O que é uma equipe de resposta a incidentes de segurança informática (CSIRT)?

Uma CSIRT é um componente vital da cibersegurança moderna, responsável por responder rapidamente a incidentes como violações de dados e ataques de ransomware. As CSIRTs não só mitigam os danos, como também se concentram na prevenção de riscos. À medida que as ciberameaças evoluem, as CSIRTs continuam sendo essenciais, adaptando-se às novas tecnologias e necessidades organizacionais para proteger contra possíveis interrupções e perdas financeiras.

Este artigo examina a composição e o objetivo da CSIRT (equipe de resposta a incidentes de segurança informática). As CSIRTs são compostas por um grupo de profissionais com diferentes formações em TI e cibersegurança. O objetivo deles é responder de forma rápida e eficiente a incidentes de cibersegurança, mas também trabalhar para prevenir a ocorrência desses incidentes.

Uma CSIRT é um grupo de pessoas, organizado em uma unidade formal, cuja missão definida é fornecer respostas rápidas e orientadas para resultados a incidentes de cibersegurança, como violações de dados ou ataques de ransomware. A mitigação de riscos também é normalmente um foco para a CSIRT, pois é preferível prevenir um ataque do que reagir a ele. Para esse fim, as CSIRTs prestam serviços de avaliação e gerenciamento de riscos, com o objetivo de prevenir emergências cibernéticas. A premissa básica é que qualquer organização que dependa de computadores precisa ter uma capacidade formal de resposta a incidentes, executada por uma equipe dedicada.

É provável que uma CSIRT não execute todos os processos de resposta a incidentes. Em vez disso, a equipe complementa seus próprios esforços coordenando ações de outros grupos, trabalhando a partir de planos e protocolos que eles mesmos prepararam. Em particular, a CSIRT tenta conter a ameaça ou o ataque, erradicar a ameaça e, em seguida, supervisionar a recuperação. Por exemplo, se um malware assumir o controle de um servidor, a equipe de segurança seguirá o protocolo existente da CSIRT e isolará o servidor para que o malware não se espalhe pela rede. A CSIRT coordenará então a execução de um processo que elimina o malware e restaura o funcionamento adequado do servidor.

Muitas vezes, a CSIRT conduzirá uma investigação pós-incidente e realizará ou orientará outros a cuidar das tarefas de acompanhamento, por exemplo, corrigir sistemas operacionais, redefinir firewalls ou garantir que tecnologias defensivas, como IDSs (sistemas de detecção de intrusão), estejam configuradas para detectar qualquer malware que tenha chegado ao servidor. Como parte desse processo, a CSIRT pode atualizar seu plano de resposta. Além disso, uma CSIRT pode se envolver na análise e revisão das políticas de segurança. Também pode gerenciar auditorias.

A principal função das CSIRTs é a resposta a incidentes. Para obter o impacto desejado, é fundamental ser rápido, mas também correto, no processo de resposta. Cada CSIRT funciona de maneira diferente, mas os objetivos são sempre os mesmos: minimizar os danos aos sistemas e dados, erradicar a ameaça e restaurar rapidamente os sistemas ao status operacional.

A preparação é um dos principais fatores de sucesso. Não é um trabalho glamoroso, e pode parecer que a CSIRT “não está fazendo nada” entre as emergências. No entanto, a verdade é que a CSIRT está constantemente aprimorando suas políticas e procedimentos e verificando com seus grupos parceiros na organização. Por exemplo, a CSIRT atualiza regularmente o sistema de orquestração, automação e resposta de segurança (SOAR) do centro de operações de segurança (SOC) e seus manuais de incidentes. Em uma frente relacionada, a CSIRT está sempre estudando os dados mais recentes sobre ameaças, talvez em sincronia com um ISAC (Centro de compartilhamento e análise de informações).

