Compreender Sophos Incident Response, Readiness e avaliações

Perante um incidente de segurança ativo ou suspeito, inicia-se o processo já estabelecido. Um ataque em curso não é um projeto normal de implementação. Utiliza-se o contacto previsto no plano de emergência e o direito ao serviço confirmado, em vez de começar por contratar uma avaliação ou novo retainer.

Digital Forensics and Incident Response (DFIR) combina investigação forense e resposta a um incidente concreto. Readiness prepara pessoas e procedimentos. Security Testing e avaliações examinam um âmbito de segurança previamente delimitado. Estes serviços produzem resultados diferentes e não se substituem.

Entregar corretamente um incidente

A Sophos descreve DFIR como apoio à identificação e neutralização de ameaças ativas, análise de causas, Compromise Assessments e Threat Hunting. O trabalho efetivo depende do serviço contratado e do direito confirmado. A descrição de uma equipa disponível a toda a hora não é um compromisso individual quanto ao início da intervenção, presença no local ou duração da recuperação.

Para a primeira passagem prepara-se um estado breve e rastreável:

1. Contactos e poder de decisão: coordenação técnica do incidente, responsáveis de negócio e canal de retorno aprovado.
2. Observações em vez de suposições: hora com fuso, sistemas ou identidades afetados, mensagens concretas e impactos visíveis.
3. Medidas já tomadas: por exemplo isolamento, restrições de contas ou recuperações, com hora e executante.
4. Evidências disponíveis: logs, identificadores de casos e cópias existentes, incluindo origem e local de conservação. Uma completude desconhecida é explicitamente assinalada.
5. Direito e âmbito: cliente, contrato ou retainer e área afetada conhecida. Um direito não confirmado não é apresentado como adquirido.

Esta lista é uma recomendação Avanet para organizar a passagem, não um procedimento forense completo. Permite uma primeira intervenção sem perder informação através de alterações precipitadas. Sistemas contaminados não são reinstalados apenas para criar um «ponto de partida limpo». Os responsáveis pelo incidente decidem isolamento, desligamento, preservação de provas e recuperação conforme o caso.

As evidências podem conter palavras-passe, dados pessoais ou informação empresarial confidencial. Só se transfere o necessário por um canal seguro confirmado. Um ticket público, chat ou ligação desprotegida não é uma alternativa adequada. Se as contas de comunicação puderem estar comprometidas, acorda-se primeiro um canal de retorno fiável.

Distinguir MDR de DFIR

MDR é o serviço gerido contínuo de pesquisa de ameaças, deteção e resposta acordada. DFIR trata um incidente concreto no âmbito de investigação confirmado. Mesmo quando a mesma organização fornece ambos, um alerta do produto não contrata automaticamente DFIR nem confere direito a investigação ilimitada.

Numa operação MDR existente, são determinantes os contactos e modo Threat Response e o responsável real do caso e ação exigida ao cliente. Um caso customer-managed não é automaticamente investigado pela equipa MDR só por existir uma licença Sophos. As ações abertas do cliente precisam de responsável e não desaparecem por uma suposta mudança de serviço.

O Security Services Retainer explica Service Units e condições específicas de DFIR. Um saldo SU não é um prazo geral de resposta nem garante encerrar um incidente num número fixo de horas. Os direitos existentes verificam-se nos acordos concretos.

Readiness: praticar antes do incidente

A preparação significa que responsabilidades, acessos e percursos de decisão são utilizáveis antes de ocorrer um incidente. Uma Tabletop Exercise é uma discussão guiada de um cenário: a equipa percorre decisões e passagens sem lançar um ataque real em produção.

Definem-se objetivo e participantes, por exemplo a coordenação entre IT, direção e comunicação quando identidades administrativas são comprometidas. O exercício deve mostrar quem declara o incidente, quem autoriza a contenção, como comunicar fora dos sistemas potencialmente afetados e como decidir a recuperação. Produz observações documentadas e melhorias concretas com responsáveis e prazos.

Um plano de emergência existente não prova, por si só, uma recuperação funcional ou contactos disponíveis. A Avanet recomenda rever cadeia de contactos e aprovações e um procedimento de recuperação adequado após alterações relevantes. Uma conversa não substitui um teste técnico de restauro planeado separadamente.

Escolher avaliações e testes de segurança

O External Penetration Testing examina o acesso a partir do exterior. Os testes internos podem investigar o que é possível com acesso prévio à rede. Testes wireless avaliam vias de ataque Wi-Fi; Web Application Assessments examinam aplicações e problemas específicos. O nome do serviço não garante a inclusão de todas as instalações, aplicações ou interfaces.

Uma avaliação também não prova ausência total de comprometimento. Um Compromise Assessment procura indícios de intrusão no âmbito acordado; um teste de penetração verifica vias selecionadas. Ambos se distinguem da operação contínua de Managed Risk e da resposta a um incidente já ativo.

Antes do teste documentam-se sistemas e exclusões, autorizações dos proprietários, métodos permitidos, janelas, acesso a dados e critérios de interrupção. Sistemas cloud ou de terceiros exigem a respetiva permissão de teste. É necessário um contacto acessível para interromper o trabalho; disponibilidade e impacto em produção são expressamente considerados. Sem autorização clara, nenhum teste começa.

O resultado inclui constatações compreensíveis com sistemas afetados, evidências, impacto e correções prioritárias. Um novo teste verifica os pontos corrigidos acordados; a proposta confirma se está incluído, quando e em que âmbito. Um relatório não certifica invulnerabilidade futura. Implementação e aceitação das melhorias continuam a ser tarefas separadas e visíveis.

Para alterações planeadas após as constatações, a distinção entre TAM, suporte e Deployment Services ajuda a transformar uma recomendação num trabalho definido com passagem técnica, em vez de transferir riscos abertos entre prestadores.