Planear a resposta a incidentes

Este artigo faz parte da disciplina de Operações de Segurança (SecOps) no Segurança da Microsoft Adoption Framework (SAF). Ele ajuda líderes de SecOps, arquitetos, líderes de TI e stakeholders de negócios a projetar recursos de resposta a incidentes que investigam, contêm e se recuperam de ataques cibernéticos ativos, minimizando o impacto empresarial, operacional, legal e de reputação.

Use este artigo para diretrizes de processo e estratégia de resposta a incidentes. Para atividades de preparação, use Preparar para resposta a incidentes. Para obter diretrizes de execução específicas do cenário, use a visão geral dos playbooks de resposta a incidentes. Para obter diretrizes de implementação específicas ao controle e no nível do produto, use a tecnologia SecOps.

Visão geral da resposta a incidentes

A resposta a incidentes é a prática de investigar e corrigir campanhas de ataque ativas contra sua organização.

A resposta a incidentes tem a maior influência direta nas métricas críticas do SecOps, particularmente:

  • Tempo Médio para Reconhecimento (MTTA). O tempo que sua equipe leva para reconhecer um alerta ou incidente após sua geração.
  • Tempo Médio para Correção (MTTR). O tempo necessário para corrigir um incidente de segurança após a confirmação.

Reduzir essas métricas reduz o risco organizacional e limita o impacto do invasor.

A resposta bem-sucedida a incidentes depende da estreita colaboração entre respondentes de incidentes, busca de ameaças, inteligência contra ameaças, operações de TI, equipes legais, de comunicações e de liderança.

Guias estratégicos de resposta a incidentes

Os guias estratégicos de resposta a incidentes fornecem diretrizes passo a passo específicas do cenário que ajudam as equipes do SecOps a responder de forma rápida e consistente a técnicas comuns de ataque.

Os manuais são um resultado do planejamento crítico. Eles são desenvolvidos, revisados e validados antes que os incidentes ocorram para que os respondentes possam executar investigações e ações de contenção sob pressão sem precisar projetar fluxos de trabalho em tempo real.

Microsoft publica guias estratégicos de resposta a incidentes com base nas práticas recomendadas de Microsoft Resposta a Incidentes, com diretrizes para cenários comuns de ataque, incluindo:

  • Phishing
  • Pulverização de senha
  • Abuso de concessão de consentimento do aplicativo
  • Aplicativos comprometidos ou mal-intencionados

Cada guia estratégico de resposta a incidentes inclui:

Manual | DetalhesPré-requisitos | Logs, funções, permissões e configuração necessários antes que uma investigação possa começar. Fluxo de trabalho | Um fluxo de investigação recomendado que esclarece o sequenciamento e as dependências. Lista de verificação | Uma lista de verificação orientada a tarefas que dá suporte à execução, especialmente em ambientes regulamentados ou auditados. Etapas de investigação | Diretrizes detalhadas passo a passo adaptadas à técnica de ataque específica.

Os guias estratégicos complementam, mas não substituem, planos de resposta a incidentes, procedimentos de recuperação ou processos de tomada de decisão executivos. Em vez disso, eles operacionalizam sua estratégia de resposta a incidentes transformando as detecções em ações de resposta repetíveis e de alta confiança.

Princípios para resposta efetiva

Independentemente das ferramentas ou processos específicos que você usa, a resposta efetiva a incidentes requer uma aplicação consistente dos princípios a seguir.

  • Mantenha-se calmo e focado: os incidentes de segurança são perturbadores e emocionalmente carregados. Mantenha o foco nas ações de maior impacto primeiro.

  • Balancear a urgência com precisão: aja rapidamente para conter ameaças, mas valide ações para evitar danos não intencionais, perda de evidências ou correção incompleta.

  • Não cause danos: Certifique-se de que as ações de resposta não:

    • Destruir evidências forenses
    • Causar interrupção desnecessária nos negócios
    • Impedir a análise e o aprendizado da causa raiz

  • Envolva o jurídico desde o início: a orientação jurídica é fundamental para:

    • Envolvimento da aplicação da lei
    • Notificações regulatórias e de privacidade
    • Comunicações externas
    • Preservando privilégios

  • Controlar o compartilhamento de informações: as comunicações públicas ou voltadas para o cliente devem ocorrer apenas com orientação legal, para evitar responsabilidade e desinformação.

  • Obtenha ajuda quando necessário: ataques grandes ou sofisticados geralmente exigem conhecimentos profundos e especializados, incluindo respondentes externos, fornecedores ou serviços profissionais.

A resposta a incidentes é semelhante ao tratamento de uma condição médica crítica: o sistema é criticamente importante, não pode ser desligado e é muito complexo para qualquer indivíduo entender completamente.

Balancear velocidade e risco

Durante incidentes, as equipes do SecOps devem equilibrar consistentemente:

  • Velocidade versus precisão – agindo rápido sem aumentar o impacto
  • Transparência versus responsabilidade – compartilhando informações adequadamente com investigadores, liderança e clientes

É importante seguir as ações recomendadas que reduzem o risco e evitem armadilhas comuns, ao mesmo tempo em que atendem às expectativas das partes interessadas.

Melhores práticas de resposta técnica

As principais metas durante a resposta a incidentes técnicos incluem:

  • Identificar o escopo do ataque
  • Identificar mecanismos de persistência
  • Determinar o objetivo do invasor, quando possível

Os invasores persistentes geralmente retornam se seus objetivos não forem totalmente interrompidos.