Quando ocorre um incidente, a CSIRT entra em ação. Ele atua para conter a ameaça enquanto notifica todas as partes interessadas necessárias, como o departamento de TI, gerentes comerciais, o departamento jurídico, a equipe de relações públicas e assim por diante. Depois de conter a ameaça e isolá-la, a CSIRT a corrige, talvez aplicando um patch no sistema e instruindo o departamento de TI a aplicar o patch em todos os sistemas semelhantes. A CSIRT prepara então um relatório do incidente para as partes interessadas relevantes e atualiza suas políticas e procedimentos para evitar a repetição de um incidente semelhante no futuro.

As CSIRTs são parte integrante do panorama da segurança da informação há muitos anos, um fato refletido no próprio nome que remete a uma época em que alguns poucos computadores de grande porte dominavam o que era então chamado de departamento de MIS (sistemas de informação gerencial). Hoje em dia, ninguém diria: “Tivemos um incidente com o computador”. Naquela época, porém, se “o computador”, talvez um enorme mainframe em uma “casa de vidro”, tivesse um problema de segurança, a CSIRT estava lá para responder. A cibersegurança tornou-se muito mais séria e complexa nas últimas décadas, mas a necessidade de uma CSIRT continua a existir. Se há algo que as organizações precisam mais do que nunca é de uma CSIRT.

As CSIRTs são uma necessidade, pois os riscos são muito altos no cenário atual de ameaças graves. As empresas e as organizações do setor público devem se defender contra adversários persistentes e sofisticados. Em alguns casos, os ataques vêm de nações-estado. Um incidente grave de cibersegurança pode causar danos significativos às operações, às finanças e à reputação. Uma resposta bem planejada e rápida é absolutamente imperativa. É isso que as CSIRTs oferecem.

Atualmente, a função da CSIRT está se integrando a diversas áreas de TI e segurança. Por exemplo, se uma empresa possui um SOC, a equipe que o administra trabalhará com a CSIRT, possivelmente utilizando seus procedimentos. Em alguns casos, a própria tecnologia assumiu algumas das funções tradicionais da CSIRT. Por exemplo, uma plataforma SOAR pode ter políticas CSIRT incorporadas em seus fluxos de trabalho e “manuais” de mitigação de ameaças.

As CSIRTs são parte integrante do panorama da segurança da informação há muitos anos, um fato refletido no próprio nome que remete a uma época em que alguns poucos computadores de grande porte dominavam o que era então chamado de departamento de MIS (sistemas de informação gerencial). Hoje em dia, ninguém diria: “Tivemos um incidente com o computador”. Naquela época, porém, se “o computador”, talvez um enorme mainframe em uma “casa de vidro”, tivesse um problema de segurança, a CSIRT estava lá para responder. A cibersegurança tornou-se muito mais séria e complexa nas últimas décadas, mas a necessidade de uma CSIRT continua a existir. Se há algo que as organizações precisam mais do que nunca é de uma CSIRT.

As CSIRTs são uma necessidade, pois os riscos são muito altos no cenário atual de ameaças graves. As empresas e as organizações do setor público devem se defender contra adversários persistentes e sofisticados. Em alguns casos, os ataques vêm de nações-estado. Um incidente grave de cibersegurança pode causar danos significativos às operações, às finanças e à reputação. Uma resposta bem planejada e rápida é absolutamente imperativa. É isso que as CSIRTs oferecem.

Atualmente, a função da CSIRT está se integrando a diversas áreas de TI e segurança. Por exemplo, se uma empresa possui um SOC, a equipe que o administra trabalhará com a CSIRT, possivelmente utilizando seus procedimentos. Em alguns casos, a própria tecnologia assumiu algumas das funções tradicionais da CSIRT. Por exemplo, uma plataforma SOAR pode ter políticas CSIRT incorporadas em seus fluxos de trabalho e “manuais” de mitigação de ameaças.

Cada CSIRT tem sua própria composição distinta. No entanto, a maioria das CSIRTS combina pessoas e políticas de forma a definir claramente suas missões. Em termos de pessoal, uma CSIRT geralmente conta com um grupo central de membros dedicados, complementado por especialistas que trabalham com a CSIRT conforme a necessidade. Os membros da equipe invariavelmente têm diferentes origens e conjuntos de habilidades. Por exemplo, alguns são especialistas em defender sistemas Windows, enquanto outros conhecem Linux. A equipe principal pode ser designada para trabalhar em tempo integral na CSIRT, mas isso ocorre principalmente em organizações muito grandes. Na maioria dos casos, os membros da equipe CSIRT têm “empregos diurnos” nos departamentos de TI e cibersegurança.

No que diz respeito às políticas, além da declaração de missão da CSIRT e das definições escritas dos constituintes relevantes, a CSIRT criará e manterá um conjunto de documentos que estabelecem como a CSIRT funciona. Por exemplo, uma CSIRT geralmente tem um plano central de resposta a incidentes que declara, por escrito, como a equipe lida com os processos de resposta a incidentes no local em comparação com o tratamento da resposta a incidentes por telefone. O plano revela como a CSIRT coordena a resposta a incidentes, alocando recursos da equipe entre vários grupos constituintes.

Como parte desse esforço, uma CSIRT publicará formulários e diretórios de contato para compartilhar com cada grupo que atende na organização. Isso pode parecer uma etapa desnecessária, mas a experiência mostra que os principais interessados muitas vezes não sabem com quem devem entrar em contato caso ocorra um incidente de segurança. Por exemplo, se o notebook do CEO for roubado, o assistente administrativo saberá entrar em contato com a CSIRT ou simplesmente ligará para o suporte técnico de TI que, por sua vez, pode precisar de instruções claras para ativar a CSIRT.

Uma CSIRT também compila muitos documentos internos sobre políticas e procedimentos. Elas abrangem como a CSIRT funciona, como ela responde a incidentes, quem faz o quê, como preparar relatórios de incidentes e muito mais.

Os detalhes dessas políticas variam de acordo com a estrutura da CSIRT. As abordagens organizacionais comuns para estabelecer uma CSIRT incluem:

• CSIRT centralizada: uma única equipe é utilizada para toda a organização.
• CSIRT distribuída: várias equipes estão sediadas em diferentes regiões e/ou atribuídas a diferentes unidades de negócio.
• Coordenação da CSIRT: uma CSIRT central coordena o trabalho das CSIRTs subordinadas.
• CSIRT híbrida: nesta combinação de modelos centralizados e descentralizados, a CSIRT central funciona em tempo integral e as CSIRTs distribuídas estão de plantão.
• CSIRT/SOC híbrida: a SOC está encarregada das respostas diárias a incidentes e da gestão de alertas, mas a CSIRT é ativada quando determinadas condições graves são atendidas.
• CSIRT terceirizada: um provedor externo realiza o trabalho da CSIRT, uma abordagem que pode ser adequada para uma organização menor. As CSIRTs terceirizadas também podem realizar tarefas que estão fora do conjunto de habilidades de uma CSIRT interna, por exemplo, remediação de ransomware ou perícia digital.

Uma PSIRT, ou equipe de resposta a incidentes de segurança de produtos, é análoga a uma CSIRT, mas concentra-se nos aspectos de segurança dos produtos de uma empresa. Por exemplo, se uma empresa fabrica hardware de computador, a PSIRT é responsável por lidar com quaisquer incidentes de segurança que surjam com o produto. Isso pode significar manter-se atualizado com os patches do firmware do produto e reparar a infraestrutura dos clientes se o produto for alvo de um ciberataque.

Estruturalmente, a PSIRT é comparável à CSIRT. É composto por especialistas em áreas complementares de cibersegurança, TI (tecnologia da informação) e conformidade. Organizacionalmente, a PSIRT geralmente está sediada na organização de engenharia de segurança da empresa. Dessa forma, a PSIRT contribui para o SDL (ciclo de vida de desenvolvimento seguro) da empresa. A PSIRT também pode se envolver no processo de coleta de requisitos, oferecendo consultoria sobre modelagem de riscos e ajudando a garantir a criação de um produto final seguro.

