Resposta a incidente
Preservação de vestígios durante a contenção e a recuperação.
- DURANTE O INCIDENTE
- 01O PROBLEMAUm incidente em que a pressa em restaurar pode apagar o que será necessário para apurar os fatos.
- 02PARA QUEMOrganizações em incidente, seus jurídicos e equipes de resposta.
- 03RESULTADO BUSCADORecuperação que preserva o necessário para a apuração, com decisões registradas.
PARA QUEM DECIDE
O que muda para quem decide.
- PARA A EQUIPE DESegurançaConter sem apagar“A pressa em restaurar pode destruir o que será preciso para entender o que aconteceu.”O que preservar é decidido antes de agir, e a coleta anda junto com a contenção.
- PARA O DEPARTAMENTOJurídicoFatos para decidir“Decisões sobre clientes, autoridade e contratos precisam de fatos, não de suposições.”Uma linha do tempo sustentada por evidência, com o que se sabe e o que ainda é hipótese.
- PARA OComplianceApurar sem contaminar“Uma apuração mal conduzida compromete a prova e expõe a organização.”Coleta proporcional e documentação de cada etapa, com cadeia de custódia.
- PARA ASeguradoraEscopo e vetor“Sem evidência, não se sabe como o incidente começou nem até onde foi.”Linha do tempo, vetor e escopo sustentados por evidência.
VISIBILIDADE
Andamento visível, prova protegida.
Conforme o caso, o contratante acompanha pelo portal da forense.io a situação, as etapas, as datas e o que depende dele. O portal não mostra evidências, achados nem conclusões preliminares: é transparência sobre o andamento, sem expor a prova.
CASOS ANONIMIZADOS
Como isso acontece na prática.
- Ataque em plena operação
- SITUAÇÃO
- Uma rede varejista com várias unidades sofreu um ataque de negação de serviço seguido de ransomware num sábado de movimento alto.
- ATUAÇÃO
- Com o comando de crise coordenado pelo n.cirt, a atuação forense preservou vestígios durante a contenção e levantou indicadores de comprometimento.
- RESULTADO
- Indicadores e linha do tempo à disposição das decisões de recuperação, sem perder o que seria preciso para a apuração.
DIFERENCIAIS
Por que a forense.io
- 01Preservar antes de restaurarO que precisa ser guardado é decidido antes de qualquer ação que altere o ambiente.
- 02Junto da contençãoA coleta é coordenada com o n.cirt ou com as equipes do cliente e terceiros, sem atrasar a recuperação além do necessário.
- 03Fatos, hipóteses e limitaçõesO relatório separa o que foi observado, o que é hipótese e o que não pôde ser verificado.
- 04Revisão técnica independenteTodo relatório passa por revisão técnica independente antes da entrega.
- 05Cadeia de custódiaCada evidência com registro, integridade verificada e quem a manuseou.
COMO FUNCIONA
Etapas do trabalho.
- 01Definição do que preservar antes de agir
- 02Coleta coordenada com a contenção
- 03Análise e linha do tempo
- 04Relatório de fatos, hipóteses e limitações
ESCOPO
O que está incluído.
Incluído3✓Orientação de preservação✓Coleta no escopo✓Relatório
Condicionado ao contrato2○Disponibilidade de acionamento○Coordenação técnica da resposta (n.cirt)
PESSOAS, FERRAMENTAS E TERCEIROS
Como trabalhamos com o que você já tem.
Atuação coordenada com n.cirt ou com as equipes do cliente e terceiros.
- 01Sua equipeContém e recupera o ambiente; a forense.io indica o que preservar e coleta junto.contenção e recuperação
- 02Seu jurídicoDefine a finalidade da apuração e recebe os fatos para decidir.finalidade e decisão
- 03TerceirosFornecedores e o n.cirt, quando acionado, trabalham na mesma linha do tempo.coordenação
| Atividade | forense.io | Sua equipe | Terceiros |
|---|---|---|---|
| Definir o que preservar | executa | aprova | — |
| Contenção e recuperação | apoia | executa | apoia |
| Coleta e preservação | executa | apoia | apoia |
| Análise e linha do tempo | executa | — | — |
| Decisões sobre o caso | apoia | executa | — |
COMO CONTRATAR
Dois modelos, conforme o contrato.
- MODELO 01PreservaçãoColeta e preservação com verificação de integridade e relatório de preservação. O material é entregue ao contratante.
- MODELO 02Preservação + AnáliseO fluxo completo, com análise, linha do tempo e relatório técnico. A passagem de uma modalidade para a outra é formalizada por aditivo.
PERGUNTAS FREQUENTES
O que costumam nos perguntar.
Devemos desligar as máquinas?
Depende do caso. Antes de desligar, isolar ou restaurar, vale decidir o que precisa ser preservado; fale com um especialista forense.
Vocês fazem a contenção?
A coordenação técnica da resposta é do n.cirt ou das suas equipes. A forense.io preserva e apura, junto da contenção.
O relatório serve num processo?
O método e a documentação são pensados para isso. Defensável em juízo descreve o método; a aceitação depende da autoridade.
Começamos só preservando?
Sim. A modalidade Preservação assegura a prova agora; a análise pode ser contratada depois, por aditivo.
O que acontece com o material depois?
Após a entrega, a forense.io guarda uma cópia por 30 dias, com a autorização do contratante, e depois a descarta com termo.
Quer saber se Resposta a incidente se aplica ao seu cenário?
- conversa
- diagnóstico
- proposta