PTI tratamento e resposta de incidentes

Prévia do material em texto

Questão 1 
WannaCry 
● Impacto Global: O ransomware WannaCry afetou organizações globalmente. Por 
exemplo, no Reino Unido, afetou computadores em mais de 80 organizações de 
saúde só na Inglaterra, resultando em quase 2.000 consultas canceladas. No total, 
afetou, pelo menos, 16 hospitais e ambulatórios do Serviço Nacional de Saúde 
(NHS) do Reino Unido. Outros alvos frequentes desse tipo de ataque incluem 
estações de trem, aeroportos, agências de notícias, hospitais, instituições do 
governo e empresas. 
● Método de Propagação: A propagação de ransomwares, incluindo o WannaCry, 
ocorre geralmente por meio de e-mails ou mensagens em redes sociais contendo 
um código malicioso em anexo ou um link que leva ao download do ransomware. 
Uma forma muito utilizada para propagação é a exploração de vulnerabilidades dos 
sistemas operacionais. 
Relação com o Protocolo Server Message Block (SMB) 
O WannaCry explorou especificamente uma vulnerabilidade no protocolo SMB do Windows. 
● O WannaCry utilizou a falha de segurança EternalBlue, que foi desenvolvida para 
explorar uma vulnerabilidade no protocolo Server Message Block (SMB) v1 dos 
sistemas operacionais Windows. 
● O SMB é um protocolo de rede que permite que os computadores se comuniquem 
com outros dispositivos e acessem arquivos, impressoras e outros recursos em uma 
rede. A exploração dessa vulnerabilidade permitiu que o WannaCry se espalhasse 
rapidamente pela rede de uma organização e até mesmo globalmente, de 
computador para computador, sem a necessidade de interação da vítima (como 
clicar em um link ou abrir um anexo) – caracterizando-o como um worm. 
Prevenção do Ataque 
Sim, o ataque poderia ter sido evitado. 
● A prevenção teria sido possível por meio da aplicação imediata de patches de 
segurança (correções) disponibilizados pela Microsoft para a vulnerabilidade do 
protocolo SMB explorada pelo EternalBlue. 
● Empresas e usuários que mantiveram seus sistemas operacionais devidamente 
atualizados com esses patches estavam protegidos contra essa forma de 
propagação. 
● Além disso, o investimento em treinamentos para as equipes e a elaboração de 
planos de resposta a incidentes e recuperação de desastres devidamente 
atualizados e testados são cruciais para a prevenção e resposta eficaz. 
 
Questão 2 
Fase de 
Resposta a 
Incidentes 
Ações Recomendadas 
no Contexto do Caso 
Renner e War Room 
Relação Lógica com a Ação 
Contenção Montagem Rápida da 
War Room. 
A Contenção é a fase inicial para limitar os 
danos. Montar a war room rapidamente é 
uma ação tática de gestão que visa 
concentrar esforços e tomar decisões 
imediatas para isolar os sistemas afetados e 
impedir que o ransomware se espalhe para 
sistemas ainda íntegros. A paralisação dos 
sistemas (mesmo que forçada) serviu como 
um meio de contenção[cite: 30]. 
Erradicação Análise e Resolução do 
Problema administrada 
pela war room. 
A Erradicação envolve a remoção da causa 
raiz do incidente (o próprio ransomware e 
sua via de entrada). A war room administra 
as equipes técnicas na identificação e 
limpeza dos sistemas comprometidos (e.g., 
remoção do malware, exclusão de contas 
maliciosas, identificação e fechamento da 
vulnerabilidade explorada)19. 
Recuperação Restabelecimento das 
Plataformas [cite: 31]e 
Resolução do Problema 
administrada pela war 
room. 
A Recuperação consiste em restaurar os 
sistemas e serviços para a operação normal. 
No caso Renner, isso foi o restabelecimento 
de todas as plataformas (site, e-commerce, 
serviços de pagamento)[cite: 31]. A war 
room coordena a restauração dos dados a 
partir de backups (se disponíveis e íntegros) 
e a recolocação dos sistemas na rede, 
garantindo que estejam seguros antes de 
serem acessados pelos usuários21. 
Atividade 
Pós-Incidente 
Elaboração de Planos 
de Resposta atualizados 
e testados e 
Investimento em 
Treinamento. 
A Atividade Pós-Incidente envolve a lição 
aprendida e a melhoria contínua. Após a 
crise (administrada pela war room), é 
essencial revisar o que aconteceu (o caos 
que se formou) [cite: 32]e focar no 
investimento em treinamento de equipes e 
na elaboração/atualização e teste dos 
planos de resposta a incidentes e 
recuperação de desastres. 
 
 
 
	Questão 1 
	Relação com o Protocolo Server Message Block (SMB) 
	Prevenção do Ataque 
	Questão 2