Para serem eficazes, as CSIRTs contam com um conjunto de tecnologias avançadas projetadas para detectar, analisar e mitigar ameaças cibernéticas em tempo real. As ferramentas essenciais incluem:

• Gerenciamento de informações e eventos de segurança (SIEM): agrega e analisa dados de registro de várias fontes, ajudando a detectar ameaças potenciais ao identificar comportamentos incomuns ou anomalias no tráfego de rede.
• Detecção e resposta em pontos de extremidade (EDR): oferece visibilidade de pontos de extremidade, como notebooks, servidores ou dispositivos móveis, permitindo que a CSIRT detecte e responda a ameaças avançadas, como ransomware.
• Sistemas de detecção e prevenção de invasão (IDPS): monitora o tráfego da rede em busca de sinais de acesso não autorizado ou ataques e pode tomar medidas proativas para bloquear ou mitigar esses ataques.
• Plataformas de inteligência contra ameaças: coleta e analisa informações sobre ameaças conhecidas, fornecendo à CSIRT dados práticos para proteção contra vulnerabilidades e ataques emergentes.
• Automação: a automação do gerenciamento de incidentes por meio de plataformas SOAR permite que as equipes respondam a incidentes em grande escala. A automação também permite a padronização dos manuais de resposta a incidentes, reduzindo o tempo necessário para detectar e mitigar ameaças.

O que é necessário para criar uma CSIRT que cumpra sua função? As práticas recomendadas abrangem desde maximizar a disponibilidade da CSIRT (24 horas por dia, 7 dias por semana) até o treinamento cruzado dos membros da equipe. Quanto mais pessoas souberem fazer as coisas e tiverem a capacidade de realizar as tarefas de outras pessoas em caso de necessidade, mais eficaz será a CSIRT. A formação contínua em geral é uma prática recomendada. Uma boa CSIRT está sempre a desenvolver as suas competências e a aperfeiçoar as suas práticas. Vale a pena modelar riscos e cenários e ensaiar como a CSIRT irá responder. Também é uma prática sensata estabelecer relações com patrocinadores executivos em toda a organização. Uma CSIRT não é uma proposta barata, portanto, sua existência pode ser questionada em tempos difíceis. Portanto, é bom ter defensores em posições de destaque.

Uma função fundamental de qualquer CSIRT é realizar avaliações de incidentes, que ajudam a medir a vulnerabilidade da organização a várias ameaças cibernéticas. Essas avaliações analisam a infraestrutura, os protocolos de segurança e os recursos de resposta a incidentes de uma organização para identificar pontos fracos que poderiam ser explorados por cibercriminosos, bem como quando as autoridades policiais devem ser envolvidas.

Avaliações regulares são necessárias para detectar vulnerabilidades em novos softwares, configurações incorretas ou práticas dos funcionários que possam levar a acessos não autorizados ou infecções por malware backdoor. Eles também ajudam a preparar as organizações para vetores de ataque cada vez mais sofisticados, como bots, malware de mineração de criptomoedas ou ataques de DDoS.

Uma avaliação completa envolve não apenas a avaliação dos sistemas internos, mas também a avaliação do panorama de fornecedores da organização, dado o risco crescente de ataques à cadeia de suprimentos. Como muitas violações de segurança de alto perfil demonstraram, a segurança de uma organização é tão forte quanto seu elo mais fraco.

A CSIRT é um elemento essencial para uma estratégia de cibersegurança bem-sucedida. Isso porque hoje em dia todas as empresas enfrentam perturbações e despesas substanciais se um sistema crítico falhar ou sofrer uma violação de dados. Uma CSIRT pode mitigar os piores impactos comerciais de um evento desse tipo. Os membros da CSIRT possuem, coletivamente, conhecimentos especializados que lhes permitem responder de forma rápida e eficaz a incidentes de cibersegurança. Eles também ajudam a prevenir ataques. Devido à sua autoridade na formulação de políticas, o papel da CSIRT se expande, em vez de diminuir, à medida que os processos de segurança se modernizam e se tornam mais automatizados.