O alerta às duas da manhã
Um analista vê uma anomalia. Pode ser deploy, configuração, ou o início de um evento que amanhã terá nome jurídico. Resposta a incidentes transforma um sinal em decisão com dono, tempo e registro. Não é um filme de “caça” e não é formatar primeiro para perguntar depois. Os verbos clássicos, detectar, conter, erradicar, recuperar, lições, existem para não pular etapa. Evidência existe para o futuro você, o regulador e o juízo, não para o ego do plantão. Este capítulo costura rede, identidade, malware e pessoas num único trilho. Se o SGSI não ensaiou esse trilho, a crise inventará um, pior.
Ordem de volatilidade: colete o que some primeiro
Evidência digital não dura o mesmo tempo. A RFC 3227 propõe coletar do mais volátil para o menos volátil. No topo estão registradores e cache da CPU, praticamente impossíveis de preservar sem ferramenta especializada. Logo abaixo vêm a memória RAM, a tabela de processos, as conexões de rede abertas, a tabela ARP e o cache de rotas: tudo isso desaparece quando a máquina é desligada.
Depois vêm arquivos temporários, o disco, logs remotos e, por fim, mídias de arquivamento. É por isso que "desligar da tomada" costuma ser a pior primeira reação: você perde a memória onde estavam as chaves de criptografia do ransomware, o processo malicioso e as conexões com o servidor do atacante.
A ordem prática de um plantão costuma ser: isolar da rede mantendo ligado, capturar memória com ferramenta aprovada, registrar processos e conexões, e só então tratar do disco. Tudo com hash e registro de custódia.
Erradicar é tirar a causa, não só o sintoma visível
Desligar o host da nota de ransomware sem tratar a conta que abriu o caminho é contenção disfarçada de vitória. Erradicação pergunta o que ainda persiste: identidade nova, tarefa não inventariada, serviço órfão, chave vazada, caixa comprometida, integração de fornecedor. A profundidade segue o escopo autorizado da investigação interna: ainda assim, sem procedimentos de exploit. Use inventário e telemetria que você já deveria ter. Se não tem, essa ausência vira lição, não um convite a “vasculhar tudo”. Mude senhas e tokens *depois* de entender o trilho, ou você treina o operador indesejado. Marque um critério de “limpo o bastante para recuperar”: contas revisadas, superfície órfã fechada, monitoramento reforçado na janela. Perfeição absoluta atrasa a operação para sempre; leviandade a reconvida ao mesmo incidente.