Resposta a Incidentes de acordo com NIST SP 800-61r3: Guia Prático

O que mudou na Rev.3

O tópico 'O que mudou na Rev.3' é uma parte central do trabalho em Resposta a Incidentes de acordo com NIST. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

No exercício, anote Govern, Identify, Protect, Detect, Respond e Recover, preparação contínua, integração de IR na gestão de riscos, Lessons learned, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Govern, Identify e Protect como infraestrutura

O tópico 'Govern, Identify e Protect como infraestrutura' é uma parte central do trabalho em Resposta a Incidentes de acordo com NIST. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

No exercício, anote Govern, Identify, Protect, Detect, Respond e Recover, preparação contínua, integração de IR na gestão de riscos, Lessons learned, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Detect, Respond e Recover

O tópico 'Detect, Respond e Recover' é uma parte central do trabalho em Resposta a Incidentes de acordo com NIST. Recomenda-se dividi-lo em três perguntas: Qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem entender o objetivo.

No exercício, anote Govern, Identify, Protect, Detect, Respond e Recover, preparação contínua, integração de IR na gestão de riscos, Lessons learned, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Funções, comunicação e documentação

A documentação da Resposta a Incidentes de acordo com NIST deve permitir que uma pessoa que não participou no trabalho entenda o que aconteceu e reproduza a conclusão. Separa-se factos, interpretações, suposições e decisões, e relaciona-se cada afirmação a uma evidência, consulta ou captura de ecrã.

Uma estrutura útil inclui Summary, Scope, Timeline, Evidence, Impact, Actions, Limitations e Next steps. Num relatório de PT, adiciona-se Remediation e Retest; numa investigação, adiciona-se Containment, Recovery e Lessons learned.

Melhoria após um incidente

A melhoria da Resposta a Incidentes de acordo com NIST deve começar com um Baseline. Mede-se o volume, a taxa de casos úteis, o tempo de investigação, as fontes em falta e o motivo do encerramento. Uma alteração que reduz os Alerts mas oculta atividades reais não é um sucesso.

As opções de Tuning incluem limiar, janela de tempo, Allowlist direcionada, Context de ativo, Suppression e exceção baseada num processo aprovado. Cada exceção deve ter um proprietário, validade e condições de cancelamento. Após a alteração, executa-se um Test corpus e compara-se antes/depois.

Pontos de verificação únicos

Neste tópico, é recomendável construir um mapa de evidências focado com antecedência. Os principais pontos de verificação são: Govern, Identify, Protect, Detect, Respond e Recover, preparação contínua, integração de IR na gestão de riscos, Lessons learned. A lista não é uma Checklist automática; cada item é escolhido porque pode ligar uma entidade, uma ação e um tempo ou explicar um comportamento legítimo.

• Govern, Identify, Protect, Detect, Respond e Recover: Defina o valor esperado, o que será considerado uma exceção e qual fonte adicional confirmará a descoberta.
• Preparação contínua: Defina o valor esperado, o que será considerado uma exceção e qual fonte adicional confirmará a descoberta.
• Integração de IR na gestão de riscos: Defina o valor esperado, o que será considerado uma exceção e qual fonte adicional confirmará a descoberta.
• Lessons learned: Defina o valor esperado, o que será considerado uma exceção e qual fonte adicional confirmará a descoberta.

Quando um dos pontos de foco não está disponível, a lacuna deve ser documentada e uma alternativa escolhida. Por exemplo, se o Process identifier não for estável, pode-se usar o tempo, Host, User e Parent; se o Payload estiver criptografado, usa-se Metadata, volume, frequência e o contexto TLS/DNS.

Fluxo de trabalho recomendado

1. Defina o Scope e uma única questão de trabalho sobre Resposta a Incidentes de acordo com NIST.
2. Liste as fontes de dados e evidências necessárias: Govern, Identify, Protect, Detect, Respond e Recover, preparação contínua, integração de IR na gestão de riscos, Lessons learned.
3. Crie um Baseline curto de comportamento normal ou resultado esperado.
4. Execute o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
5. Crie uma Timeline ou tabela de comparação e separe factos da interpretação.
6. Faça um Pivot para uma fonte adicional para verificar ou refutar a explicação inicial.
7. Resuma a decisão, limitações, ação recomendada e critério de Retest.

Cenário prático

O cenário escolhido é o mapeamento de um Playbook existente para as funções do CSF 2.0. O objetivo do exercício não é provar a capacidade de ataque, mas praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, são definidos dados simulados, janela de tempo e resultado esperado.

No final do exercício, deve ser entregue um produto que outro analista ou avaliador possa revisar: uma captura de ecrã ou Export da evidência, uma breve Timeline, uma suposição inicial, evidência de verificação, limitação e recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Checklist prático

• ✓Verificar e documentar: fonte da evidência.
• ✓Verificar e documentar: tempo de recolha e fuso horário.
• ✓Verificar e documentar: Hash e Chain of Custody.
• ✓Verificar e documentar: ferramenta e versão.
• ✓Verificar e documentar: ações de resposta executadas.
• ✓Verificar e documentar: Timeline e suposições de trabalho.
• ✓Indique o Time zone, a versão da ferramenta e a hora de recolha.
• ✓Guarde os dados brutos antes de filtrar ou modificar.
• ✓Escreva o que a descoberta prova e o que ainda é desconhecido.
• ✓Defina o proprietário e a próxima ação com data.

Erros comuns

• Alterar o sistema antes de preservar as evidências.
• Não documentar o fuso horário.
• Não calcular o Hash.
• Misturar factos e suposições.
• Não documentar quem teve acesso à evidência.
• Preferir a integridade teórica em detrimento da contenção imediata de danos.

Resumo e CTA

Resposta a Incidentes de acordo com NIST SP 800-61r3: Um guia prático é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e reavaliada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. O próximo passo natural é consultar os artigos relacionados, realizar o exercício de laboratório e guardar o produto como parte de um portfólio profissional.

Perguntas frequentes