SSI-49. INVESTIGAÇÃO DE INCIDENTES DE SEGURANÇA

1. 49.1. Objetivo da Investigação

1.1. 49.1.1. Entender a origem, causa e impacto do incidente.

1.2. 49.1.2. Coletar evidências para ações corretivas, disciplinares ou legais.

1.3. 49.1.3. Identificar falhas nos controles e melhorar processos de segurança.

2. 49.2. Preservação de Dados Forenses

2.1. 49.2.1. Deve ocorrer imediatamente após a detecção do incidente.

2.2. 49.2.2. Garante integridade e validade legal das evidências.

2.3. 49.2.3. Deve seguir métodos aceitos pela perícia digital.

3. 49.3. Primeiro Respondedor (First Responder)

3.1. 49.3.1. Profissional que realiza a primeira resposta ao incidente.

3.2. 49.3.2. Responsável por:

3.2.1. 49.3.2.1. Isolar o ambiente

3.2.2. 49.3.2.2. Documentar a cena

3.2.3. 49.3.2.3. Iniciar a coleta de dados

4. 49.4. Computação Forense

4.1. 49.4.1. Prática de examinar dispositivos para coletar evidências digitais.

4.2. 49.4.2. Aplicações:

4.2.1. 49.4.2.1. Processos judiciais

4.2.2. 49.4.2.2. Investigações internas corporativas

5. 49.5. Processo Forense Básico

5.1. 49.5.1. Coleta – captura de dados relevantes

5.2. 49.5.2. Exame – verificação de integridade e formatação dos dados

5.3. 49.5.3. Análise – interpretação técnica das evidências

5.4. 49.5.4. Relatórios – documentação formal e clara

6. 49.6. Retenção Legal

6.1. 49.6.1. Processo para preservar dados potencialmente relevantes a litígios futuros.

6.2. 49.6.2. Deve ser iniciado quando houver expectativa razoável de ação judicial.

7. 49.7. Procedimentos Básicos de Resposta Forense

7.1. 49.7.1. Captura de imagem e memória forense

7.2. 49.7.2. Análise de tráfego de rede e logs

7.3. 49.7.3. Captura de vídeo e screenshots

7.4. 49.7.4. Geração de hashes para integridade

7.5. 49.7.5. Identificação de testemunhas

7.6. 49.7.6. Registro de tempo, custos e ações realizadas

8. 49.8. Ordem de Volatilidade

8.1. 49.8.1. Define a prioridade de coleta dos dados mais voláteis:

8.1.1. 49.8.1.1. Registros em cache

8.1.2. 49.8.1.2. Memória RAM

8.1.3. 49.8.1.3. Tabelas de roteamento

8.1.4. 49.8.1.4. Dados temporários e arquivos em disco

9. 49.9. Cadeia de Custódia

9.1. 49.9.1. Processo que documenta a posse, controle e análise das evidências.

9.2. 49.9.2. Garante que a evidência permaneceu íntegra e não foi adulterada.

9.3. 49.9.3. Deve conter:

9.3.1. 49.9.3.1. Quem coletou a evidência

9.3.2. 49.9.3.2. Quando e onde foi coletada

9.3.3. 49.9.3.3. Como foi armazenada e transportada