, e cada vez mais necessária.
Só examinar disco deixa você cego pra uma fatia inteira de ataques modernos.
Análise de log e correlação em SIEM
Na prática, a maior parte de uma investigação não começa com imagem de disco. Começa com log: Windows Event Log, Sysmon, log de firewall, log de proxy, log de autenticação. Saber ler um Event ID 4624 (logon) ou 4688 (criação de processo) e cruzar isso com outros eventos é o que transforma um alerta isolado numa timeline de ataque completa.
Ferramentas como Splunk, Microsoft Sentinel ou Elastic Security fazem a correlação em escala, mas exigem que você saiba o que procurar. SIEM sem analista que entende os dados é só um lugar caro pra guardar log.
Forense de rede
Captura de pacote (pcap) com Wireshark, análise de fluxo com Zeek, reconhecimento de exfiltração de dados, C2 (comando e controle) e movimentação lateral no tráfego. Muita evidência que não sobrevive no host sobrevive no tráfego de rede, porque é mais difícil pro atacante apagar o que já passou pelo fio.
Análise básica de malware
Você não precisa ser reverso de malware pra atuar em DFIR, mas precisa saber fazer uma triagem: identificar se um binário é malicioso, rodar em sandbox, extrair indicadores de comprometimento (hash, IP, domínio, string) pra alimentar a investigação e o bloqueio. Análise dinâmica básica (rodar e observar comportamento) já resolve a maior parte dos casos do dia a dia.
Metodologia de resposta a incidentes
Conhecimento técnico sem processo vira caos numa crise real. O ciclo clássico, baseado no NIST SP 800-61, estrutura o trabalho em seis fases:
- Preparação: playbooks prontos, ferramentas configuradas, equipe treinada antes do incidente acontecer.
- Identificação: confirmar que é, de fato, um incidente, e entender o escopo inicial.
- Contenção: isolar sistemas comprometidos sem destruir evidência nem avisar o atacante antes da hora.
- Erradicação: remover a causa raiz, não só o sintoma, backdoor, persistência, vulnerabilidade explorada.
- Recuperação: voltar sistemas ao ar com monitoramento reforçado, confirmando que o atacante não voltou.
- Lições aprendidas: documentar o que funcionou e o que não funcionou, pra melhorar a próxima resposta.
Seguir esse ciclo de cabeça, sob pressão, é o que separa quem administra uma crise de quem só reage a ela.
Cadeia de custódia e aspectos legais
Evidência coletada errado vira inútil, mesmo que correta do ponto de vista técnico. Cadeia de custódia documentada, hash de integridade em cada etapa, e entendimento de LGPD quando dados pessoais estão envolvidos protegem tanto a investigação quanto você. Isso importa em especial quando o caso pode virar processo judicial ou ação regulatória.
Comunicação e documentação
A parte menos técnica é, muitas vezes, a que mais pesa no resultado final. Um relatório técnico que só faz sentido pra outro analista forense não serve pra um board decidir se paga resgate ou não. Saber traduzir achado técnico em risco de negócio, com prazo curto e sob pressão, é habilidade tão rara quanto saber ler um dump de memória.
Certificações que valem a pena olhar
GCFE e GCFA (forense, GIAC/SANS), GCIH (resposta a incidentes), CEH e CHFI, e Security+ como base. Nenhuma substitui experiência prática de caso real, mas ajudam a estruturar o estudo e abrem porta em processo seletivo.
Glossário de siglas
| Sigla | Significado |
|---|---|
| DFIR | Digital Forensics and Incident Response |
| SIEM | Security Information and Event Management |
| C2 | Command and Control |
| NIST | National Institute of Standards and Technology |
| TCP/IP | Transmission Control Protocol / Internet Protocol |
| NTFS | New Technology File System |
| LGPD | Lei Geral de Proteção de Dados |
| GCFE | GIAC Certified Forensic Examiner |
| GCFA | GIAC Certified Forensic Analyst |
| GCIH | GIAC Certified Incident Handler |
| CEH | Certified Ethical Hacker |
| CHFI | Computer Hacking Forensic Investigator |
Conclusão: por onde começar
Ninguém domina tudo isso de uma vez. Comece pelos fundamentos de sistema operacional e rede, porque toda ferramenta forense depende deles. Depois avance pra log e SIEM, onde a maioria dos incidentes reais começa a aparecer, e só então mergulhe em forense de disco e memória, que exigem mais profundidade técnica. Metodologia de resposta e comunicação você desenvolve em paralelo, de preferência participando de simulações antes de encarar um incidente de verdade.
Se você quer uma base sólida antes de se especializar em DFIR, redes, hardening, identidade e os fundamentos de blue team que sustentam toda investigação estão no Cybersecurity Specialist: 40 horas, com módulo dedicado a threat intelligence, OSINT, análise de malware e threat hunting, os mesmos temas que aparecem o tempo todo numa investigação real.
Entra na comunidade
Quer trocar ideia com quem trabalha com DFIR no dia a dia, ou acompanhar casos reais sendo analisados por gente da comunidade? Entra no nosso Discord: discord.com/invite/6h6D9W7DFj.
Seja o primeiro a comentar