Criando um Playbook de SOC para Ransomware

Quando Usar

Use esta habilidade quando:

• Equipes de SOC precisam de um playbook de resposta a ransomware padronizado para analistas de Nível 1-3
• Uma organização não possui procedimentos documentados para contenção e recuperação de ransomware
• Exercícios de simulação revelam lacunas na coordenação da resposta a ransomware
• Requisitos de conformidade (NIST CSF, ISO 27001) exigem playbooks de incidentes documentados

Não use durante um incidente ativo de ransomware como guia único — tenha playbooks pré-construídos, testados e ensaiados antes que os incidentes ocorram.

Pré-requisitos

• Plataforma SIEM (Splunk ES, Elastic Security ou Sentinel) com dados de endpoint e rede
• Solução EDR (CrowdStrike, SentinelOne ou Microsoft Defender for Endpoint) com capacidade de isolamento de rede
• Infraestrutura de backup com procedimentos de recuperação testados e backups offline/imutáveis
• Plano de comunicação com contatos jurídicos, liderança executiva e contatos de retainer de IR externos
• Conhecimento do MITRE ATT&CK para cadeias de técnicas de ransomware

Fluxo de Trabalho

Etapa 1: Definir Gatilhos de Detecção

Crie regras de detecção no SIEM para indicadores iniciais de ransomware:

Detecção de Criptografia Massiva de Arquivos (Splunk):

index=sysmon EventCode=11
| bin _time span=1m
| stats dc(TargetFilename) AS unique_files, values(TargetFilename) AS sample_files by Computer, Image, _time
| where unique_files > 100
| eval suspicious_extensions = if(match(mvjoin(sample_files, ","), "\.(encrypted|locked|crypt|enc|ransom)"), "YES", "NO")
| where suspicious_extensions="YES" OR unique_files > 500
| sort - unique_files

Exclusão de Shadow Copy (T1490):

index=wineventlog sourcetype="WinEventLog:Security" OR index=sysmon EventCode=1
(CommandLine="*vssadmin*delete*shadows*" OR CommandLine="*wmic*shadowcopy*delete*"
 OR CommandLine="*bcdedit*/set*recoveryenabled*no*" OR CommandLine="*wbadmin*delete*catalog*")
| table _time, Computer, User, ParentImage, Image, CommandLine

Criação de Arquivo de Nota de Ransomware:

index=sysmon EventCode=11
TargetFilename IN ("*README*.txt", "*DECRYPT*.txt", "*RANSOM*.txt", "*RECOVER*.html", "*HOW_TO*.txt")
| stats count by Computer, Image, TargetFilename
| where count > 5

Variante EQL do Elastic Security:

sequence by host.name with maxspan=2m
  [process where event.type == "start" and
    process.args : ("*vssadmin*", "*delete*", "*shadows*")]
  [file where event.type == "creation" and
    file.name : ("*README*DECRYPT*", "*RANSOM*", "*HOW_TO_RECOVER*")]

Etapa 2: Construir Árvore de Decisão de Triagem

RANSOMWARE ALERT TRIAGE
│
├── Is encryption actively occurring?
│   ├── YES → IMMEDIATE: Isolate host from network (Step 3)
│   │         Do NOT power off (preserve memory for forensics)
│   └── NO → Is this a pre-encryption indicator?
│       ├── Shadow copy deletion → HIGH PRIORITY: Isolate and investigate
│       ├── Known ransomware hash → HIGH PRIORITY: Block hash, scan enterprise
│       └── Suspicious process behavior → MEDIUM: Investigate, prepare isolation
│
├── How many hosts affected?
│   ├── Single host → Contained incident, follow host isolation procedure
│   ├── Multiple hosts (2-10) → Escalate to Tier 2, begin enterprise-wide scan
│   └── Enterprise-wide (>10) → Activate full IR team, engage external retainer
│
└── Is data exfiltration confirmed?
    ├── YES → Double extortion scenario, engage legal for breach notification
    └── NO/UNKNOWN → Check for Cobalt Strike/C2 beacons, review outbound transfers

Etapa 3: Procedimentos de Contenção

Isolamento de Rede via EDR (CrowdStrike Falcon):

# Isolate host using CrowdStrike Falcon API
curl -X POST "https://api.crowdstrike.com/devices/entities/devices-actions/v2?action_name=contain" \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"ids": ["device_id_here"]}'

Isolamento de Rede via Microsoft Defender for Endpoint:

# Isolate machine via MDE API
$headers = @{Authorization = "Bearer $token"}
$body = @{Comment = "Ransomware containment - IR-2024-0500"; IsolationType = "Full"} | ConvertTo-Json
Invoke-RestMethod -Uri "https://api.securitycenter.microsoft.com/api/machines/$machineId/isolate" `
    -Method Post -Headers $headers -Body $body -ContentType "application/json"

Regras de Emergência de Firewall:

# Palo Alto — Bloquear propagação lateral de SMB
set rulebase security rules RansomwareContainment from Trust to Trust
set rulebase security rules RansomwareContainment application ms-ds-smb

…