O que você vai desenvolver
Conduzir uma triagem defensável e registrar uma timeline com decisões proporcionais.
Para quem: Analistas SOC N2/N3, investigadores e responsáveis por resposta.
Pré-requisitos
- Noções de logs e sistemas operacionais
- Autorização formal para investigação e coleta
- Procedimentos mínimos de privacidade e retenção
Roteiro técnico de estudo
ETAPA 01
Prepare o processo e as autoridades
Defina quem declara incidente, quem aprova isolamento e quando jurídico, privacidade, operações ou terceiros devem participar. Preserve contatos e critérios de severidade antes de uma crise. Um fluxo eficiente permite registrar incertezas sem retardar a resposta a riscos imediatos.
Atividades recomendadas
- Crie matriz de papéis para triagem, contenção e comunicação.
- Documente gatilhos de escalonamento.
- Valide um canal de contato alternativo ao ambiente potencialmente afetado.
ETAPA 02
Colete com proveniência e integridade
Anote origem, ferramenta, executor, data, fuso e hashes de cópias quando aplicável. Arquivos em alteração e coleta volátil exigem cautela. Hash não autentica a origem; ele auxilia a verificar integridade dos bytes medidos. Preserve dados brutos e mantenha transformações em cópias de análise.
Atividades recomendadas
- Registre SHA-256 de artefatos sintéticos.
- Compare timestamps originais com normalização UTC.
- Crie inventário de evidências com acesso controlado.
ETAPA 03
Construa uma timeline orientada a hipóteses
Correlacione autenticação, processos, tarefas agendadas, modificações de arquivos, conexões e identidade. Múltiplos eventos próximos no tempo não provam causalidade. Registre fonte e grau de certeza para cada conclusão, incluindo diferenças de relógio e lacunas de coleta.
Atividades recomendadas
- Escolha uma hipótese e especifique o que poderia refutá-la.
- Cruze pelo menos duas fontes independentes em laboratório.
- Diferencie evento observado, interpretação e decisão.
ETAPA 04
Planeje contenção, recuperação e aprendizado
Contenção precisa considerar risco, evidência e disponibilidade. A recuperação deve validar que a causa foi removida e que os controles de detecção funcionam após a mudança. Lições aprendidas devem produzir alterações concretas em telemetria, procedimentos e governança.
Atividades recomendadas
- Prepare alternativas de contenção proporcional.
- Defina verificação pós-recuperação e observação reforçada.
- Documente ações corretivas, responsáveis e prazo.
Enciclopédia desta especialidade
Consulte fichas detalhadas para eventos, protocolos, componentes e conceitos operacionais antes de avançar aos artigos.
Leituras técnicas relacionadas
Links liberados apenas quando o material foi aprovado e publicado no CMS.
- Resposta a incidentes: decisões, papéis e evidências nas primeiras horas — em preparação editorial
- Investigação inicial de possível comprometimento em Linux — em preparação editorial
- Preservação de evidências digitais e construção de timeline — em preparação editorial
