Resposta a incidentes em laboratório
Simulação de comprometimento de um endpoint Windows para praticar o ciclo do NIST: detecção, contenção, erradicação e lições aprendidas.
Laboratório de estudo em ambiente isolado e autorizado, com sistemas próprios ou intencionalmente vulneráveis. Nenhum sistema de terceiros foi testado.
Problema
Na hora de um incidente real não há tempo para aprender o processo. Treinar o ciclo completo em ambiente controlado deixa a resposta mais rápida e organizada.
Objetivo técnico
Executar técnicas do MITRE ATT&CK em uma VM, detectá-las com telemetria de endpoint e conduzir a resposta de ponta a ponta.
Como foi feito
Preparar: VM Windows com Sysmon e agente Wazuh, snapshot limpo e rede isolada.
Simular técnicas com Atomic Red Team, como persistência e execução por PowerShell.
Detectar no SIEM e montar a linha do tempo a partir dos eventos do Sysmon.
Conter isolando a VM e preservar as evidências.
Erradicar a persistência, restaurar e validar.
Registrar o relatório e as lições aprendidas, incluindo ajustes de detecção.
Evidências
<RuleGroup name="Persistencia" groupRelation="or"> <RegistryEvent onmatch="include"> <TargetObject condition="contains">\CurrentVersion\Run</TargetObject> </RegistryEvent> <ProcessCreate onmatch="include"> <ParentImage condition="end with">\powershell.exe</ParentImage> </ProcessCreate></RuleGroup>Principais aprendizados
- Preservar evidência vem antes de limpar; a pressa apaga o que explicaria o incidente.
- Toda simulação termina com um ajuste de detecção.
- Uma linha do tempo clara é o que torna o relatório útil para quem não estava lá.