O que é resposta a incidentes?

O National Institute of Standards and Technology (NIST) e o SANS Institute criaram modelos amplamente aceitos que definem as várias fases de IR. As seis fases propostas pelo SANS Institute são detalhadas abaixo.

1. Preparação
Este é o processo de criar, revisar ou aprimorar políticas e procedimentos de IR, e deve ser visto como um esforço contínuo. Deve-se realizar avaliação de risco regular para que a organização possa priorizar respostas a incidentes por sistema, dados e tipo e gravidade do incidente. O objetivo é decidir sobre os procedimentos, tecnologias e metodologias mais eficazes para detectar, minimizar e recuperar de um incidente. Isso deve incluir um processo confiável para criar regularmente backups que serão necessários na recuperação. Esta também é a fase em que se executam simulações e cenários. Ferramentas como playbooks e templates podem então ser criadas para os protocolos de resposta mais eficazes quando se tratar de um ataque real.

2. Identificação
Também conhecida como detecção, esta etapa envolve o uso de tecnologias e metodologias para perceber que ocorreu um evento de segurança, como um ciberataque. Há muitas soluções de segurança disponíveis para monitorar sistemas e dados em tempo real, automatizar alertas e automatizar respostas. Frequentemente as organizações usam uma plataforma de security information and event management (SIEM). Dados de ferramentas como logs de dispositivos, sistemas de detecção de intrusão ou firewalls são usados para encontrar atividade suspeita. Alertas são então enviados para a equipe de resposta a incidentes, que faz a triagem deles, identificando indicadores de comprometimento (IoC) e eliminando falsos positivos. Na presença de um incidente de segurança, o plano de IR entra em ação, com o pessoal apropriado sendo notificado e o plano de comunicações seguido.

3. Contenção
Contenção é interromper que um incidente ou ataque identificado continue a danificar sistemas, dados ou o negócio. De imediato, isso envolve isolar os sistemas afetados para que o ataque não se espalhe. Medidas de contenção de longo prazo também precisam ser implementadas, configurando controles de segurança mais fortes sobre sistemas não afetados, como aplicar correções ou atualizações de segurança. Também é importante coletar e reter evidências forenses do ataque para a fase de análise pós-incidente.

4. Erradicação
Nesta fase, a ameaça é completamente removida. Isso pode significar expulsar um invasor ou remover malware. É importante garantir que não haja vestígios do ataque ou da violação para que dados e/ou sistemas possam ser totalmente restaurados.

5. Recuperação

Trata-se de restabelecer sistemas, dados e operações para que o negócio volte a funcionar sem problemas. A equipe restaurará a partir da última cópia limpa dos dados e colocará on-line sistemas de substituição atualizados. Uma vez restaurados, os sistemas devem ser testados, monitorados e validados.

6. Lições aprendidas
A revisão pós-incidente é a fase final: a equipe examina as evidências coletadas durante o incidente e a forma como o evento foi gerenciado. A organização pode precisar envolver as autoridades policiais durante a investigação. De modo geral, a fase de revisão trata de reconhecer os pontos fortes e fracos da resposta a incidentes da organização e determinar oportunidades de melhoria. No caso de um ataque, é importante entender a causa raiz e como o invasor conseguiu violar a rede. Como parte dessa análise, a equipe pode considerar dados como tempo médio para detectar, tempo médio para identificar, tempo médio para responder, tempo médio para conter e custo total. 

A análise pós-incidente é uma parte crucial do IR porque permite que uma organização fortaleça sua estratégia de segurança para reduzir a probabilidade de um evento semelhante voltar a ocorrer. Ela também fornece à equipe os dados de que precisam para atualizar seu plano de resposta a incidentes e fazer quaisquer melhorias ou modificações em suas ferramentas, sistemas ou processos.