Contenção de Incidentes Ativos

Quando Usar

• Uma intrusão confirmada está em andamento com um adversário ativo na rede
• Malware está se espalhando lateralmente por endpoints ou servidores
• Uma conta comprometida está sendo usada para acesso não autorizado a sistemas
• Criptografia de ransomware foi detectada e está se propagando ativamente
• Um atacante estabeleceu comunicação de comando e controle (C2) a partir de hosts internos

Não use para limpeza pós-incidente quando o adversário não estiver mais ativo; use procedimentos de erradicação em vez disso.

Pré-requisitos

• Classificação de incidente confirmada com severidade P1 ou P2 a partir da triagem
• Acesso ao console EDR com capacidades de isolamento de host (CrowdStrike Falcon, Microsoft Defender for Endpoint, SentinelOne)
• Acesso de gerenciamento de firewall de rede e switch para segmentação
• Acesso administrativo ao Active Directory ou provedor de identidade para ações de credenciais
• Autoridade de contenção pré-aprovada documentada no plano de resposta a incidentes
• Plano de preservação de evidências para evitar a destruição de artefatos forenses durante a contenção

Fluxo de Trabalho

Etapa 1: Avaliar o Escopo da Contenção

Antes de tomar ações de contenção, mapeie o escopo completo do comprometimento para evitar contenção parcial que alerte o adversário:

• Identifique todos os hosts comprometidos confirmados via telemetria EDR e correlação SIEM
• Mapeie os caminhos de movimento lateral usando logs de autenticação (ID de Evento do Windows 4624 Tipo 3 e Tipo 10)
• Identifique todas as credenciais comprometidas (verifique atividades de pass-the-hash, Kerberoasting, DCSync)
• Determine os canais C2 (intervalos de beacon, domínios, IPs, protocolos)
• Avalie se o adversário possui privilégios de administrador de domínio ou equivalentes

Containment Scope Assessment:
━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Compromised Hosts:     5 (WKSTN-042, WKSTN-087, SRV-FILE01, SRV-DC02, WKSTN-103)
Compromised Accounts:  3 (jsmith, svc-backup, admin-tier0)
C2 Channels:           HTTPS beacon to 185.220.x.x every 60s ± 15% jitter
Lateral Movement:      PsExec via svc-backup, RDP via admin-tier0
Adversary Privilege:   Domain Admin (admin-tier0 compromised)
Data at Risk:          Finance share (\\SRV-FILE01\finance$) accessed

Etapa 2: Executar Contenção de Curto Prazo

Implemente ações imediatas para interromper as operações do adversário sem destruir evidências:

Contenção de Rede:

• Isole endpoints comprometidos confirmados via contenção de rede do EDR (mantém a comunicação do agente)
• Bloqueie endereços IP e domínios C2 no firewall de perímetro e DNS interno
• Implemente regras de microsegmentação para impedir a comunicação entre hosts comprometidos
• Sinkhole de domínios C2 no DNS interno para capturar tentativas de conexão de implantes não descobertos

Contenção de Identidade:

• Desabilite contas de usuário comprometidas no Active Directory (não exclua; preserve a trilha de auditoria)
• Redefina as senhas de todas as contas comprometidas
• Revogue sessões e tokens ativos (Azure AD: Revoke-AzureADUserAllRefreshToken)
• Desabilite a conta de serviço comprometida e rotacione suas credenciais
• Se o Administrador de Domínio for comprometido: redefina a senha KRBTGT duas vezes (redefina duas vezes, com 12 horas de intervalo)

Contenção de Endpoint:

• Use o EDR para encerrar processos maliciosos em hosts contidos
• Bloqueie hashes maliciosos conhecidos na política de prevenção do EDR
• Quarentene amostras de malware identificadas
• Desabilite serviços remotos (WinRM, RDP, SMB) em servidores críticos ainda não comprometidos

Etapa 3: Executar Contenção de Longo Prazo

Implemente contenção sustentável enquanto a investigação continua:

• Crie ACLs de rede isolando a VLAN/sub-rede comprometida, permitindo o tráfego crítico para os negócios
• Implante jump hosts temporários para administradores acessarem sistemas contidos para investigação
• Implemente monitoramento aprimorado (captura completa de pacotes) em segmentos de rede adjacentes aos hosts comprometidos
• Habilite políticas de auditoria avançadas em todos os controladores de domínio (4768, 4769, 4771 para ataques Kerberos)
• Implante tokens canário e contas honeypot para detectar tentativas do adversário de expandir a partir da contenção

Etapa 4: Validar a Eficácia da Contenção

Confirme que as medidas de contenção interromperam as operações do adversário:

• Monitore novas chamadas C2 de qualquer host interno para infraestrutura conhecida do adversário
• Verifique novas tentativas de movimento lateral (falhas de autenticação de contas desabilitadas)
• Confirme que hosts contidos não conseguem acessar a internet, exceto através do agente EDR
• Confirme que credenciais comprometidas produzem falhas de autenticação
• Revise o SIEM em busca de novos alertas que correspondam às TTPs conhecidas do adversário

…