Realizando Exercício de Simulação de SOC (Tabletop)

Quando Usar

Use esta habilidade quando:

• Testes anuais ou semestrais de resposta a incidentes são necessários (conformidade NIST, ISO 27001, PCI DSS)
• Novos analistas de SOC precisam de exposição a cenários de incidentes importantes em um ambiente controlado
• Playbooks atualizados precisam de validação antes do próximo incidente real
• A coordenação interfuncional (SOC, TI, Jurídico, RP, Executivo) precisa de ensaio
• Revisões pós-incidente revelam lacunas que exigem treinamento baseado em cenários

Não use como substituto para exercícios técnicos de equipe roxa — exercícios de simulação (tabletop) testam processos e tomada de decisão, não capacidades técnicas de detecção.

Pré-requisitos

• Facilitador do exercício com experiência em resposta a incidentes
• Lista de participantes: analistas de SOC (Nível 1-3), gerente de SOC, operações de TI, Jurídico, RH, Comunicações
• Sala de conferência ou chamada de vídeo com capacidade de compartilhamento de tela
• Injeções de cenário impressas ou digitais com cronograma de liberação
• Formulário de avaliação para analisar as respostas dos participantes
• Plano de resposta a incidentes e playbooks existentes para referência durante o exercício

Fluxo de Trabalho

Etapa 1: Projetar Cenário do Exercício

Crie um cenário realista de múltiplas fases com complexidade crescente:

tabletop_exercise:
  title: "Operation Dark Harvest — Ransomware Attack Scenario"
  exercise_id: TTX-2024-Q1
  date: 2024-03-22
  duration: 3 hours (09:00-12:00)
  classification: TLP:AMBER (internal use only)

  objectives:
    1: "Test SOC team's ability to detect and triage ransomware indicators"
    2: "Validate escalation procedures from Tier 1 to incident commander"
    3: "Assess cross-functional communication with Legal, PR, and Executive leadership"
    4: "Evaluate containment decision-making under time pressure"
    5: "Test backup recovery procedures and business continuity activation"

  participants:
    - role: SOC Tier 1 Analyst (2 participants)
    - role: SOC Tier 2 Analyst (2 participants)
    - role: SOC Manager / Incident Commander
    - role: IT Operations Lead
    - role: CISO (or delegate)
    - role: Legal Counsel
    - role: Communications / PR
    - role: Business Unit Leader (Finance)

  scenario_background: >
    Your organization is a mid-size financial services company with 2,500 employees.
    The SOC operates 24/7 with 6 analysts per shift using Splunk ES and CrowdStrike Falcon.
    It is Friday afternoon at 3:45 PM. The weekend IT skeleton crew starts at 5 PM.

Etapa 2: Criar Injeções Cronometradas

Projete injeções de cenário liberadas em intervalos programados:

injects:

  inject_1:
    time: "T+0 (15:45)"
    title: "Alerta Inicial"
    content: >
      O Splunk ES gera um evento notável: "Exclusão de Shadow Copy Detectada"
      no FILESERVER-03 (10.0.10.50, servidor de arquivos do Departamento Financeiro).
      O alerta mostra: vssadmin.exe delete shadows /all /quiet
      Usuário de origem: svc_backup (conta de serviço)
      Este é o primeiro alerta deste host hoje.
    questions:
      - "Qual é sua avaliação inicial deste alerta?"
      - "Quais dados adicionais você consultaria no Splunk?"
      - "Este é um item de triagem de Nível 1 ou uma escalada imediata?"

  inject_2:
    time: "T+10 minutos"
    title: "Indicadores em Escalada"
    content: >
      Enquanto investiga o primeiro alerta, mais dois alertas são disparados:
      1. "Modificação Massiva de Arquivos Detectada" — 2.847 arquivos renomeados com extensão .locked
         no FILESERVER-03 em 5 minutos
      2. "Comando PowerShell Codificado Suspeito" na WORKSTATION-118 (10.0.5.118)
         — mesma conta svc_backup utilizada
      O CrowdStrike mostra a árvore de processos: explorer.exe > cmd.exe > powershell.exe -enc [base64]
    questions:
      - "Qual é sua avaliação atualizada? Qual severidade de incidente você atribuiria?"
      - "Quais ações imediatas de contenção você tomaria?"
      - "Quem precisa ser notificado neste ponto?"
      - "Como você determina se isso está restrito a esses dois hosts?"

  inject_3:
    time: "T+25 minutos"
    title: "Expansão do Escopo"
    content: >
      A busca do Splunk em toda a empresa revela:
      - 7 hosts adicionais mostrando extensões de arquivo .locked
      - Todos os hosts afetados estão na VLAN Financeira (10.0.10.0/24)
      - A conta svc_backup foi usada para RDP em todos os hosts afetados a partir das 15:30
      - Uma nota de resgate "README_UNLOCK.txt" encontrada em todos os hosts afetados
      - A nota de resgate exige 50 BTC, inclui link para portal de pagamento Tor
      - TI relata que a senha da conta svc_backup foi alterada há 2 dias (não pela equipe de TI)
    questions:

…