As práticas recomendadas incluem:

  • Evite carregar arquivos em scanners públicos: os adversários monitoram serviços como o VirusTotal para descoberta de malware direcionado.
  • Considere cuidadosamente as modificações do sistema: faça alterações apenas quando o risco de inação superar o impacto nos negócios. Documente todas as alterações decorrentes de incidentes para possibilitar a reversão durante a recuperação.
  • Priorizar a investigação de forma implacável: concentre-se na análise dos recursos que o invasor realmente usou ou modificou. Cobertura forense completa é muitas vezes inviável.
  • Compartilhe informações deliberadamente: garanta que equipes internas e investigadores externos aprovados compartilhem descobertas sob orientação legal.
  • Integre conhecimentos profundos do sistema: inclua especialistas em plataforma, aplicativo e infraestrutura, não apenas generalistas de segurança.
  • Planejar a redução da capacidade: suponha 50% de funcionários operando a 50% eficiência devido ao estresse e à fadiga.
  • Gerenciar expectativas: em alguns incidentes, a identificação do vetor de acesso inicial pode ser impossível devido à telemetria excluída ou indisponível.

Melhores práticas de resposta a operações

A coordenação operacional é igualmente crítica.

As principais metas incluem:

  • Mantendo o foco em ativos críticos aos negócios
  • Estabelecendo a clareza de função e a autoridade de decisão
  • Gerenciamento de negócios e impacto operacional

Práticas recomendadas:

  • Usar um ICS (Sistema de Comando de Incidentes): se nenhuma organização de crise permanente existir, o ICS fornecerá uma estrutura temporária.
  • Preservar operações diárias de SecOps: detecção, triagem e monitoramento devem continuar durante as investigações.
  • Evite compras controladas por pânico: não adquira ferramentas que você não pode implantar e operar durante o incidente.
  • Encaminhe para os proprietários da plataforma e para os fornecedores: garanta acesso a conhecimento especializado aprofundado em sistemas operacionais, aplicações e infraestrutura central.
  • Defina os fluxos de informações antecipadamente: defina as expectativas de atualizações para executivos e stakeholders.

Melhores práticas de recuperação técnica

A recuperação deve ser deliberada, consolidada e rápida.

As principais metas incluem:

  • Limite o escopo para que a recuperação possa ocorrer dentro de 24 horas, quando possível
  • Evitar distrações não diretamente ligadas à recuperação

Práticas recomendadas:

  • Não redefina todas as senhas de uma só vez: priorize contas comprometidas conhecidas, especialmente contas de administrador e serviço. Use redefinições em etapas para os usuários quando necessário.
  • Consolidar ações de recuperação: uma remediação coordenada de "Big Bang" limita a adaptação do atacante.
  • Use as ferramentas existentes primeiro: aproveite as ferramentas já implantadas e compreendidas.
  • Evite avisar o invasor: suponha que os invasores possam ter acesso aos dados de produção e emails.

O Centro de Operações de Segurança da Microsoft usa um locatário do Microsoft 365 que não é de produção para uma colaboração segura de IR.

Melhores práticas de recuperação de operações

As principais metas incluem:

  • Responsabilidade clara pelo plano
  • Escopo controlado
  • Comunicação contínua com as partes interessadas

Práticas recomendadas:

  • Designar um lead de recuperação: a tomada de decisão centralizada evita confusão.
  • Entenda os limites: traga conhecimentos externos quando as equipes estiverem sobrecarregadas ou inexperientes.
  • Registre as lições aprendidas: Atualize os playbooks de SecOps, os procedimentos e as orientações específicas para cada função.

As comunicações executivas e de diretoria são mais eficazes quando planejadas e ensaiadas com antecedência.

Processo de resposta a incidentes das SecOps

Decidir e agir

Quando ferramentas como Microsoft Defender XDR ou Microsoft Sentinel criar um incidente:

  • O MTTA termina quando um analista assume a responsabilidade
  • O MTTR começa quando a remediação começa

Com base na confiança e no escopo, os analistas escolhem entre:

  • Resolva à medida que avança – concentre-se em incidentes nos estágios iniciais.
  • Remediação em grande escala – foco em adversários persistentes e entrincheirados.

A correção parcial geralmente alerta o invasor e aumenta os danos.

As ações comuns de correção incluem:

  • Pontos de extremidade – isole e refaça a imagem
  • Servidores e aplicativos – Coordenar a correção com os proprietários
  • Contas de usuário – Desabilitar, redefinir credenciais, expirar tokens, validar MFA
  • Contas de serviço – coordenar com proprietários e operações de TI
  • Email – Remover mensagens mal-intencionadas e preservar originais
  • Outras ações – Revogar tokens de aplicativo, reconfigurar serviços

Limpeza pós-incidente

A resposta efetiva a incidentes está incompleta sem aprendizado institucional. As atividades pós-incidente incluem:

  • Registro de Indicadores de Comprometimento (IoCs)
  • Tratando vulnerabilidades desconhecidas ou não corrigidas
  • Habilitar ou aprimorar o registro de logs e a telemetria
  • Atualizando linhas de base de segurança
  • Aprimorando processos de resposta e guias estratégicos

Essas melhorias reduzem o esforço manual e reduzem os tempos de resposta em incidentes futuros.

Próximas Etapas 

  • Última atualização em