CompTIA SY0-701: Resposta a Incidentes, Análise Forense e Avaliação — Guia de estudos

By Laurynas Brazys · 20 July 2026 · #comptia #sy0-701 #certification #exam-prep #study-guide

Faz parte do CompTIA Security+ SY0-701 — Guia de estudos. Pratique com respostas verificadas no centro de exames da CompTIA, ou faça testes cronometrados no ExamRoll.io.

Incidentes de segurança são inevitáveis. A disciplina de resposta a incidentes converte um evento caótico e prejudicial em um processo estruturado e documentado que limita os danos, preserva evidências, restaura as operações e produz melhorias duradouras. A análise forense fornece a metodologia investigativa que torna possível a análise de causa raiz e defensáveis os processos legais. O gerenciamento de vulnerabilidades fecha o ciclo, encontrando e corrigindo sistematicamente as fraquezas que os incidentes exploram.

Varredura de Vulnerabilidades e Priorização com CVSS

Scanners de vulnerabilidade como Nessus, Qualys e Rapid7 InsightVM enumeram hosts, sondam serviços e comparam os achados com bancos de dados CVE para produzir uma lista priorizada de fraquezas. Varreduras autenticadas — onde o scanner faz login no alvo com credenciais válidas — produzem resultados muito mais completos do que varreduras não autenticadas, que só conseguem avaliar serviços visíveis externamente. Uma falha comum é executar apenas varreduras não autenticadas e concluir que um sistema está “limpo” quando, na verdade, o scanner simplesmente não conseguiu ver o seu interior.

A priorização é ancorada pelo Common Vulnerability Scoring System (CVSS), atualmente na versão 3.1/4.0. O CVSS produz uma pontuação de 0.0 a 10.0 derivada de métricas Base (Vetor de Ataque, Complexidade do Ataque, Privilégios Necessários, Interação do Usuário, Escopo e a tríade de impacto CID), opcionalmente refinada com métricas Temporais e Ambientais. Uma vulnerabilidade CVSS 9.8 com vetor de ataque de rede e sem necessidade de autenticação (por exemplo, CVE-2021-44228 Log4Shell) justifica uma correção de emergência, enquanto um problema de 5.4 explorável localmente em um host de gerenciamento isolado pode esperar. Programas sofisticados complementam o CVSS com o EPSS (Exploit Prediction Scoring System) e o catálogo Known Exploited Vulnerabilities (KEV) da CISA para ponderar a probabilidade de exploração no mundo real juntamente com a gravidade teórica.

Teste de Invasão (Penetration Testing) e Regras de Engajamento

O teste de invasão (penetration testing) vai além da varredura, explorando ativamente as fraquezas para demonstrar o impacto. Os engajamentos são categorizados como black-box (sem conhecimento prévio), white-box (com documentação completa e acesso ao código-fonte) ou gray-box (conhecimento parcial, muitas vezes simulando um insider ou um usuário comprometido). O teste estático de segurança de aplicações (SAST) analisa o código-fonte sem executá-lo, capturando falhas como sinks de injeção de SQL e padrões de desserialização inseguros, enquanto o teste dinâmico de segurança de aplicações (DAST) exercita a aplicação em execução para identificar problemas de tempo de execução, como desvios de autenticação e falhas no tratamento de sessão. Nenhuma das abordagens sozinha é suficiente — o SAST não detecta problemas de tempo de execução e ambientais, e o DAST não detecta caminhos de código que não percorre.

O documento de Regras de Engajamento (RoE) é um artefato vinculativo que define o escopo (faixas de IP, domínios, aplicações), técnicas permitidas, janelas de teste, contatos de emergência, tratamento de dados sensíveis descobertos e autorização legal. Sem um RoE e uma declaração de trabalho (statement of work) assinados, a atividade de teste é legalmente indistinguível de uma invasão criminosa. O RoE normalmente proíbe ações destrutivas, testes de DoS em produção e engenharia social, a menos que explicitamente autorizados.

Ciclo de Vida da Resposta a Incidentes

O ciclo de vida do NIST SP 800-61 fornece a estrutura canônica:

Preparação estabelece a capacidade antes de qualquer incidente: construir o CSIRT, definir papéis e responsabilidades, implantar ferramentas de detecção (SIEM, EDR, NDR), manter runbooks, abastecer jump kits com bloqueadores de escrita e drives de imagem, e conduzir exercícios de simulação (tabletop exercises). Revisar papéis e responsabilidades é uma atividade de preparação, não algo inventado no meio de uma crise.

