Prontidão forense: o que precisa existir antes do incidente para a prova sobreviver?

A prova de um incidente tem prazo de validade

Quando uma empresa descobre que foi invadida, a pergunta que todos fazem é «o que fazer agora?». A pergunta certa foi feita meses antes, e quase nunca foi: o que precisa existir para que, quando acontecer, a prova ainda esteja lá?

Um incidente de segurança deixa rastros em muitos lugares: no servidor invadido, no firewall que viu a conexão, no registro de auditoria da nuvem, na caixa de e-mail que recebeu o arquivo malicioso, no relógio que marcou a hora de cada coisa. Cada um desses rastros tem vida curta por natureza. O firewall sobrescreve os registros antigos quando o espaço acaba. A nuvem guarda a auditoria por um prazo que depende do plano contratado. O servidor é reinstalado porque a operação precisa voltar. A caixa de e-mail é apagada quando o colaborador é desligado.

A isso se soma um dado conhecido de quem trabalha com incidentes: entre a invasão e a descoberta costumam passar semanas ou meses. Se os registros duram menos que esse intervalo, no dia em que alguém for procurar já não há o que encontrar.

Prontidão forense é o nome que a

dá ao conjunto de medidas que antecedem a investigação: identificar as fontes de evidência, garantir que elas existam e durem, definir quem faz o quê nas primeiras horas e treinar essas pessoas. É a diferença entre uma coleta feita em horas, com valor de prova, e uma apuração que termina em «não foi possível determinar».

Onde a prova costuma morrer

Nos levantamentos que fazemos antes de um contrato de plantão, os mesmos pontos aparecem com regularidade:

• Auditoria da nuvem no plano básico. Suítes de e-mail e colaboração registram quem acessou, de onde e o que fez. No plano de entrada, esse registro é curto ou nem está ativado. Quando a empresa descobre um acesso indevido de três meses atrás, o registro já expirou, e a licença superior que o manteria custava menos que uma hora de perito.
• Rotação curta no firewall e na VPN. O equipamento guarda o que cabe na memória e descarta o resto. Em redes movimentadas, isso significa dias. A conexão de origem do ataque, que diria por onde o invasor entrou, está entre as primeiras coisas a desaparecer.
• Desligamento de colaborador com eliminação de tudo. A rotina de desligamento apaga a conta, a caixa de e-mail e o perfil do computador no mesmo dia. Se o desligamento tem relação com uma suspeita, a prova foi embora com a conta.
• Restauração de backup sobre o sistema afetado. É a reação natural da TI, e é correta para a operação. Para a prova, é fatal: o estado em que o incidente deixou a máquina, com os arquivos criados pelo invasor, as ferramentas usadas e as marcas de tempo, é sobrescrito pela versão de ontem.
• Relógios diferentes em cada sistema. Servidor em um fuso, firewall em outro, câmeras com atraso de minutos. Na hora de montar a linha do tempo, cada registro conta uma história em um horário, e o perito precisa provar a correspondência entre eles antes de provar qualquer outra coisa.

Nenhum desses problemas é técnico no sentido difícil. São decisões de retenção e de rotina que ninguém tomou porque ninguém perguntou.

O que precisa existir antes

O mínimo que deixamos pronto em uma implantação de prontidão forense cabe em uma lista curta:

1. Mapa das fontes de evidência. Um inventário do que registra o quê: servidores, estações, firewall, VPN, diretório de usuários, e-mail e nuvem, antivírus corporativo, ERP, controle de acesso físico e câmeras. Para cada fonte, onde o registro fica, por quanto tempo dura e quem consegue exportá-lo.
2. Diagnóstico de retenção e correção mínima. O que hoje se perde antes de um incidente ser descoberto, e o ajuste menor que resolve: ativar a auditoria, estender a retenção, redirecionar os registros do firewall para um lugar que não os descarte.
3. Sincronização de horário. Todos os sistemas apontando para a mesma fonte de tempo, com o fuso documentado. É barato e evita a primeira contestação de qualquer linha do tempo.
4. Checklist de primeira resposta. Uma página, para TI e compliance, com a regra do que não fazer: não reinstalar, não formatar, não restaurar, não apagar contas, isolar em vez de desligar. E o que fazer: anotar hora e autor de cada ação, acionar o canal combinado.
5. Árvore de acionamento com canal alternativo. Quem liga para quem, a qualquer hora, por um meio que não dependa do e-mail nem da ferramenta de mensagens da empresa, que podem ser exatamente o que foi comprometido.
6. Formulários de cadeia de custódia e modelo de legal hold. Para que a primeira pessoa a tocar numa evidência registre o que a lei exige, e para que a ordem de preservar, suspendendo rotinas de exclusão e rotação de registros, saia em minutos, não em reuniões.
7. Uma simulação por ano. Um exercício de mesa com TI, compliance e jurídico, para descobrir no treino, e não na crise, que o contato de emergência mudou de empresa.

