O primeiro passo em qualquer investigação forense é a resposta ao incidente. Assim que um ataque cibernético é detectado, as organizações devem agir rapidamente para conter a ameaça e minimizar os danos.
Principais tarefas:
- Isolamento de sistemas infetados: Desligar dispositivos ou redes comprometidas para evitar que o malware ou o ataque se espalhe.
- Início da documentação do incidente: Registar todas as ações realizadas e as evidências recolhidas desde o início da identificação do incidente.
Esta etapa estabelece uma base sólida para o restante processo e garante que as ações iniciais preservem as evidências.
Após conter a ameaça, os investigadores começam a recolha das evidências digitais necessárias para a análise.
Tipos de evidências recolhidas:
- Logs de firewalls, servidores e endpoints
- Dumps de memória
- Imagens de disco
- Capturas de tráfego de rede
- Arquivos suspeitos, incluindo possíveis malwares
Como boa prática deve-se usar imagens de disco e bloqueadores de gravação para criar cópias exatas dos dados sem modificar os originais, para garantir a integridade das evidências, preservando a sua autenticidade para investigações futuras ou processos legais.
Garantir que as evidências recolhidas permaneçam intactas e possam ser usadas durante toda a investigação.
Tarefas principais:
- Criar snapshots ou backups instantâneos do sistema para capturar seu estado em um momento específico.
- Verificar regularmente a integridade das evidências com hashes.
A preservação de dados é essencial para admissibilidade legal e análises posteriores, assim como para assegurar que as evidências possam ser revistas em etapas futuras, se necessário.
Durante esta fase, os especialistas forenses analisam os dados recolhidos para reconstruir os eventos que levaram à violação.
Técnicas utilizadas:
- Análise de logs: Examinar logs de sistemas para identificar atividades anormais.
- Engenharia reversa de malware: Dissecação de malwares para entender o seu comportamento e objetivo.
- Análise de tráfego de rede: Verificação de capturas de pacotes para identificar atividade maliciosa.
Têm com o objetivos: identificar o ponto inicial de comprometimento; determinar os métodos usados pelos atacantes e avaliar o alcance e o impacto do ataque. Como resultado espera-se um entendimento claro de como o ataque ocorreu e quais foram as consequências.
Após concluir a análise, os investigadores compilam as suas descobertas num relatório técnico detalhado.
Conteúdo do relatório:
- Descrição da natureza do ataque
- Vulnerabilidades exploradas pelos atacantes
- Evidências recolhidas e analisadas
- Recomendações para prevenir futuros incidentes
Assim, estes relatórios são um importante instrumento para a compreensão interna do incidente, apoio à tomada de decisões de gestão e comunicação com as partes interessadas, internas ou externas, servindo de documentação para fins legais e judiciais, quando necessário.
