Forense digital: passos iniciais após suspeita de invasão
Após suspeita de invasão, desligar servidores ou formatar discos apaga logs de memória e compromete a investigação. A sequência correta é isolar o equipamento da rede, preservar evidências voláteis e acionar uma equipe de resposta antes de qualquer alteração. A Simples Solução TI executa contenção e análise forense para empresas de 10 a 50 funcionários no Rio de Janeiro e em São Paulo.
- Isolar o host da rede antes de desligar para preservar memória RAM e processos ativos.
- Coletar logs, imagem de disco e registros com ferramentas como FTK Imager e Sysmon.
- Documentar cada ação com timestamp e hash SHA-256 para manter a cadeia de custódia.
- Acionar a Simples Solução TI para contenção e investigação em empresas no RJ e SP.
Quais são os primeiros passos após suspeita de invasão?
Os primeiros passos após suspeita de invasão são isolar o sistema, preservar memória volátil, coletar logs e registrar uma cadeia de custódia antes de acionar especialistas. A ordem importa: desconectar da rede primeiro reduz o movimento lateral, e capturar a memória RAM antes de desligar preserva artefatos que o disco não armazena.
- 1. Isolar o sistema: Desconecte o equipamento da rede fisicamente ou desative a interface no sistema operacional, sem desligar a máquina. Isso interrompe comunicação com o invasor e impede destruição remota de evidências.
- 2. Capturar memória RAM: Use LiME (Linux), FTK Imager ou Magnet RAM Capture (Windows) para extrair o conteúdo volátil antes de qualquer reinicialização. A memória guarda credenciais, processos ativos e conexões de rede que o disco não registra.
- 3. Coletar logs: Exporte logs do firewall, servidores e endpoint detection (EDR), incluindo eventos do Sysmon se configurado. Faça cópia forense dos arquivos para repositório externo; logs não exportados podem ser sobrescritos ou rotacionados.
- 4. Registrar cadeia de custódia: Preencha formulário com data/hora, hash SHA-256 de cada artefato, identificação do coletor e local de armazenamento. Documentar a posse contínua evita que a prova seja contestada em processo judicial.
- 5. Acionar suporte especializado: Equipes de resposta a incidentes executam a coleta sem destruir evidências. Simples Solução TI atende empresas no Rio de Janeiro e em São Paulo, com resposta remota para todo o Brasil.
Como isolar sistemas sem destruir evidências forenses?
A melhor forma de isolar depende do cenário: desligar o servidor apaga a memória, desconectar da rede preserva o sistema mas pode alertar o invasor, e o isolamento lógico equilibra contenção e disponibilidade. A decisão deve seguir a prioridade entre preservar evidências voláteis e manter a operação.
Use desligar somente se houver risco físico iminente ou dano contínuo a dados; use desconexão física se a memória RAM for crítica e a indisponibilidade for aceitável; use isolamento lógico via VLAN ou ACL se o sistema não pode parar e a rede é segmentável.
| Método | Quando usar | Preserva memória RAM? | Risco para operação |
|---|---|---|---|
| Desligar (power off) | Risco físico iminente ou contenção imediata necessária | Não — memória apagada | Alto: indisponibilidade total |
| Desconectar da rede | Suspeita de exfiltração ativa e prioridade total à preservação de evidências | Sim — sistema permanece ligado | Médio: pode interromper serviços dependentes da rede |
| Isolamento lógico | Servidor não pode parar; rede permite segregação via VLAN, firewall ou ACL | Sim — memória preservada | Baixo: mantém serviços internos, exige configuração técnica |
Para implementar isolamento lógico com correção, consulte os serviços de infraestrutura de rede da Simples Solução TI.
O que coletar primeiro: memória RAM, disco ou logs?
A ordem de coleta segue a volatilidade: memória RAM primeiro, depois disco, por último logs centralizados. A memória degrada em segundos após desligamento; o disco mantém dados persistentes; logs podem ainda estar sendo gravados e correm risco de rotação.
| Artefato | Volatilidade | Ferramentas | Prazo de coleta |
|---|---|---|---|
| Memória RAM | Alta — desaparece em segundos após desligar | LiME (Linux), FTK Imager, Magnet RAM Capture (Windows) | Coletar antes de desligar; janela de minutos |
| Disco | Média — dados persistem, mas podem ser alterados por ransomware | dd, FTK Imager, EnCase (imagem bit a bit) | Coletar em até horas após isolamento; imagem completa antes de qualquer análise |
| Logs | Baixa — dependem de retenção configurada nos sistemas | Sysmon, Wazuh, Graylog, exportação manual de SIEM | Exportar imediatamente; logs de firewall podem rotacionar em 30 a 90 dias |
Automatize a coleta de logs com syslog centralizado para evitar perda; veja o serviço de segurança de dados da Simples Solução TI.
Quando contratar a Simples Solução TI para resposta a incidentes?
Contrate a Simples Solução TI quando a suspeita de invasão atingir servidores, dados de clientes ou sistemas críticos e a equipe interna não possuir ferramentas forenses nem tempo para resposta imediata. A empresa atende PMEs de 10 a 50 funcionários no Rio de Janeiro e São Paulo, com possibilidade de atendimento remoto nacional. Sem resposta especializada, a empresa corre o risco de destruir evidências e prolongar a exposição.
- Suspeita de invasão em servidor de produção ou banco de dados: a perda de integridade pode parar a operação inteira.
- Equipe interna sem treinamento em forense digital: coletar evidências de forma errada invalida a investigação.
