Investigação de incidentes de segurança

É a análise técnica de um incidente já ocorrido para responder quatro perguntas: o que aconteceu, quando aconteceu, o que o atacante deixou para trás e o que precisa ser corrigido. A investigação coleta e preserva evidências, reconstrói a linha do tempo do ataque, procura por backdoors e outros mecanismos de persistência e entrega um relatório técnico com recomendações priorizadas.

O acionamento é feito pelo canal de contato e a primeira orientação é sempre a mesma: preservar as evidências antes de qualquer reinstalação ou formatação. A partir do aceite do escopo, iniciamos a coleta com a sua equipe. O prazo total depende do número de ativos envolvidos, do volume de logs disponíveis e do tempo de retenção desses registros.

O relatório traz a descrição do que aconteceu (vetor inicial, ativos afetados e dados envolvidos), a linha do tempo do incidente, os vestígios encontrados (contas criadas, webshells, tarefas agendadas, chaves e serviços usados para persistência), a avaliação de o que foi contido e o que ainda representa risco, e um plano de recomendações separado entre ações imediatas, de curto prazo e estruturais.

Essa é uma das perguntas centrais da investigação. Procuramos mecanismos de persistência conhecidos e anômalos nos ativos em escopo: contas e credenciais criadas ou alteradas, chaves de acesso, tarefas agendadas, serviços, webshells, regras de encaminhamento e alterações de configuração. O relatório informa o que foi encontrado, o que foi removido e quais pontos permanecem em monitoramento.

Sim. O relatório técnico serve de base para a comunicação a titulares e à ANPD quando o incidente envolve dados pessoais, e também para responder questionários de clientes, seguradoras e auditorias. A LC Sec prepara a documentação técnica; a decisão sobre notificações e prazos legais é sempre da empresa e da sua assessoria jurídica.

O pentest é preventivo: simula um ataque para encontrar vulnerabilidades antes que alguém as explore. A investigação de incidentes é reativa: o ataque já aconteceu e o objetivo é entender o que ocorreu, medir o impacto, eliminar a presença do atacante e evitar a reincidência. Depois de uma investigação, o pentest costuma ser o passo seguinte para validar as correções aplicadas.

Não formate nem reinstale as máquinas afetadas; isole-as da rede mantendo-as ligadas quando possível; preserve os logs de firewall, VPN, Active Directory, e-mail e nuvem; troque credenciais a partir de um dispositivo limpo, começando pelas contas administrativas; e acione a investigação junto com o jurídico ou DPO, porque o prazo de comunicação à ANPD conta a partir do conhecimento do incidente. A LC Sec dá essas orientações no primeiro contato.

Segue a sequência do NIST SP 800-61: contenção dos segmentos afetados, investigação da variante, do vetor de entrada, das contas usadas e dos dados exfiltrados, erradicação de persistências e backdoors, e apoio à recuperação em ordem segura, com validação de que a porta foi fechada. A LC Sec não negocia nem recomenda pagamento de resgate; essa decisão é da empresa com a sua assessoria jurídica.

Pela LGPD (art. 48) e pela Resolução CD/ANPD nº 15/2024, o controlador deve comunicar à ANPD e aos titulares, pelo formulário eletrônico da ANPD, os incidentes que possam acarretar risco ou dano relevante, no prazo de 3 dias úteis contados do conhecimento do incidente (em dobro para agentes de pequeno porte), e manter o registro interno por pelo menos cinco anos. A LC Sec fornece a base técnica da comunicação; a decisão de notificar é da empresa e do seu jurídico.

Não há tabela fixa: o valor depende do número de ativos, do volume e da retenção de logs, da urgência e da existência de dados pessoais e obrigações regulatórias. O acionamento é feito pelo formulário da página ou por contato@lcsec.io; as orientações de preservação são dadas no primeiro contato e a proposta descreve o escopo, a análise e as entregas.