Blue Team Nível 4: DFIR, forense e resposta a incidentes

Resposta a incidente e forense digital (DFIR) é onde a teoria encontra a adrenalina. A diferença entre um incidente contido e um desastre quase nunca é técnica — é método, calma e preservação de evidência.

O ciclo de resposta

Preparação → detecção e análise → contenção → erradicação → recuperação → lições aprendidas. A ordem importa: contenção vem antes de erradicação, e tudo isso sem alertar o atacante cedo demais — mexer rápido e errado faz ele queimar acessos e você perder o rastro.

Forense de memória

A RAM guarda o que o disco esconde: processos ocultos, injeção de código, conexões ativas, chaves e segredos em claro. O Volatility é a ferramenta de referência para analisar dumps de memória — muitas vezes é onde o ataque realmente aparece.

# a partir de um dump de memória do host comprometido (no seu lab)
vol -f memoria.raw windows.pslist      # processos
vol -f memoria.raw windows.malfind     # indícios de injeção de código

Timeline e cadeia de custódia

Reconstrua a linha do tempo dos eventos (super timeline) para contar a história do ataque do início ao fim. E trate cada evidência com cadeia de custódia: hash, cópia, documentação de quem tocou e quando. Sem isso, a análise não se sustenta — nem tecnicamente, nem legalmente.

Na resposta, a pressa que destrói evidência custa mais caro que a calma que a preserva.

O nível final fecha o ciclo: transformar cada incidente em defesa mais forte.