“Só há dois tipos de empresas no mundo: as que foram violadas e sabem disso e as que foram violadas e não sabem disso.”
— Ted Schlein
Essa citação é assustadora! É impossivel garantir que uma empresa não será atacada. Um ataque cibernético pode acontecer a qualquer momento e ser devastador, principalmente se comprometer informações críticas e sensíveis, esse ataque pode interromper todos os serviços da corporação.
Mas o que é um incidente de segurança cibernética, como identificar esses eventos e, como responder a eles?
O que é um incidente de segurança cibernética?
Um incidente de segurança ocorre quando a integridade, confidencialidade ou disponibilidade de informações ou sistemas é comprometida. Esses incidentes podem ser causados por fatores internos ou externos, incluindo:
- Vazamento de informações sensíveis: Dados críticos ou pessoais acessados ou divulgados de forma não autorizada.
- Ataques de ransomware: Invasores criptografam arquivos importantes e exigem um resgate.
- Ataques de negação de serviço (DDoS): O acesso a serviços essenciais é interrompido por tráfego malicioso.
A resposta a um incidente nos ajuda a minimizar os danos, restaurar a operação normal dos sistemas e implementar medidas corretas de prevenção. Ter um plano eficiente irá reduzier os impactos financeiros, legais (LGPS, GDPR) e operacionais, e algo que preocupa a maioria dos CEOs, preservar a reputação da empresa, pois depois de um grande incidente essa é uma das tarefas mais dificeis.
Etapas de resposta a incidentes
Para responder de forma eficiente a incidentes cibernéticos, é fundamental seguir um conjunto de etapas:
Preparação
A preparação é a base de uma boa resposta a incidentes. Isso envolve a criação de uma equipe de resposta (CSIRT), definição de procedimentos, realização de treinamentos periódicos e a manutenção de contatos atualizados com fornecedores e parceiros.
Detecção e análise
A identificação rápida de um incidente é essencial para mitigar seus efeitos. Alguns sinais comuns incluem:
- Múltiplas falhas de login
- Picos de tráfego incomuns
- Alertas de antivírus sobre malware
Após a identificação, é necessário classificar o incidente, analisar seu impacto e determinar as ações imediatas.
Contenção
O objetivo dessa fase é evitar que o incidente se espalhe. Isso pode envolver o isolamento de máquinas afetadas, a desativação temporária de serviços comprometidos e a preservação de evidências para investigação.
Erradicação
Com a contenção estabelecida, a causa raiz precisa ser eliminada. Pode ser necessário remover malware, bloquear acessos não autorizados ou corrigir vulnerabilidades.
Recuperação
Após a eliminação do problema, os sistemas são restaurados ao estado normal. Nesta etapa, é importante verificar se as medidas de mitigação foram eficazes.
Lições aprendidas
Finalmente, é essencial documentar todo o processo, identificar melhorias no plano de resposta e treinar a equipe para futuras situações. Esta fase fortalece a resiliência organizacional.
Papéis e responsabilidades no processo
Durante um incidente, várias equipes e especialistas são envolvidos na resposta, entre eles:
- CSIRT (Computer Security Incident Response Team): Coordena todas as etapas do incidente, organizando as ações de contenção, mitigação, recuperação e documentação.
- Executivos: Avaliam o impacto no negócio, tomam decisões estratégicas e alocam recursos necessários para lidar com o incidente.
- Equipe técnica: Responsável pela execução das medidas de segurança, incluindo investigações iniciais, contenção do ataque, recuperação de sistemas e implementação de melhorias.
- Comunicação: Gerencia a comunicação interna e externa sobre o incidente, garantindo que informações sejam repassadas de forma segura e adequada aos stakeholders.
- Equipe jurídica: Garante que as medidas adotadas durante o incidente estejam em conformidade com as leis e regulações aplicáveis, incluindo proteção de dados e notificação de violações.
- DFIR (Digital Forensics and Incident Response): Realiza uma investigação detalhada do incidente, focando na coleta e preservação de evidências digitais. Analisa logs, arquivos e tráfego de rede para identificar a causa raiz, mapear as ações do atacante e fornecer informações críticas para a prevenção de futuros incidentes. Trabalha em colaboração com o CSIRT e outras equipes para fornecer suporte técnico aprofundado.
CSIRT (Computer Security Incident Response Team)
O CSIRT é uma equipe dedicada a gerenciar a resposta a incidentes de segurança dentro de uma organização. Seu foco principal é prevenir, identificar, analisar, conter e mitigar incidentes de segurança cibernética. O CSIRT geralmente realiza atividades como:
- Monitoramento contínuo e detecção de ameaças.
