Com uma equipe adequada, procedimentos simplificados e as ferramentas certas, responder às ameaças pode ser uma tarefa mais simples do que o esperado

Quando se trata de resposta a incidentes, cada segundo conta. A gravidade das violações varia, mas como o dano feito está diretamente relacionado ao tempo que alguém mal-intencionado tem acesso aos sistemas, é fundamental que todas as ameaças sejam descobertas e corrigidas o mais rápido possível. A diferença entre uma violação detectada e remediada em duas horas e dois dias pode ser a diferença entre uma rápida revisão de laptop ou uma perda de receita de seis dígitos.

Se um vírus passa pelo firewall e, em vez de perceber a ameaça e inserir o ponto de entrada do sandbox, a ameaça for perdida, toda a equipe de vendas pode ser afetada. Além de perder dinheiro com a equipe de vendas, a empresa também está perdendo dinheiro com horas perdidas tentando atenuar os danos que poderiam ter sido evitados se estivessem preparados para isso.

Então, como é possível se preparar adequadamente? Aqui estão algumas dicas:

Equipe adequada
Uma equipe adequada de TI é um investimento no futuro de toda a empresa. A equipe de TI não precisa apenas do tipo certo de pessoas, mas do número certo de funcionários.

O ambiente de ameaças muda rapidamente e, para manter o ritmo, os profissionais de TI precisam reservar tempo para auditar seus processos de resposta e obter treinamento sobre as ferramentas mais recentes disponíveis. Infelizmente, quando a equipe está com falta de pessoal, os funcionários têm dificuldade em progredir. Uma equipe com falta de pessoal é um caminho seguro para a falta de supervisão.

Com um time pequeno, a resposta a incidentes envolverá todo o processo pessoal, o que significa que pode não haver qualquer poder humano para enfrentar outros problemas que possam surgir.

Procedimento de racionalização
Todas as equipes de segurança devem ter um processo de resposta a incidentes para orientar os esforços de correção. Para entender os processos e procedimentos de resposta a incidentes, é necessária uma revisão adequada:

- Preparação
É essencial que todas as organizações estejam preparadas para o pior, o que significa que a preparação é vital para qualquer plano de resposta a incidentes de segurança. Envolve a identificação de um incidente, a recuperação, a retomada da atividade comercial normal e a criação de políticas de segurança estabelecidas, incluindo:

- Banners de aviso

- Expectativas de privacidade do usuário.

- Processos de notificação de incidentes estabelecidos.

- Desenvolvimento de uma política de contenção de incidentes.

- Criação de listas de verificação de tratamento de incidentes.
Ao analisar os ativos de manipulação de incidentes pré-implantados, é preciso certificar-se de que possui determinadas ferramentas em vigor no caso de uma violação do sistema. Isso inclui examinar seus próprios sensores, sondas e monitores em sistemas críticos, rastrear bancos de dados em sistemas principais e concluir registros de auditoria ativos para todos os aspectos e componentes da rede.

- Identificação
O próximo estágio da resposta a incidentes é identificar o incidente real. O primeiro item que precisa ser identificado é qual foi o incidente real e qual é o escopo total do incidente. Será necessário investigar entradas suspeitas, tentativas de login excessivas, contas de usuários inexplicáveis, novos arquivos inesperados, etc.

Depois de avaliar a situação, há seis níveis de classificação quando se trata de incidentes:

Nível 1 – acesso não autorizado.
Nível 2 – negação de serviços.
Nível 3 – código malicioso.
Nível 4 – uso indevido.
Nível 5 – verificações/tentativas de acesso.Nível
Nível 6 – incidente de investigação.

- Contenção
Uma vez que o escopo completo do incidente tenha sido identificado, o próximo passo é conter o problema. Isso limitará seu aumento no escopo e magnitude. Embora contenha um incidente, existem duas áreas essenciais de cobertura: manutenção do tempo de atividade e proteção de sistemas críticos.

Para determinar o status operacional do sistema infectado e/ou rede, existem três opções:

- Desconectar o sistema da rede e permitir que ele continue com as operações independentes.

- Encerrar tudo imediatamente.

- Continuar permitindo que o sistema seja executado na rede e monitore as atividades.
Todas são soluções viáveis ​​para conter o problema no início da resposta ao incidente e devem ser determinadas o mais rápido possível.

- Investigação
A investigação forense é o primeiro passo para determinar o que realmente aconteceu com o ambiente. Uma revisão metódica deve ocorrer em todos os sistemas ou redes afetados, depois passando para outros sistemas fora da área de contenção. Para esta investigação, os discos rígidos, a memória, os registros de dispositivos e outros dados de suporte devem ser analisados. É muito importante manter uma documentação do que foi feito durante a investigação, especialmente porque as ameaças externas podem exigir envolvimento da lei.

- Remediação
Remediação é o processo de realmente se livrar do problema no seu computador, sistema ou rede. Esta etapa só deve ocorrer depois que todas as ações externas e internas forem concluídas. Há dois aspectos importantes da erradicação que você deve ter em mente. O primeiro é a limpeza. A limpeza geralmente consiste em executar o software antivírus, desinstalar o software infectado, reconstruir o sistema operacional ou substituir todo o disco rígido e reconstruir a rede. Na maioria dos casos, a recriação de imagens das máquinas será a tática de correção recomendada.

O segundo passo é a notificação. A notificação sempre inclui o pessoal relevante e todas as partes interessadas acima e abaixo do gerente da equipe de resposta a incidentes na cadeia de relatórios.

- Recuperação
É quando sua empresa ou organização retorna à normalidade. Há duas etapas para recuperação:

- Restauração de serviço, que é baseada na implementação de planos de contingência corporativa.
- Validação de sistema e/ou rede, teste e certificação do sistema como operacional.
- Qualquer componente que tenha sido comprometido deve ser certificado como operacional e seguro.

- Acompanhamento
Depois que tudo tiver tenha voltado às operações padrão, há algumas perguntas de acompanhamento que devem ser respondidas para garantir que o processo seja suficiente e eficaz:

- Houve preparação suficiente?

- A detecção ocorreu em tempo hábil?

- As comunicações foram conduzidas claramente?

- Qual foi o custo do incidente? Você tem um plano de continuidade de negócios?

- Como podemos impedir que isso aconteça novamente?

Depois que essas perguntas forem respondidas e as melhorias forem feitas, a equipe de resposta a incidentes deverá estar pronta para repetir o processo.

Ferramentas certas
Embora seja necessário se adaptar a ataques novos e emergentes, há maneiras de reduzir o número de ameaças. A defesa em profundidade é o ativo mais importante. Ao colocar em camadas soluções de vários provedores, mesmo que um não reconheça a assinatura de um vírus em particular, os outros o façam. Como sistemas diferentes usam processos diferentes, a disposição dessas soluções oferece proteção em muitos pontos de entrada diferentes, minimizando as brechas que os ataques podem explorar.

Também é fundamental que as organizações tenham ferramentas que forneçam visibilidade de suas redes. Sem visibilidade, a detecção de ameaças será sempre responsiva, e muitas vezes essa resposta chegará tarde demais. As organizações precisam coletar informações sobre o tráfego de rede em um local para que possam correlacioná-las adequadamente e estabelecer linhas de base comportamentais para detectar anomalias e automatizar respostas, como o isolamento do usuário suspeito.

Com equipe adequada, procedimento simplificado e as ferramentas corretas implementadas, é possível limitar muito os danos enfrentados quando surgem problemas, o que tornará a resposta às ameaças uma tarefa muito menos assustadora.