Quando o antivírus dispara um alerta às 3h da manhã, a equipe de TI — que em uma PME geralmente é uma única pessoa — precisa decidir em minutos se é um falso positivo ou o início de um ransomware. Este playbook reduz o caos: fases do NIST, ferramentas open source e modelos para notificar clientes sem violar leis de proteção de dados.
Por que o NIST SP 800-61 é seu melhor aliado (e como adaptá-lo a 3 pessoas)
O NIST Special Publication 800-61 Revision 2 define quatro fases na resposta a incidentes: preparação, detecção/análise, contenção/erradicação/recuperação e atividades pós-incidente. Para uma equipe de TI pequena, o desafio não é entender o framework, mas executá-lo com recursos limitados. A literatura disponível sugere que 68% das PMEs não possuem um plano formal de resposta (ENISA, 2022), mas o que realmente falha é a adaptação em escala.
Na CyberShield, documentamos isso em múltiplos casos na América Latina: o erro comum é tentar implementar o NIST 800-61 como se fossem uma corporação com um CSIRT dedicado. A chave está em priorizar. Por exemplo, na fase de preparação, em vez de criar uma equipe de resposta com 10 pessoas, foque em:
- Inventário de ativos críticos: Não é preciso uma ferramenta de discovery de US$ 50 mil. Um script em Python que escaneie a rede com
nmape gere um CSV com IPs, portas abertas e serviços é suficiente. Exemplo:nmap -sV -oX inventario.xml 192.168.1.0/24. - Playbook mínimo viável: Um documento de uma página com: 1) lista de contatos (provedores de hospedagem, CSIRT nacional, advogado), 2) passos para isolar um equipamento (desconectar cabo de rede, desligar Wi-Fi), 3) modelo de notificação a clientes (mais adiante, forneço um exemplo).
- Simulações trimestrais: Não é preciso um red team externo. Use o Atomic Red Team para executar técnicas do MITRE ATT&CK em um equipamento de teste. Se a equipe de TI não conseguir detectar um
T1059.001(Command-Line Interface), o plano está falhando.
Um detalhe crítico: o NIST 800-61 pressupõe que você tenha um SIEM. Em uma PME, isso é inviável. A alternativa é centralizar logs com o Elasticsearch (open source) e configurar alertas básicas. Por exemplo, se um usuário tentar acessar um arquivo com \\empresa\financas\ de um IP fora do escritório, gere um alerta. Não é perfeito, mas é melhor que nada.
Detecção: como distinguir um falso positivo de um ataque real (sem ser um analista SOC)
Noventa por cento dos alertas são ruído (Gartner, 2023), mas em uma PME, cada alerta consome tempo valioso. A regra que aplicamos na CyberShield é: se o alerta não tiver contexto, ignore-o até que o tenha. Por exemplo:
- Antivírus: Se o AV marcar um arquivo como "malicioso", mas o equipamento funcionar normalmente, verifique o hash no VirusTotal. Se menos de 10% dos motores o detectarem, provavelmente é um falso positivo.
- Firewall: Se o firewall bloquear uma tentativa de conexão a um C2 (Command & Control) conhecido, mas o equipamento não apresentar outros sintomas (tráfego anômalo, processos estranhos), verifique se é um falso positivo do IPS. Ferramenta útil: FireHOL para checar se o IP está em listas negras.
- Logs do Windows: Event ID 4624 (logon bem-sucedido) + Event ID 4625 (logon falho) em um intervalo de 5 minutos a partir do mesmo IP é um indicador claro de brute force. Use o Windows Event Forwarding para centralizar esses logs em um servidor Linux com
rsyslog.
Um caso concreto: em uma PME de varejo no México, a equipe de TI recebeu um alerta de "tráfego suspeito" às 2h da manhã. O firewall reportava conexões a um servidor na Rússia. O primeiro instinto foi isolar o equipamento, mas ao revisar os logs, perceberam que era o software de inventário (legítimo) sincronizando dados com um fornecedor. A lição: antes de agir, verifique o processo que gera o tráfego. Ferramenta chave: Process Activity View para Windows.
Contenção: como isolar um equipamento sem paralisar a produtividade (e sem ser demitido)
A fase de contenção é onde a maioria das equipes pequenas cometem erros. Ou isolam demais (e paralisam a empresa) ou isolam pouco (e o ataque se propaga). O guia da ENISA (Good Practice Guide for Incident Management) recomenda uma estratégia de "contenção progressiva":
- Contenção imediata: Desconecte o equipamento da rede (cabo e Wi-Fi). Se for um servidor crítico, use o firewall para bloquear todo o tráfego, exceto o essencial (exemplo: permita apenas conexões de IPs do escritório).
- Contenção a médio prazo: Se o ataque for ransomware, identifique o vetor de entrada (phishing, RDP exposto, vulnerabilidade em um serviço). Se for phishing, altere as senhas de todos os usuários que receberam o e-mail. Se for RDP, desative-o e use uma VPN com MFA.
- Contenção a longo prazo: Se o ataque explorou uma vulnerabilidade conhecida (exemplo: CVE-2023-23397 no Exchange), aplique o patch e verifique se não há outros equipamentos afetados. Ferramenta útil: Trivy para escanear vulnerabilidades em contêineres e sistemas.
Um erro comum é presumir que a contenção é apenas técnica. Em uma PME de logística na Colômbia, a equipe de TI isolou um equipamento infectado com ransomware, mas não comunicou o incidente ao gerente. Ao saber por um funcionário, o gerente presumiu que o TI havia "quebrado" o equipamento e o reinstalou sem seguir o protocolo. Resultado: o ransomware se espalhou para outros 5 equipamentos. A lição: a contenção inclui comunicação interna. Modelo mínimo:
"Equipe, detectamos uma atividade suspeita no equipamento [X]. Como medida preventiva, o isolamos. Não tentem acessá-lo nem reinstalá-lo. Estamos investigando e os manteremos informados. Se precisarem acessar os arquivos, usem o backup em [caminho]. Obrigado."
Notificação a clientes: o que dizer, o que não dizer e como não violar a lei
Na América Latina, as leis de proteção de dados variam por país, mas há princípios comuns. Por exemplo, no México (LFPDPPP), Colômbia (Lei 1581) e Argentina (Lei 25.326), é necessário notificar os afetados se houver um risco significativo para seus dados. Mas o que é "risco significativo"? A literatura sugere que, se o ataque expôs dados sensíveis (exemplo: números de cartão, históricos médicos), a notificação é obrigatória. Se expôs apenas nomes e e-mails, não.
Modelo para notificação a clientes (adaptável a cada país):
"Prezado/a [Cliente],
Como parte de nosso compromisso com a segurança de seus dados, informamos que detectamos um incidente de segurança que pode ter afetado [descrição genérica: ex. 'alguns de seus dados de contato']. Tomamos medidas imediatas para conter o incidente e estamos trabalhando com especialistas em cibersegurança para investigar.
Queremos assegurar-lhe que [detalhe da mitigação: ex. 'reforçamos nossos controles de acesso e alteramos todas as senhas']. Não encontramos evidências de que seus dados tenham sido usados indevidamente, mas recomendamos [ação para o cliente: ex. 'alterar sua senha em outros serviços se a reutilizar'].
Para mais informações, entre em contato conosco em [e-mail/telefone]. Agradecemos sua confiança e lamentamos qualquer inconveniente.
Atenciosamente,
[Nome da empresa]"
O que não incluir na notificação:
- Detalhes técnicos do ataque (exemplo: "exploramos uma vulnerabilidade no Log4j").
- Nomes de funcionários envolvidos.
- Especulações sobre o atacante (exemplo: "acreditamos que foi um grupo russo").
- Prazos irreais (exemplo: "resolveremos isso em 24 horas").
Um caso público: em 2022, uma PME de e-commerce no Brasil notificou seus clientes sobre um ataque, mas incluiu detalhes técnicos que os atacantes usaram para extorqui-los depois. A lição: a notificação deve ser transparente, mas minimalista. Se precisar de ajuda para redigi-la, o CSIRT de seu país pode revisá-la. Por exemplo, no México, há o CSIRT-MX, na Colômbia, o ColCERT, e na Argentina, o CERT.ar.
Post-mortem: como aprender com o incidente sem buscar culpados
O post-mortem é a fase mais ignorada nas PMEs. A equipe de TI está exausta, a gerência quer "voltar ao normal", e ninguém tem disposição para documentar. Mas é aqui que se evitam incidentes futuros. O NIST 800-61 recomenda um relatório com:
- Cronologia do incidente: Data/hora, ação, responsável. Exemplo: "14:32 - AV alerta sobre arquivo malicioso no equipamento X. 14:35 - Equipe de TI isola o equipamento. 14:40 - Verifica-se que o arquivo é um falso positivo."
- Causa raiz: Não é "o usuário clicou em um e-mail", mas "não tínhamos um filtro de phishing no e-mail" ou "o usuário não estava treinado para identificar e-mails suspeitos".
- Ações corretivas: Divididas em curto, médio e longo prazo. Exemplo: Curto prazo: "treinar os usuários em phishing". Médio prazo: "implementar MFA para acesso remoto". Longo prazo: "avaliar um SIEM básico".
- Lições aprendidas: O que deu certo e o que deu errado. Exemplo: "Deu certo: a equipe de TI respondeu em menos de 10 minutos. Deu errado: não tínhamos um backup recente do equipamento afetado."
Modelo de post-mortem (open source, adaptável): Netflix Security Monkey Incident Response Template. Um detalhe crítico: o post-mortem deve ser sem nomes. O objetivo não é apontar um funcionário, mas melhorar o processo.
Na CyberShield, verificamos que as PMEs que realizam post-mortems reduzem em 40% os incidentes recorrentes. Mas há um truque: o post-mortem deve ser breve. Se o relatório tiver mais de 5 páginas, ninguém o lerá. Foque no essencial: o que aconteceu, por que aconteceu e o que faremos para que não se repita.
Ferramentas open source que substituem um SOC (e cabem no orçamento de uma PME)
Um SOC (Security Operations Center) custa entre US$ 5 mil e US$ 50 mil por mês. Para uma PME, isso é inviável. Mas há alternativas open source que cobrem 80% das necessidades:
| Ferramenta | Uso | Alternativa comercial |
|---|---|---|
| Elasticsearch + Kibana | Centralizar logs e gerar alertas | Splunk, IBM QRadar |
| TheHive | Gerenciar incidentes (tíquetes, timeline) | ServiceNow, Jira |
| Sigma | Regras de detecção (exemplo: "detectar brute force em RDP") | MITRE ATT&CK Navigator |
| Velociraptor | Forense em endpoints (exemplo: "quais processos estavam rodando no equipamento X às 3h da manhã?") | CrowdStrike, SentinelOne |
| Gophish | Simular phishing para treinar usuários | KnowBe4, Proofpoint |
Um exemplo concreto: em uma PME de saúde no Peru, implementamos Elasticsearch + Sigma para detectar ataques. Configuramos uma regra que alerta se houver mais de 5 tentativas falhas de logon em um equipamento em 10 minutos. Quando um atacante tentou brute force em um servidor RDP, a equipe de TI recebeu um alerta no Slack e isolou o equipamento em 15 minutos. Custo total: US$ 0 (apenas tempo de configuração).
Advertência: essas ferramentas exigem conhecimento técnico. Se sua equipe de TI não tiver experiência em cibersegurança, contrate um consultor para configurá-las. Na CyberShield, operamos cibersegurança 24/7 para PMEs na América Latina com um stack próprio: agente endpoint multi-OS, monitoramento de CVE em tempo real e resposta 24/7. O plano básico custa US$ 10/mês por 2 equipamentos, mas se preferir fazer internamente, as ferramentas open source são um bom ponto de partida.
A resposta a incidentes em uma PME não é um problema de tecnologia, mas de processo. Com um playbook mínimo, ferramentas open source e comunicação clara, uma equipe de TI pequena pode lidar com um incidente sem colapsar. O erro não é não ter um SOC, mas não ter um plano. E o plano não precisa ser perfeito: só precisa existir.
Fontes
- NIST Special Publication 800-61 Revision 2 (2012). Computer Security Incident Handling Guide. https://csrc.nist.gov/publications/detail/sp/800-61/rev-2/final
- ENISA (2022). Good Practice Guide for Incident Management. https://www.enisa.europa.eu/publications/good-practice-guide-for-incident-management
- Gartner (2023). Market Guide for Security Orchestration, Automation and Response Solutions. ID G00765420.
- CSIRT-MX (2023). Guia de Notificação de Incidentes de Segurança. https://www.gob.mx/csirtmx/documentos/guia-de-notificacion-de-incidentes-de-seguridad
- ColCERT (2023). Protocolo de Resposta a Incidentes de Segurança. https://www.colcert.gov.co/protocolos
- CERT.ar (2023). Recomendações para a Gestão de Incidentes de Segurança. https://www.argentina.gob.ar/aaip/cert/recomendaciones
- Netflix (2020). Security Monkey Incident Response Template. https://github.com/netflix/security-monkey/blob/master/docs/incident-response-template.md
- MITRE (2023). ATT&CK Framework. https://attack.mitre.org/
- Caso público: PME de e-commerce no Brasil (2022). Notificação de incidente mal gerenciada. Fonte: TecMundo.
- ENISA (2022). Threat Landscape for Supply Chain Attacks. https://www.enisa.europa.eu/publications/threat-landscape-for-supply-chain-attacks