- Resposta imediata a ataques ou violações de segurança.
- Coordenação com diferentes setores para ações rápidas de contenção e recuperação.
- Análise de vulnerabilidades e recomendações para melhoria da segurança.
- Treinamento de equipes e conscientização sobre segurança cibernética.
Objetivo: Minimizar o impacto de incidentes e garantir a recuperação rápida dos sistemas.
DFIR (Digital Forensics and Incident Response)
O DFIR é uma prática mais especializada que combina duas áreas:
- Forense Digital: Investigação detalhada dos incidentes, com foco na coleta de evidências digitais para análise, rastreamento da origem e determinação do método de ataque.
- Resposta a Incidentes: Contenção, recuperação e documentação do ocorrido.
As atividades de DFIR incluem:
- Coleta e preservação de evidências digitais para investigações legais ou internas.
- Análise profunda de logs, arquivos e tráfego de rede para identificar a causa raiz.
- Reconstrução dos eventos para entender como o ataque ocorreu.
- Colaboração com órgãos de investigação, se necessário.
Objetivo: Entender o incidente em detalhes, descobrir responsáveis e melhorar a segurança com base nos aprendizados.
Normas e frameworks para resposta a incidentes
Para padronizar e melhorar a resposta a incidentes, algumas normas e frameworks são amplamente utilizados:
- NIST SP 800-61: Oferece diretrizes detalhadas sobre como gerenciar incidentes.
- ISO/IEC 27035: Normativa internacional para gestão de incidentes.
- MITRE ATT&CK: Traz mapeamentos de táticas e técnicas utilizadas por atacantes.
- ITIL: Foca na gestão de serviços e inclui procedimentos de resposta a incidentes.
Esses frameworks ajudam a garantir que os processos sejam eficientes, auditáveis e em conformidade com as melhores práticas.
E como é no Brasil?
No Brasil, a resposta a incidentes cibernéticos é coordenada por órgãos especializados que promovem a comunicação estratégica e a colaboração entre entidades públicas e privadas. Um dos principais é o Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov), responsável por coordenar ações de prevenção e resposta a incidentes no âmbito federal.
Além disso, foi instituída a Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC), que visa prevenir ameaças cibernéticas e elevar o nível de resiliência em segurança dos ativos de informação dos órgãos e entidades da administração pública federal. A ReGIC promove a cooperação entre seus participantes, compartilhando alertas sobre ameaças e vulnerabilidades cibernéticas, e divulgando informações sobre ataques cibernéticos.
No setor privado, o Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br), mantido pelo NIC.br, presta serviços na área de gestão de incidentes de segurança da informação para qualquer rede que utilize recursos administrados pelo NIC.br. O CERT.br desenvolve projetos de análise de tendências de ataques e oferece materiais de apoio para a estruturação e operação de equipes de resposta a incidentes.
Conclusão
Ninguém está 100% imune a incidentes de segurança, mas o segredo está em estar preparado. Ter uma estratégia bem definida e equipes treinadas com certeza irá fazer toda a diferença na hora do incidente.
Se a sua empresa ainda não tem um plano de resposta, é hora de criar um plano! Não espere o pior para começar a agir. Portanto, capacite sua equipe e fortaleça suas defesas!
Referências Técnicas
- Public Power Cyber Incident Response Playbook
Guia detalhado sobre resposta a incidentes cibernéticos, fornecido pela American Public Power Association. - NIST Special Publication 800-61
Guia do National Institute of Standards and Technology sobre resposta a incidentes de segurança cibernética.
Disponível em: NIST SP 800-61 - ISO/IEC 27035
Norma internacional para gestão de incidentes de segurança da informação. - CERT.br (Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil)
Oferece apoio e coordenação no gerenciamento de incidentes para redes no Brasil.
Disponível em: CERT.br - CTIR Gov (Centro de Tratamento e Resposta a Incidentes Cibernéticos de Governo)
Coordena ações de resposta a incidentes no âmbito do governo federal brasileiro.
Disponível em: CTIR Gov - Rede Federal de Gestão de Incidentes Cibernéticos (ReGIC)
Rede de cooperação interinstitucional para a resposta a incidentes no Brasil.
Disponível em: ReGIC - MITRE ATT&CK
Framework que descreve táticas e técnicas utilizadas por adversários cibernéticos.
Disponível em: MITRE ATT&CK - Norma Complementar nº 08/IN01/DSIC/GSIPR
Estabelece diretrizes de gestão de incidentes no âmbito da administração pública federal brasileira.
Disponível em: Norma Complementar nº 08
Seja o primeiro a comentar