Vorpcel / Serviços / Defesa e resposta
Quando algo deu errado, ajudamos você a impedir que se espalhe, descobrir como começou e o que foi alcançado, remover o atacante e voltar à operação normal com as evidências preservadas.
Em resumo
Durante um incidente, dois erros são comuns: agir tarde demais e agir rápido demais. Desligar ou reinstalar máquinas antes de coletar as evidências pode esconder como o atacante entrou e deixar a mesma porta aberta.
O nosso primeiro trabalho é dar a você um quadro claro e um plano: o que conter agora, o que preservar, quem precisa ser avisado e quando. Depois fazemos o trabalho com o seu time, passo a passo, e mantemos um registro escrito de cada decisão.
Arquivos renomeados ou criptografados, ou um pedido de resgate num servidor ou pasta compartilhada.
Acesso a contas de e-mail, nuvem ou administrador de lugares ou em horários que não fazem sentido.
Contas novas, permissões alteradas, programas ou tarefas agendadas novas que ninguém do time criou.
Um cliente, um parceiro, um banco ou as autoridades avisam sobre algo ligado à sua empresa.
Dados da empresa ou de clientes oferecidos ou publicados onde não deveriam estar.
Uma ferramenta de segurança apontou algo grave e o time não tem certeza do que significa.
Essas fases seguem a orientação de tratamento de incidentes publicada pelo NIST. Na prática elas se sobrepõem: a contenção começa enquanto a investigação ainda está em andamento.
Confirmamos o que está acontecendo, isolamos máquinas e contas afetadas e paramos a propagação sem destruir evidências.
Coletamos logs e evidências de disco e de memória e reconstruímos a linha do tempo: como o atacante entrou, o que fez e o que alcançou.
Removemos a persistência, trocamos as credenciais expostas e orientamos a volta dos sistemas ao ar, de olho num retorno do atacante.
Entregamos o relatório final e uma reunião para combinar as mudanças que evitam que o mesmo incidente se repita.
Contenção, alcance da criptografia e do roubo de dados, recuperação segura a partir de backups e apoio nas decisões que vêm depois.
Contas de e-mail, nuvem ou administrador comprometidas: o que foi acessado, o que foi alterado e como trancar.
Que dados saíram, de onde e para quem, com os fatos de que você precisa para as notificações exigidas pela LGPD e outras leis.
Sites desfigurados, scripts injetados que roubam dados de cartão, web shells e APIs abusadas.
Chaves vazadas, recursos inesperados, armazenamento exposto e mudanças feitas por uma identidade desconhecida.
Um alerta que você não consegue explicar. Dizemos se é um incidente e, se não for, por quê.
A melhor hora de combinar como um incidente será tratado é antes dele acontecer. Um contrato de prontidão deixa você com contrato, contatos e um plano já prontos.
Horas combinadas com antecedência, tempo de resposta em contrato e nenhuma negociação durante a crise. Horas não usadas podem ir para trabalho de preparação.
Quem decide, quem é acionado, como alcançá-los quando o e-mail está fora e o que dizer aos clientes, escrito para a sua empresa.
Um cenário realista jogado com o seu time técnico e a liderança, para achar as falhas do plano enquanto nada está em jogo.
Logins, programas executados e mudanças nas máquinas e servidores afetados.
Cópias feitas antes de as máquinas serem limpas, para que a evidência do que rodou não se perca.
Trilhas de auditoria das contas de nuvem e das caixas de e-mail, onde muitos incidentes começam.
Registros de firewall, proxy e DNS que mostram para onde os dados foram e o que se conectou a quê.
O que o seu time viu e fez, e quando, anotado enquanto está fresco na memória.
Um registro de quem coletou cada evidência, quando e como ela foi guardada.
Você pode nos chamar no meio de um incidente, ou combinar tudo antes de algum acontecer.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Resposta emergencial | Um incidente que está acontecendo agora | Triagem, contenção, investigação, apoio na recuperação e o relatório final |
| Contrato de resposta a incidentes | Estar pronto antes de qualquer coisa acontecer | Horas combinadas com antecedência, tempo de resposta em contrato, um plano de resposta e um exercício de mesa por ano |
Ainda não desligue nem reinstale as máquinas afetadas. Desconecte-as da rede se o ataque estiver se espalhando, anote o que você viu e quando, e fale conosco pelo formulário com a palavra incidente na mensagem.
Não. Respondemos nos sistemas e ferramentas que você tem. Se você usa o agente da Vorpcel, o isolamento e a coleta de evidências são mais rápidos porque podem ser feitos pelo console.
Sim. Mantemos a cadeia de custódia das evidências e escrevemos o relatório de forma que possa ser compartilhado com seguradoras, advogados e autoridades quando necessário.
Não. Damos os fatos técnicos que apoiam a decisão, como que dados foram levados e se os backups estão utilizáveis. A decisão fica com você e os seus assessores.
A maior parte do trabalho pode ser feita remotamente, com o acesso que você concede aos sistemas e logs afetados. Quando alguém precisa estar no local, combinamos com você.
Damos os fatos técnicos de que a notificação precisa: o que aconteceu, quais dados estavam envolvidos e quando. A análise jurídica e a notificação em si ficam com você e os seus advogados.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.