Como construir uma Revisão Pós-Incidente e Lições Aprendidas
A Revisão Pós-Incidente é um processo controlado que equilibra a contenção de danos com a preservação de evidências. Documentam-se a fonte, o tempo e as ferramentas, guarda-se o Hash, constrói-se uma Timeline e separam-se os factos, a interpretação e a decisão.
A Resposta a Incidentes e o DFIR exigem um equilíbrio entre velocidade, preservação de evidências, continuidade de negócios e documentação. Uma ação correta é uma ação que pode ser explicada, reproduzida e revista após o incidente. Este artigo foca-se na Revisão Pós-Incidente e destina-se às equipas SOC e IR. O objetivo é fornecer uma metodologia que possa ser aplicada em exercícios, entrevistas profissionais e ambientes de trabalho, sem se limitar a uma definição de dicionário.
O desafio central é que os dados são quase sempre parciais. A fonte da evidência, a hora da recolha e o fuso horário, o Hash e a Cadeia de Custódia podem apontar para uma direção, mas o seu significado depende do tempo, do ativo, do utilizador e da atividade esperada. Por isso, construiremos a investigação em torno de uma questão de investigação, das evidências necessárias e de um critério claro para a conclusão.
O cenário prático neste artigo é: um modelo de Revisão para um incidente de Phishing. Todos os exemplos são dados de laboratório ou descrições de processos. Quando se trata de Penetration Testing, Web ou Cloud, deve-se trabalhar apenas com aprovação explícita, um Scope definido e a capacidade de parar a investigação.
