Triagem de Incidentes de Segurança

Quando Usar

• Um alerta de SIEM ou EDR dispara e requer classificação humana antes do escalonamento
• Múltiplos alertas concorrentes chegam e o SOC precisa priorizar a ordem de resposta
• Um usuário final relata atividade suspeita e o incidente precisa de categorização inicial
• Um feed de inteligência de ameaças corresponde a um IOC observado no ambiente

Não use para resultados de varredura de vulnerabilidade de rotina ou descobertas de auditoria de conformidade que não representem incidentes de segurança ativos.

Pré-requisitos

• Acesso à plataforma SIEM (Splunk, Elastic, Microsoft Sentinel) com dados de alerta atuais
• Taxonomia de classificação de incidentes alinhada às categorias do NIST SP 800-61r3
• Matriz de severidade predefinida mapeando a criticidade do ativo para o tipo de ameaça
• Lista de contatos para caminhos de escalonamento (Tier 1 a Tier 3 e CIRT)
• Inventário de ativos com classificações de criticidade de negócios

Fluxo de Trabalho

Etapa 1: Coletar Dados Iniciais do Alerta

Reúna todo o contexto disponível do alerta de gatilho antes de tomar decisões de classificação:

• Origem do alerta: Qual sistema de detecção gerou o alerta (EDR, SIEM, IDS/IPS, firewall, relatório do usuário)
• Timestamp: Quando o evento ocorreu e quando foi detectado (lacuna de tempo de permanência)
• Ativos afetados: Nomes de host, endereços IP, contas de usuário envolvidas
• Fidelidade do alerta: Taxa histórica de verdadeiros positivos para esta regra de detecção
• Evidência bruta: Entradas de log, capturas de pacotes, cadeias de execução de processos

Example SIEM alert context:
Source:       CrowdStrike Falcon
Detection:    Suspicious PowerShell Execution (T1059.001)
Host:         WORKSTATION-FIN-042
User:         jsmith@corp.example.com
Timestamp:    2025-11-15T14:23:17Z
Severity:     High (detection rule confidence: 92%)
Process:      powershell.exe -enc SQBFAFgAIAAoAE4AZQB3AC0ATwBiAGoA...
Parent:       outlook.exe (PID 4812)

Etapa 2: Classificar o Tipo de Incidente

Mapeie o alerta para uma categoria de incidente padrão de acordo com o NIST SP 800-61r3:

Etapa 3: Atribuir Severidade Usando a Matriz de Impacto

Calcule a severidade combinando a criticidade do ativo com a severidade da ameaça:

Severity = f(Asset Criticality, Threat Type, Data Sensitivity, Lateral Movement Potential)

Critical (P1): Crown jewel systems compromised, active data exfiltration, ransomware spreading
High (P2):     Production system compromise, confirmed malware execution, privileged account takeover
Medium (P3):   Non-production compromise, unsuccessful exploitation attempt, single endpoint malware
Low (P4):      Reconnaissance activity, policy violation, benign true positive

Metas de SLA de resposta:

• P1: Reconhecer em 15 minutos, conter em 1 hora
• P2: Reconhecer em 30 minutos, conter em 4 horas
• P3: Reconhecer em 2 horas, investigar em 24 horas
• P4: Reconhecer em 8 horas, investigar em 72 horas

Etapa 4: Realizar Enriquecimento Inicial

Antes do escalonamento, enriqueça o alerta com dados contextuais:

• Inteligência de ameaças: Verifique IOCs (IP, hash, domínio) contra plataformas de TI (VirusTotal, OTX, MISP)
• Contexto do ativo: Consulte o CMDB para proprietário do ativo, função de negócios, classificação de dados
• Contexto do usuário: Verifique o provedor de identidade para anomalias recentes de autenticação, status de MFA
• Correlação histórica: Procure alertas relacionados no mesmo host/usuário nos últimos 30 dias
• Contexto de rede: Verifique se os IPs de origem/destino são internos, parceiros conhecidos ou atores de ameaças externos

Etapa 5: Documentar e Escalar

Crie um registro de triagem estruturado e encaminhe para o nível de resposta apropriado:

Registro de Triagem de Incidente
━━━━━━━━━━━━━━━━━━━━━
ID do Ticket:       INC-2025-1547
Analista de Triagem:  [nome do analista]
Hora da Triagem:     2025-11-15T14:35:00Z (12 min do alerta)
Classificação:  Código Malicioso - Acesso inicial baseado em macro
Severidade:        P2 - Alta
Ativos Afetados: WORKSTATION-FIN-042 (Departamento de Finanças, lida com PII)
Usuários Afetados:  jsmith@corp.example.com
IOCs Identificados: powershell.exe iniciado por outlook.exe, comando codificado

…