- Incidente com possível vazamento de dados pessoais: a Lei Geral de Proteção de Dados exige medidas de contenção e registro.
| Critério | Equipe interna | Simples Solução TI |
|---|---|---|
| Custo | Fixo mensal com salário, treinamento e ferramentas | Variável, definido por orçamento após diagnóstico do escopo |
| Tempo de resposta | Depende da disponibilidade do time interno, que acumula outras tarefas | SLA contratado com atendimento prioritário em incidentes |
| Ferramentas forenses | Geralmente básicas, sem licenças de análise | Uso de ferramentas como FTK Imager, Volatility e Wireshark |
| Experiência em incidentes | Limitada a ocorrências internas | Atendimento recorrente a PMEs de diferentes setores |
A decisão de manter a resposta interna só se justifica se a equipe já realizar testes de intrusão e tiver um plano de resposta documentado. Caso contrário, cada hora sem contenção aumenta o risco de perda de dados e de sanções regulatórias. Para empresas no Rio de Janeiro e São Paulo, a Simples Solução TI oferece consultoria de resposta a incidentes com escopo ajustado ao porte da operação.
Como preservar cadeia de custódia sem invalidar provas?
Preservar a cadeia de custódia exige registrar cada ação com timestamp, calcular hashes SHA-256 das evidências e documentar quem manuseou cada item. Sem esses registros, a defesa pode alegar adulteração e o incidente perde valor jurídico ou disciplinar. O checklist abaixo segue práticas aceitas em perícia forense digital.
Registro de timestamps e hashes
- Sincronize o relógio do sistema com servidor NTP antes de cada coleta. Diferenças de horário invalidam a linha do tempo.
- Calcule o hash SHA-256 de cada arquivo, imagem de memória ou disco usando ferramentas como FTK Imager, dc3dd ou hashdeep.
- Registre a data e hora exata de cada ação: quem coletou, o quê, onde e como. Use formulário com campos fixos.
- Guarde os hashes em local separado das evidências, preferencialmente em mídia somente leitura.
Documentação de manuseio
- Cada movimentação de evidência deve ser anotada: de quem, para quem, data, motivo e condição do item.
- Utilize embalagens lacradas para discos e mídias removíveis, com etiqueta assinada e datada.
- Nunca trabalhe diretamente na mídia original. Faça uma imagem forense e analise a cópia.
Comunicação com stakeholders
Informe a direção e o jurídico sobre o incidente, mas evite que pessoas não treinadas manipulem os equipamentos. O DPO, se houver, deve ser acionado para avaliar obrigações de notificação à ANPD. A comunicação interna deve ser registrada, pois pode fazer parte da cadeia de custódia documental.
Seguir esse checklist reduz o risco de contaminação das provas e mantém a possibilidade de uso em processos judiciais ou administrativos. Para empresas no Rio de Janeiro e São Paulo que não possuem equipe forense, a Simples Solução TI conduz a coleta e a documentação com as ferramentas adequadas.
Perguntas frequentes
Suspeitei de invasão na rede da empresa. Devo desligar os servidores imediatamente?
Não desligue imediatamente. Primeiro desconecte o servidor da rede para conter a invasão, mas mantenha a energia para preservar a memória RAM, que contém processos ativos do invasor. Se houver risco de destruição de dados por ransomware, priorize o isolamento físico da rede. Só desligue após coletar a memória volátil com ferramenta como FTK Imager.
Quais evidências devo coletar primeiro: memória, disco ou logs?
Colete primeiro a memória RAM, pois é a mais volátil e perde dados ao desligar. Use uma ferramenta de dump de memória como DumpIt ou FTK Imager. Depois faça uma imagem forense do disco com dd ou FTK Imager. Por último, colete logs de sistemas, firewalls e servidores centralizados.
Como preservar a cadeia de custódia sem experiência em forense?
Registre cada ação com data, hora e responsável em um formulário de cadeia de custódia. Calcule hashes SHA-256 das evidências imediatamente após a coleta usando ferramenta como md5deep ou sha256sum. Se não tiver essas ferramentas, isole o equipamento e chame especialistas antes de manipular qualquer arquivo.
Quando contratar a Simples Solução TI para resposta a incidentes?
Contrate a Simples Solução TI quando a suspeita envolver servidores, dados de clientes, sistemas críticos ou possibilidade de vazamento de dados. Se a equipe interna não tiver ferramentas forenses ou treinamento em cadeia de custódia, acione a empresa imediatamente. Para incidentes limitados a uma estação de trabalho sem dados sensíveis, a TI interna pode conduzir a contenção com orientação remota.
O que não devo fazer após suspeitar de invasão?
Não continue usando o sistema comprometido para atividades normais. Não instale antivírus nem rode varreduras, pois isso altera arquivos e pode apagar rastros. Não compartilhe informações do incidente com toda a empresa; comunique apenas direção, jurídico e equipe de TI responsável.
Quanto custa uma investigação forense digital?
Solicite orçamento à Simples Solução TI para saber o custo exato da investigação. O valor depende do escopo: número de máquinas, volume de dados, urgência e se o laudo será usado em processo judicial. Para triagem e contenção sem laudo pericial, o investimento é menor que uma análise completa para fins legais.
Quanto tempo leva uma análise forense inicial?
Planeje-se para uma triagem inicial de algumas horas a dois dias, dependendo da quantidade de equipamentos e da complexidade. Um laudo forense completo, com cadeia de custódia e análise de artefatos, costuma levar de uma a quatro semanas. Se houver prazo judicial, comunique a urgência à equipe forense no primeiro contato.
