A resposta a incidentes trata de uma violação de segurança desde a deteção até à recuperação. O processo segue uma estrutura: preparação, identificação, contenção, erradicação, recuperação e lições aprendidas. Cada fase tem os seus próprios desafios. A preparação envolve a formação da equipa, a configuração das ferramentas e a elaboração dos planos de ação. A identificação confirma se o incidente é real ou um falso alarme. A contenção impede a propagação. A erradicação remove o acesso do invasor. A recuperação restabelece as operações normais. As lições aprendidas previnem novos incidentes.

A velocidade é crucial em cada etapa. Quanto mais tempo um atacante permanecer dentro do sistema, maior será o dano causado. O tempo médio de internamento, o intervalo entre a intrusão e a deteção, diminuiu ao longo dos anos, mas ainda é medido em semanas para muitas organizações. As equipas de ransomware agem mais rapidamente. Extraem dados e encriptam sistemas em questão de dias. Um plano de resposta que demora uma semana a ser ativado é inútil face a este prazo. As melhores equipas de resposta a incidentes treinam. Realizam exercícios simulados, simulam invasões e ensaiam a comunicação. Sabem quem contacta o departamento jurídico, quem fala com a imprensa e quem negoceia com o invasor. Quando o incidente real acontece, elas não estão a descobrir a situação pela primeira vez. Estão a executar um plano que já utilizaram antes.

Fases de resposta a incidentes

• Preparação — equipa, ferramentas e planos de ação
• Identificação — confirmar e delimitar o incidente.
• Contenção — impedir a propagação
• Erradicação — remover o acesso do atacante
• Recuperação — restabelecer as operações
• Lições aprendidas — melhorar para a próxima vez

A resposta a incidentes é um trabalho de equipa. O trabalho técnico representa apenas metade da tarefa. A comunicação e a coordenação são cruciais para o resultado.