Avença de resposta a incidentes e DFIR
Quando uma violação acontece, o relógio já está a contar. Uma avença define de antemão como nos contactar e garante a rapidez com que respondemos para investigar, conter, erradicar e ajudá-lo a recuperar. O trabalho segue o NIST SP 800-61 Rev. 3 e pode ser contratado através do seu advogado.
Antes, durante e depois de um incidente
A resposta a incidentes abrange a preparação, a deteção e análise, a contenção, a erradicação e a recuperação, e a aprendizagem pós-incidente. O NIST SP 800-61 Rev. 3 (2025) organiza-a em torno das seis funções do CSF 2.0: Govern, Identify, Protect, Detect, Respond e Recover. Uma avença cobre a preparação à partida e a resposta rápida quando algo acontece, para que não tenha de negociar o âmbito a meio de uma violação.
- Avença com um SLA de tempo de resposta garantido e um circuito de escalonamento com responsáveis designados
- Preparação: revisão do plano de IR, playbooks e uma avaliação de preparação
- Deteção e análise: triagem, definição do âmbito e investigação forense (DFIR)
- Apoio à contenção, erradicação e recuperação
- Análise da causa raiz e um relatório de lições aprendidas pós-incidente
- Contratação através do seu advogado, quando precisar
Um ciclo de vida baseado em padrões
Alinhamos o trabalho com o NIST SP 800-61 Rev. 3 e as funções do CSF 2.0 e mapeamos a atividade do adversário ao MITRE ATT&CK, para que a investigação seja estruturada e a narrativa defensável. Se precisar, pode contratar-nos através do seu advogado.
- 1
Preparação
Antes de qualquer incidente, no âmbito da avença, revemos o seu plano de IR, acordamos por escrito os tempos de resposta e os caminhos de escalonamento, e assinamos um NDA.
- 2
Deteção e análise
Na ativação, fazemos a triagem, definimos o âmbito do incidente e conduzimos a investigação forense para apurar o que aconteceu.
- 3
Contenção
Ajudamo-lo a conter o incidente para estancar a hemorragia, preservando as evidências forenses.
- 4
Erradicação e recuperação
Ajudamos a remover o ponto de apoio, a fechar o vetor de entrada e a repor os sistemas em segurança.
- 5
Revisão pós-incidente
Entregamos uma análise da causa raiz e lições aprendidas para que o mesmo caminho não possa ser usado duas vezes.
O que recebe
Preparação à partida, uma resposta definida quando importa e, no final, um registo escrito sólido, do tipo que a sua administração, os seus reguladores e a sua seguradora vão pedir.
- Acordo de avença com um SLA de tempo de resposta e contactos de escalonamento
- Avaliação de preparação de IR e revisão de playbooks
- Conclusões da investigação forense, com uma cronologia da atividade do atacante
- Técnicas do atacante mapeadas ao MITRE ATT&CK
- Orientação de contenção, erradicação e recuperação
- Análise da causa raiz e relatório de lições aprendidas pós-incidente
Alinhado com o NIST SP 800-61 Rev. 3 (CSF 2.0)
A avença está alinhada com o NIST SP 800-61 Rev. 3 (2025), que organiza a resposta a incidentes em torno das funções do CSF 2.0 (Govern, Identify, Protect, Detect, Respond, Recover). As nossas fases de trabalho vão da preparação à revisão pós-incidente, passando pela deteção e análise, a contenção, a erradicação e a recuperação, com a atividade do atacante mapeada ao MITRE ATT&CK. Se quiser, o trabalho pode ser encomendado através do seu advogado; cabe a ele determinar se o sigilo profissional se aplica. Os compromissos de tempo de resposta são fixados no acordo de avença.