Plano de Resposta a Incidentes vs. Playbook: Qual a Diferença

O que é um Plano de IR

O tópico 'O que é um Plano de IR' é uma parte central do trabalho sobre Plano de Resposta a Incidentes vs. Playbook. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe a fonte da evidência, o tempo de recolha e o fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão, as ações de resposta realizadas, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

O que é um Playbook

O tópico 'O que é um Playbook' é uma parte central do trabalho sobre Plano de Resposta a Incidentes vs. Playbook. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe a fonte da evidência, o tempo de recolha e o fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão, as ações de resposta realizadas, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Runbook e Lista de Verificação

O tópico 'Runbook e Lista de Verificação' é uma parte central do trabalho sobre Plano de Resposta a Incidentes vs. Playbook. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe a fonte da evidência, o tempo de recolha e o fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão, as ações de resposta realizadas, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Matriz de Responsabilidade e Relações

O tópico 'Matriz de Responsabilidade e Relações' é uma parte central do trabalho sobre Plano de Resposta a Incidentes vs. Playbook. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe a fonte da evidência, o tempo de recolha e o fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão, as ações de resposta realizadas, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Exemplos de Documentos

O tópico 'Exemplos de Documentos' é uma parte central do trabalho sobre Plano de Resposta a Incidentes vs. Playbook. Recomenda-se dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para a justificar. Estas perguntas evitam o uso automático de uma ferramenta sem compreender o objetivo.

Na prática, registe a fonte da evidência, o tempo de recolha e o fuso horário, o Hash e a Cadeia de Custódia, a ferramenta e a versão, as ações de resposta realizadas, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Focos de Análise Únicos

Neste tópico, é aconselhável construir antecipadamente um mapa de evidências focado. Os principais focos de análise são: fonte da evidência, tempo de recolha e fuso horário, Hash e Cadeia de Custódia, ferramenta e versão, ações de resposta realizadas, Linha do Tempo e pressupostos de trabalho. A lista não é uma Lista de Verificação automática; cada item é selecionado porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

• Fonte da evidência: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.
• Tempo de recolha e fuso horário: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.
• Hash e Cadeia de Custódia: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.
• Ferramenta e versão: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.
• Ações de resposta realizadas: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.
• Linha do Tempo e pressupostos de trabalho: Defina o valor esperado, o que seria considerado anómalo e qual fonte adicional confirmaria a descoberta.

Quando um dos focos não está disponível, o hiato deve ser documentado e uma alternativa escolhida. Por exemplo, se o identificador de processo não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload for encriptado, usam-se Metadados, volume, frequência e contexto TLS/DNS.

Processo de Trabalho Recomendado

1. Defina o Scope e uma questão de trabalho sobre Plano de Resposta a Incidentes vs. Playbook.
2. Registe as fontes de dados e as evidências necessárias: fonte da evidência, tempo de recolha e fuso horário, Hash e Cadeia de Custódia, ferramenta e versão.
3. Crie uma Baseline curta de comportamento normal ou resultado esperado.
4. Realize a análise mínima num ambiente de laboratório e guarde o tempo, entrada e saída.
5. Construa uma Linha do Tempo ou tabela de comparação e separe os factos da interpretação.
6. Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
7. Resuma a decisão, as limitações, a ação recomendada e o critério de Reteste.

Cenário Prático

O cenário escolhido é a construção de uma hierarquia de documentos para uma organização simulada. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, são definidos dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, deve ser submetido um produto que outro analista ou auditor possa revisar: uma captura de ecrã ou Export da evidência, uma breve Linha do Tempo, uma hipótese inicial, evidência de confirmação, limitação e recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Lista de Verificação Prática

• ✓Verifique e documente: fonte da evidência.
• ✓Verifique e documente: tempo de recolha e fuso horário.
• ✓Verifique e documente: Hash e Cadeia de Custódia.
• ✓Verifique e documente: ferramenta e versão.
• ✓Verifique e documente: ações de resposta realizadas.
• ✓Verifique e documente: Linha do Tempo e pressupostos de trabalho.
• ✓Indique o Fuso Horário, a versão da ferramenta e a hora de recolha.
• ✓Guarde os dados brutos antes de filtrar ou alterar.
• ✓Escreva o que a descoberta prova e o que ainda é desconhecido.
• ✓Defina o proprietário e a próxima ação com uma data.

Erros Comuns

• Alterar o sistema antes de preservar as evidências.
• Não documentar o fuso horário.
• Não calcular o Hash.
• Misturar factos e suposições.
• Não documentar quem deteve as evidências.
• Preferir a integridade teórica em detrimento da contenção imediata de danos.

Resumo e CTA

Plano de Resposta a Incidentes vs. Playbook: Qual a Diferença é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, preserve o contexto e o tempo, e escolha uma ação que possa ser justificada e reavaliada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, registos e laboratórios. O próximo passo natural é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes