Detecção sem resposta não protege
Um alerta identificado às 3h da manhã e lido às 9h não impede um ataque. Por isso, monitoramento e resposta precisam ser desenhados juntos: fontes de dados, critérios de priorização, quem é acionado e o que essa pessoa está autorizada a fazer.
As fases do ciclo
- Preparação: inventário, contatos, playbooks, permissões de contenção
- Detecção e análise: correlação, triagem e classificação de severidade
- Contenção: isolar endpoint, revogar sessão, bloquear indicador
- Erradicação e recuperação: remover persistência e restaurar serviços
- Lições aprendidas: ajustar controles e regras com base no ocorrido
Playbooks que realmente ajudam
Um bom playbook cabe em uma página e responde a três perguntas: o que verificar, o que fazer e quem avisar. Documentos de cinquenta páginas não são lidos durante uma crise.
Métricas de operação
- Tempo até a triagem do primeiro alerta
- MTTD e MTTR por severidade
- Percentual de alertas fechados como falso positivo
- Cobertura de ativos monitorados
O teste que vale mais que a ferramenta
Simule um incidente. Um exercício de mesa de duas horas costuma revelar mais lacunas — contatos desatualizados, falta de permissão para isolar máquina, ausência de canal alternativo de comunicação — do que meses de ajuste fino de regras.