Realizando Investigação de Ameaça Interna

Quando Usar

• Alertas de DLP (Prevenção contra Perda de Dados) sobre grandes transferências de dados para armazenamento em nuvem pessoal ou dispositivos USB
• Análise de comportamento do usuário (UBA) detecta padrões de acesso anômalos para uma conta de usuário
• RH relata um funcionário que está saindo, suspeito de levar informações proprietárias
• Um usuário privilegiado é observado acessando sistemas fora de sua função de trabalho
• Denúncia de denunciante ou colega alega violações de política ou roubo de dados

Não use para investigações de atacantes externos onde credenciais comprometidas são usadas sem conluio interno; use procedimentos padrão de resposta a incidentes em vez disso.

Pré-requisitos

• Aprovação do departamento jurídico antes de iniciar qualquer monitoramento ou investigação de um funcionário
• Parceria com RH com procedimentos de investigação definidos e diretrizes de privacidade do funcionário
• Plataforma DLP com inspeção de conteúdo e aplicação de políticas (Symantec DLP, Microsoft Purview, Digital Guardian)
• Plataforma de análise de comportamento do usuário (Microsoft Sentinel UEBA, Exabeam, Securonix)
• Capacidade de imagem forense para exame de endpoint
• Procedimentos de cadeia de custódia para evidências que podem ser usadas em processos legais
• Documentação clara de autoridade e escopo aprovada pelo departamento jurídico e RH

Fluxo de Trabalho

Etapa 1: Receber e Validar a Alegação

Documente o relatório inicial e valide antes de prosseguir:

• Registre a fonte da alegação (alerta DLP, detecção UBA, encaminhamento de RH, relatório do gerente)
• Confirme com o departamento jurídico que a investigação está autorizada
• Defina o escopo da investigação: qual atividade está sendo investigada, período de tempo, sistemas envolvidos
• Estabeleça a equipe de investigação: segurança, jurídico, RH (nunca investigue sozinho)
• Crie um arquivo de caso restrito acessível apenas à equipe de investigação

Investigation Authorization:
━━━━━━━━━━━━━━━━━━━━━━━━━━━
Case ID:           INV-2025-042
Subject:           [Employee Name] - [Title] - [Department]
Allegation:        Unauthorized transfer of proprietary data to personal cloud storage
Reported By:       DLP system alert + manager concern
Legal Approval:    [Counsel Name] - 2025-11-15
HR Liaison:        [HR Name]
Scope:             File access and transfer activity from 2025-10-01 to present
Systems in Scope:  Workstation, email, cloud storage, VPN, DLP logs

Etapa 2: Coletar Evidências Discretamente

Reúna evidências sem alertar o sujeito sobre a investigação:

Evidências Baseadas em Logs (não intrusivas):

• Logs DLP: transferências de arquivos, violações de políticas, correspondências de conteúdo
• Logs de acesso à nuvem: atividade do SharePoint, OneDrive, Google Drive
• Logs de e-mail: mensagens para contas pessoais, anexos grandes, regras de encaminhamento
• Logs de VPN e autenticação: horários de acesso, locais, dispositivos
• Logs de acesso por crachá: padrões de acesso físico
• Logs de impressão: grandes trabalhos de impressão de documentos confidenciais
• Logs de conexão de dispositivos USB: tipo de dispositivo, número de série, horários de conexão

Monitoramento de Atividade do Usuário (requer aprovação legal):

• Captura de tela ou gravação de sessão (somente se legalmente autorizado e documentado)
• Registro de teclas (dependente da jurisdição, requer aprovação legal explícita)
• Captura de tráfego de rede para a estação de trabalho do sujeito

Forenses de Endpoint (se justificado pelas evidências):

• Crie uma imagem forense da estação de trabalho do sujeito
• Analise o histórico do navegador, histórico de downloads e aplicativos instalados
• Examine arquivos excluídos e o conteúdo da Lixeira
• Revise os logs do aplicativo de sincronização em nuvem (cliente desktop Dropbox, Google Drive)

Etapa 3: Analisar Padrões de Comportamento do Usuário

Construa um perfil comportamental comparando atividade normal vs. anômala:

Behavioral Analysis:
━━━━━━━━━━━━━━━━━━
Normal Baseline (6-month average):
- Login time: 08:30-09:00 weekdays
- Files accessed: 15-25 per day (marketing department files)
- Email volume: 45 sent, 80 received per day
- Data transferred: 50MB per day average
- USB usage: None

Investigation Period (last 30 days):
- Login time: 22:00-02:00 (after hours, multiple occasions)
- Files accessed: 200+ per day (finance, engineering, executive files)
- Email volume: 120 sent per day (30% to personal gmail)
- Data transferred: 2.5GB per day average
- USB usage: 3 unique devices connected (Kingston DataTraveler)
- Print jobs: 847 pages (competitor analysis, customer lists, source code)

Anomaly Score: 94/100 (Critical)

Etapa 4: Reconstruir a Linha do Tempo da Atividade

Construa uma linha do tempo cronológica das ações do sujeito:

Linha do Tempo da Atividade:

…