Quanto tempo guardar

Não existe um prazo único de retenção para empresas em geral. O

fixa um ano para registros de conexão e seis meses para registros de acesso a aplicações, mas essas obrigações alcançam provedores de conexão e de aplicações, não qualquer empresa que tenha uma rede.

Para a empresa comum, a referência prática é outra: o tempo que um incidente leva para ser descoberto. Se a média do mercado passa de meses, uma retenção de semanas não serve para nada. A regra que usamos na implantação é simples. Registros de autenticação, de acesso remoto e de auditoria de nuvem devem durar ao menos um ano; registros de rede, o máximo que o equipamento e o orçamento permitirem; e, quando houver suspeita, tudo é congelado por legal hold até que o jurídico libere.

A

acrescenta uma razão. O art. 46 exige medidas de segurança aptas a proteger os dados, e o art. 48 exige que o incidente seja comunicado com a descrição dos dados afetados e dos titulares envolvidos, em três dias úteis pela . Sem registros, a empresa não consegue nem demonstrar que tinha medidas, nem dizer o que foi afetado. Comunica no escuro e se defende no escuro.

Como isso se encaixa num contrato de plantão

A prontidão forense é a primeira fase de um contrato de resposta a incidentes. Nos primeiros sessenta dias, o perito faz o mapa, o diagnóstico, o checklist, a árvore de acionamento e os formulários. Depois disso, o contrato passa a ser reativo: o perito fica de plantão, com prazos de retorno por severidade, e é acionado quando algo acontece.

A ordem importa. Sem a primeira fase, o plantão atende um ambiente desconhecido, e a primeira hora do incidente é gasta descobrindo onde ficam os registros, se é que ainda existem. Com ela, a primeira hora é gasta preservando. A

e a tratam a preparação como fase própria do ciclo de resposta, e não como pressuposto, exatamente por isso.

E a cadeia de custódia, que o

descreve nos arts. 158-A a 158-F, começa no reconhecimento do vestígio, não na perícia. Quem reconhece o vestígio num incidente é a TI, às três da manhã. Ou ela sabe o que fazer, ou a cadeia já nasce quebrada.

O que fazer agora, se este é o seu caso

• Faça três perguntas à TI hoje: por quanto tempo guardamos o registro de acesso ao e-mail e à nuvem; por quanto tempo o firewall guarda as conexões; o que acontece com a conta e o computador de quem é desligado. As respostas mostram o tamanho do problema.
• Ative e estenda a auditoria da nuvem antes de qualquer outra coisa. É o ajuste de maior retorno.
• Escreva a regra do que não fazer e deixe-a onde a TI vai olhar numa madrugada de incidente.
• Defina quem aciona o perito e por qual canal, e teste o canal.
• Contrate a resposta forense antes de precisar. O perito que conhece o ambiente preserva em horas; o que chega sem conhecê-lo começa pelo inventário, com o relógio correndo.

Onde entra o perito

O perito criminal responsável pelo caso faz o levantamento inicial das fontes de evidência, define com a TI a correção mínima de retenção, entrega o checklist e os formulários de cadeia de custódia e conduz a simulação anual. Quando o incidente acontece, é ele quem é acionado, preserva com hash e cadeia de custódia e redige a nota técnica que o jurídico usa para decidir. A página de resposta forense a incidentes descreve as duas fases do contrato e os prazos por severidade.