Desenvolvimento de narrativas
Durante a análise e a investigação, documente as ações executadas, a análise realizada e as informações identificadas, para serem usadas pelas fases subsequentes e, em última instância, em um relatório final. Essas narrativas devem ser concisas e precisas, confirmando que as informações relevantes estão incluídas para verificar a compreensão eficaz do incidente e para manter uma linha do tempo precisa. As narrativas também são úteis quando você envolve pessoas externas à equipe principal de resposta a incidentes. Aqui está um exemplo:
O departamento de marketing e de vendas recebeu uma nota de resgate em 15 de março de 2022, exigindo o pagamento em criptomoeda para evitar a divulgação pública de possíveis dados sensíveis. O SOC determinou que o banco de dados do Amazon RDS pertencente ao departamento de marketing e de vendas estava acessível ao público em 20 de fevereiro de 2022. O SOC consultou os logs de acesso do RDS e determinou que o endereço IP 198.51.100.23 foi usado em 20 de fevereiro de 2022 com as credenciais mm03434, pertencentes à Major Mary, uma das desenvolvedoras web. Ao analisar os logs de fluxo da VPC, o SOC verificou que aproximadamente 256 MB de dados foram transferidos para o mesmo endereço IP na mesma data (carimbo de horário 2022-02-20T15:50+00Z). Por meio de inteligência de ameaças de código aberto, o SOC confirmou que as credenciais estão atualmente disponíveis em texto simples no repositório público https[:]//example[.]com/majormary/rds-utils.