Identificação (detecção e análise) confirma que um evento é de fato um incidente. Os analistas fazem a triagem dos alertas, correlacionam indicadores, determinam o escopo e classificam a gravidade. A precisão aqui evita tanto a fadiga de alertas (alert fatigue) quanto o escalonamento prematuro.

Contenção limita os danos. A contenção de curto prazo pode isolar um host desativando sua porta no switch ou aplicando uma quarentena de rede via EDR; a contenção de longo prazo pode envolver a reconstrução de segmentos afetados enquanto a investigação prossegue. As decisões de contenção equilibram a preservação de evidências com os danos contínuos — puxar o cabo de energia destrói a memória volátil, mas interrompe a exfiltração ativa.

Erradicação remove o adversário e a causa raiz: deletar malware, desativar contas comprometidas, aplicar patches nas vulnerabilidades exploradas e rotacionar credenciais e chaves que possam ter sido expostas.

Recuperação restaura os sistemas para a produção, validando a integridade, monitorando a recorrência e reativando os serviços gradualmente. A recuperação não está completa até que a confiança de que a ameaça não pode retornar imediatamente pelo mesmo vetor seja estabelecida.

Lições Aprendidas produz o relatório pós-incidente, runbooks atualizados e melhorias nos controles. Esta fase é onde as organizações convertem incidentes em capacidade duradoura — pulá-la garante que o mesmo incidente ocorrerá novamente.

Perícia Forense Digital: Preservação, Aquisição e Análise

A integridade forense baseia-se no princípio de que as evidências devem ser coletadas de uma maneira que preserve sua integridade e admissibilidade. A Preservação começa no momento em que há suspeita de um incidente: congelando logs, suspendendo a limpeza automatizada e emitindo retenções legais (legal holds) para os custodiantes. A Aquisição é a fase em que as imagens forenses são de fato obtidas, geralmente como cópias bit a bit da mídia de armazenamento usando ferramentas como dd, FTK Imager ou EnCase, juntamente com capturas de memória usando ferramentas como WinPmem ou LiME. Toda aquisição deve ser acompanhada por um hash criptográfico (SHA-256) calculado imediatamente após a criação da imagem:

# Create forensic image and compute hash simultaneously
dd if=/dev/sda bs=4M | tee disk.img | sha256sum > disk.img.sha256

# Verify integrity after transfer
sha256sum -c disk.img.sha256

A documentação da cadeia de custódia (chain of custody) registra cada pessoa que manuseou a evidência, quando e por quê. Lacunas na cadeia de custódia podem tornar as evidências inadmissíveis em processos judiciais e minar litígios cíveis. A ordem de volatilidade rege a sequência de aquisição: registradores e cache da CPU primeiro, depois RAM, depois swap e, por fim, o disco — porque os dados mais voláteis são perdidos primeiro quando a energia é removida.

A Análise examina artefatos: histórico do navegador, arquivos de prefetch, hives do registro (particularmente NTUSER.DAT, SYSTEM e SOFTWARE), logs de eventos, entradas da $MFT e capturas de rede. A análise da linha do tempo (timeline) correlaciona eventos de várias fontes para reconstruir a atividade do invasor. Ferramentas como Autopsy, Volatility (para memória) e Wireshark (para capturas de rede) são padrão no kit de ferramentas forenses.

Cenário Prático: Investigação Forense de uma Ameaça Interna

O sistema de DLP de uma empresa farmacêutica sinalizou um volume incomum de transferências de arquivos para uma conta pessoal de armazenamento em nuvem a partir da estação de trabalho de uma pesquisadora sênior, na véspera de sua demissão. A equipe de segurança preservou a imagem da estação de trabalho antes que ela fosse recriada, capturando tanto o disco quanto a memória. A análise forense da $MFT revelou que 14.200 arquivos foram acessados em uma janela de 90 minutos — um padrão inconsistente com o trabalho normal. O histórico do navegador mostrou autenticação em uma conta pessoal do Dropbox. A análise do registro da chave USBSTOR revelou que uma unidade USB havia sido conectada três dias antes, com um número de série não registrado no inventário de ativos da empresa. A imagem da memória continha fragmentos de uma listagem de arquivos consistente com o diretório exfiltrado. Este pacote de evidências — imagem de disco com hash verificado, documentação da cadeia de custódia e artefatos de memória corroborantes — foi suficiente para apoiar um litígio cível e um encaminhamento para as autoridades policiais.

← Operações · Todos os domínios · Segurança de Aplicação e Web →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →