Você notou algo fora do comum ao verificar os logs do servidor VPN? Por exemplo, os registros mostraram que a pessoa que trabalha em sua empresa nos Estados Unidos fez login em Hong Kong. Estranho, certo? Ou você detectou uma violação não autorizada de um arquivo ao qual ninguém deveria ter acesso.
Em situações como essas, o helpdesk terceirizado de TI “não deve apertar o botão de pânico”. Você deve responder adequadamente. Como você pode lidar com esses incidentes cibernéticos? O Instituto Nacional de Padrões e Tecnologia (NIST) acredita que alguns incidentes são inevitáveis. No entanto, você pode contornar as adversidades.
É aqui que o ciclo de vida do processo de gerenciamento de incidentes é útil e é dividido em seis fases.
1ª Fase de Gestão de Incidentes
A primeira etapa da resolução de incidentes é a preparação. É simples. Você precisa ter uma equipe treinada em gerenciamento de incidentes.
O principal objetivo desta fase é combinar os parâmetros tecnológicos da organização com as suas políticas.
- Envolvem a proteção de dados confidenciais, informações pessoais e infraestrutura de rede.
- Você deve garantir que todos os trabalhadores estejam, até certo ponto, cientes da segurança cibernética.
- Você deve garantir que eles tenham recebido alguma instrução sobre procedimentos de resposta a incidentes. Isso os ajudará a lidar com uma crise cibernética.
- Os membros da equipe devem identificar ativos valiosos e realizar testes rigorosos. Para avaliar isso, simulações de violações de dados e exercícios de resposta a incidentes são obrigatórios.
Você também deve garantir que haja financiamento adequado para a execução do plano. E que todos os recursos envolvidos sejam aprovados. Mais importante ainda, o plano deve ter documentação que especifique as funções e responsabilidades.
2ª Fase de Gestão de Incidentes
A segunda etapa do ciclo de vida do gerenciamento de incidentes é a identificação. Nesta etapa, a equipe de resposta a incidentes deve identificar ocorrências estranhas ou alterações não reconhecidas na rede.
Esta etapa depende fortemente da conscientização. É preciso ser treinado para descobrir se um evento pode ser relatado como um incidente ou não.
- Assim, o responsável deve dar uma olhada nos arquivos de log e demais alertas de firewalls e IDS. Por exemplo, pode-se relatar um incidente em que o sistema está agindo de forma “estranha”.
- Outros casos de alertas envolvem processos incomuns. Também inclui o surgimento de novas contas, arquivos incomuns, privilégios, etc.
Em caso de violação ou comprometimento do sistema, há certas questões que devem ser abordadas. Isso envolve a extensão da violação, o obstáculo às operações comerciais e a origem do problema.
3ª Fase de Gestão de Incidentes
A terceira etapa é a contenção. E esta fase foca no curto prazo. É preciso notificar a administração e cuidar do software malicioso ou do dano causado.
- Você não deve cometer o erro de excluir recursos, pois isso pode prejudicá-lo no longo prazo. A pessoa em questão deve prevenir o sangramento para evitar maiores danos.
- Nesta fase, geralmente é atribuída a tarefa a um responsável pela resposta a incidentes (IRH).
- Ele ou ela inicia o processo e determina a criticidade da situação. Eles contêm sistemas afetados e realizam a categorização de incidentes.
- O IRH não retira o sistema completamente da rede impulsivamente. O sistema pode ser vital para o negócio.
- Eles realizam a contenção para isolá-lo em uma VLAN para continuar o processo.
É melhor rastrear os adversários nesta fase do que alertá-los. Ao isolar a VLAN, o endpoint permanece na rede.
4ª Fase de Gestão de Incidentes
O quarto passo após a notificação do problema é a erradicação. Esta fase envolve a remoção e restauração dos sistemas afetados. Isso dá início à solução de longo prazo para o problema.
- O interessado realizará a tarefa de analisar a causa raiz. Ele ou ela terá a responsabilidade de remover o malware dos sistemas por meio de recriação de imagens.
- Esta fase envolve a nova varredura e monitoramento dos sistemas para detectar possíveis pontos de apoio em outros hosts.
- Com base no problema, alguém pode criar scripts para localizar e remover artefatos relacionados. Em seguida, eles aplicarão os patches necessários para evitar explorações futuras.
Esta fase deve incluir ações cruciais, incluindo avaliação de backups e privilégio de credenciais de acesso. Também deve envolver a verificação de que todas as atualizações de segurança pertinentes foram instaladas.
5ª Fase de Gestão de Incidentes
A quinta etapa do processo do ciclo de vida do gerenciamento de incidentes trata da Recuperação. Esta fase reintroduz os sistemas afetados e os traz de volta à rede.
- Isso dependerá de as falhas dos sistemas serem corrigidas e de como sua empresa planeja garantir que elas não sejam exploradas novamente.
- Todo o processo não é tão fácil quanto restaurar e recriar a imagem do backup.
- O monitoramento e teste dos sistemas são essenciais para garantir que não haverá reinfecção.
No caso de um incidente grave, a Equipe de Resposta a Incidentes Cibernéticos (CIRT) estará envolvida para garantir que tudo esteja seguro. Isto será feito em conjunto com outros operadores e proprietários do sistema.
6ª Fase de Gestão de Incidentes
A etapa final do encerramento do incidente envolve Lições Aprendidas. Esta é considerada a etapa mais vital que a maioria das empresas ignora.
- Envolve finalizar a documentação e descobrir as etapas para evitar violações e anomalias no futuro. E tem que ser realizado imediatamente após a fase de recuperação.
- A etapa Lições Aprendidas envolve um resumo executivo e um Relatório Pós-Ação (AAR). Este relatório explicará QUEM, O QUE, ONDE, POR QUE e COMO.
- É crucial convocar toda a equipe de resposta a incidentes assim que o serviço for restaurado e analisar o que aconteceu. Assemelha-se a uma revisão do incidente.
Esta etapa também oferece a oportunidade de discutir a eficácia da resposta e como melhorá-la no futuro. Além disso, a documentação será utilizada no futuro para treinamento.
O ciclo de vida do gerenciamento de incidentes auxilia na mitigação do impacto de uma violação e analisa as vulnerabilidades. Oferece segurança para todo o negócio. Além disso, garante que sua empresa possa mobilizar efetivamente seu pessoal. Também pode usar equipamentos e recursos para resolver o problema.