O último ataque virou correria
Cada técnico tentou uma coisa, a diretoria soube pelos clientes e ninguém registrou o que foi feito.
Segurança e DDoS · Provedores
Plano de resposta a incidentes para provedores
Quem decide, quem avisa e quais comandos rodar em cada tipo de incidente, escrito antes do problema e testado com a sua equipe.
- Roteiro curto para cada cenário
- Contatos de operadoras conferidos
- Exercício simulado com a equipe
Plano de resposta a incidentes é o roteiro escrito do que o provedor faz quando sofre um ataque DDoS, uma invasão, uma extorsão ou um vazamento: quem decide, quem avisa quem, quais passos seguir e onde estão os contatos. É para o provedor que nunca passou por um incidente grave, ou que passou e resolveu no improviso. O resultado é uma equipe que sabe o seu papel desde o primeiro minuto, com prazos de aviso e provas preservadas.
O que é plano de resposta a incidentes
É um conjunto de roteiros curtos, um por tipo de incidente, com papéis, contatos e prazos definidos antes. Tira do momento de pressão as decisões que não precisam ser tomadas ali.
No meio de um ataque DDoS, ninguém deveria procurar o telefone do NOC da operadora ou a community de blackhole. O plano deixa isso numa página, com quem pode acionar a contenção sem esperar o dono acordar.
Numa invasão, o instinto é desligar e reinstalar tudo, e isso apaga as provas. O plano manda guardar antes os registros de acesso, a configuração alterada e os dados de NetFlow do período, que mostram de onde veio e para onde foi o tráfego.
O plano também diz o que não fazer: bloquear no firewall do POP um ataque que já lotou o link, pagar uma extorsão ou avisar clientes antes de saber o alcance. Cada erro desses custa horas ou reputação.
Papéis e responsáveis
Quem coordena, quem executa na rede, quem fala com clientes e quem fala com órgãos públicos. Em equipe pequena, uma pessoa acumula papéis, mas cada papel tem nome.
Lista de contatos
NOC das operadoras, fornecedores de sistema, CERT.br, jurídico e diretoria, com telefone conferido e um contato reserva para cada um.
Roteiros por cenário
Uma página por tipo de incidente, com os primeiros passos em ordem e os comandos já testados na sua borda, na linguagem da sua equipe.
Comunicação e registro
Modelos de aviso para assinantes, para clientes corporativos e para órgãos, mais o formulário que registra o incidente do início ao fim.
Quando você precisa de plano de resposta a incidentes
Seis situações mostram que o próximo incidente vai ser resolvido no improviso. Se uma delas é a sua, o plano vem antes do próximo susto.
Só uma pessoa sabe o que fazer
Se o técnico principal está de férias ou sem sinal, a rede fica sem resposta até ele voltar.
Recebeu ameaça de extorsão
E-mail pedindo pagamento para não atacar exige decisão rápida e combinada, não discussão no grupo.
Guarda dados de assinantes
Cadastro, CPF e histórico de conexão no sistema de gestão tornam o vazamento um problema legal, além de técnico.
Regulamento ou contrato exige
O regulamento da Anatel e clientes corporativos pedem gestão de incidentes documentada. [CONFIRMAR na norma]
A equipe cresceu ou mudou
Gente nova não sabe a quem ligar nem o que pode fazer sozinha durante um incidente à noite.
Como funciona o plano de resposta a incidentes
São cinco etapas, e o plano só é entregue depois de testado num exercício. A rede não sofre nenhuma mudança durante o trabalho.
Levantamento
Conversa com diretoria e equipe, histórico de incidentes, contatos atuais e controles que já existem na rede.
Prazo: [PREENCHER]
Cenários e papéis
Escolha dos cenários que mais ameaçam o provedor e de quem responde por cada etapa.
Prazo: [PREENCHER]
Escrita dos roteiros
Roteiros, lista de contatos conferida, modelos de aviso e formulário de registro.
Prazo: [PREENCHER]
Exercício simulado
A equipe percorre um incidente fictício em mesa, com o relógio correndo, e as falhas do plano aparecem.
Duração do exercício: [PREENCHER]
Ajustes e entrega
Plano corrigido com o que o exercício mostrou, aprovado pela diretoria e distribuído à equipe.
Prazo: [PREENCHER]
O que está incluído no plano de resposta a incidentes
O plano cobre papéis, contatos, roteiros, comunicação e o exercício com a equipe. O atendimento durante um incidente real tem página própria.
Incluído
- Papéis e responsáveis por tipo de incidente
- Contatos de operadoras, fornecedores, CERT.br e órgãos, conferidos
- Roteiros curtos para cada cenário escolhido
- Lista do que preservar como prova em cada cenário
- Modelos de aviso a assinantes, clientes e órgãos públicos
- Prazos de comunicação à Anatel e à ANPD, quando aplicáveis [CONFIRMAR na norma]
- Exercício simulado em mesa e relatório de ajustes
- Calendário de revisão e de novos exercícios
Não incluído
- Compra de ferramenta ou equipamento (a Táquion Tech não vende equipamento)
- Atender o incidente quando ele acontece, que é a resposta a incidentes de segurança
- Conter um ataque em andamento, feito na mitigação emergencial de DDoS
- Montar a contenção automática na borda, que é a implantação de mitigação de DDoS
- Regras gerais de segurança do provedor, escritas na política de segurança cibernética
Quanto custa o plano de resposta a incidentes
O preço depende de quantos cenários entram e do tamanho do exercício. O valor exato sai por escrito, depois do levantamento.
| Fator | Como influencia | Exemplo |
|---|---|---|
| Número de cenários | Cada cenário é um roteiro com passos, contatos e provas próprios | Só DDoS e invasão, ou também vazamento e extorsão |
| Exercício simulado | Preparar e conduzir o exercício soma horas de trabalho | Um exercício de mesa ou dois, com equipes diferentes |
| Tamanho da equipe | Mais pessoas pedem mais papéis e mais orientação | Três técnicos ou NOC com turnos e atendimento |
| Comandos testados | Escrever e testar os comandos na sua borda leva tempo de laboratório | Blackhole por community de cada operadora |
| Exigência regulatória | Prazos e modelos para Anatel e ANPD pedem checagem item a item | Provedor enquadrado no R-Ciber |
Faixa de preço para um plano com quatro cenários e um exercício: [PREENCHER faixa aprovada pela Táquion Tech]. Se o incidente está acontecendo agora, o caminho é a mitigação emergencial de DDoS ou a resposta a incidentes, não um plano.
O que conferir antes de contratar plano de resposta a incidentes
Antes de assinar, confira os erros que deixam o plano inútil na hora H, o que cada roteiro precisa ter e as referências públicas. Use os pontos abaixo com qualquer empresa de plano de resposta a incidentes.
Erros comuns ao contratar
Quatro falhas que aparecem só no dia do incidente. Pergunte ao fornecedor como ele evita cada uma.
Plano de cinquenta páginas
Ninguém lê um documento longo com o link lotado. Cada roteiro deve caber numa página, com o resto em anexo.
Contatos nunca testados
Telefone de NOC desatualizado só aparece quando alguém liga. O fornecedor deve conferir cada contato e anotar a data.
Plano sem exercício
Papel que nunca foi testado esconde buracos óbvios, como a senha da operadora que só o dono tem. O exercício precisa estar no escopo.
Plano guardado só na rede
Se o servidor de arquivos foi o alvo, o plano some junto. Ele deve existir também impresso e fora da infraestrutura do provedor.
O que cada roteiro precisa ter
Use estes cenários para conferir a proposta. Os passos abaixo são o mínimo de cada roteiro.
Ataque DDoS
Primeiros minutos
Confirmar pelo fluxo qual IP é o alvo, acionar blackhole ou limpeza na operadora e avisar o atendimento.
Depois da contenção
Guardar os fluxos do ataque, registrar duração e volume e revisar se a contenção funcionou como previsto.
Invasão de equipamento
Primeiros minutos
Copiar configuração e registros antes de mexer, cortar o acesso do invasor e trocar as senhas a partir de outra máquina.
Depois da contenção
Descobrir por onde entrou, comparar com o último backup e fechar a porta usada.
Vazamento de dados de assinantes
Primeiros passos
Conter, medir quais dados e quantos titulares foram afetados e acionar diretoria e jurídico.
Comunicação
Avisar a ANPD e os titulares quando houver risco relevante, no prazo da regra vigente [CONFIRMAR na norma].
Extorsão com ameaça de ataque
Primeiros passos
Não responder nem pagar, guardar a mensagem e deixar a contenção pronta para o ataque de amostra.
Normas e boas práticas
Referências públicas que um plano sério segue. Peça ao fornecedor que diga quais usou.
NIST SP 800-61
Guia público de tratamento de incidentes, com as fases de preparação, detecção, contenção, recuperação e lições aprendidas [CONFIRMAR na norma].
ISO/IEC 27035
Norma internacional sobre gestão de incidentes de segurança da informação, do planejamento à revisão [CONFIRMAR na norma].
LGPD e regulamento da ANPD
Pedem comunicação de incidente com dados pessoais à ANPD e aos titulares; a resolução da ANPD fixa prazo em dias úteis [CONFIRMAR na norma].
R-Ciber da Anatel
Trata da gestão de incidentes nas prestadoras alcançadas e de quando comunicar a agência [CONFIRMAR na norma].
Por que escolher a Táquion Tech para montar o seu plano
Porque o plano é escrito por quem atende incidente em provedor e sabe o que trava nos primeiros minutos. Seis compromissos que valem para todo plano.
Especialista que já esteve no incidente
Os roteiros saem de ataques e invasões reais em provedores, não de um modelo genérico de empresa.
[PREENCHER: incidentes atendidos pela equipe]
Comandos testados na sua borda
Blackhole e desvio para limpeza vão para o roteiro já testados com IP de laboratório.
Teste de contenção registrado no plano
Exercício antes da entrega
O plano só é entregue depois de a equipe percorrer um incidente simulado e as falhas serem corrigidas.
Exercício incluído na proposta
Contatos conferidos
Cada telefone e e-mail da lista é testado, com data da última conferência anotada.
Data de conferência em cada contato
Não vendemos equipamento
O plano usa o que a rede já tem. Quando falta algo, a indicação vem do risco, não de comissão.
Nenhuma marca indicada por comissão
Plano que existe sem a rede
Versão impressa e cópia fora da infraestrutura do provedor, para o dia em que o servidor for o alvo.
Cópia impressa entregue no fim
Onde a Táquion Tech monta planos de resposta
O plano é montado à distância e atende provedores de todo o Brasil. A visita presencial fica para o litoral de Santa Catarina, quando o exercício simulado é feito com a equipe reunida no escritório.
Remoto para todo o Brasil
Entrevistas, escrita e exercício por videochamada, com a equipe em casa ou no POP, como seria num incidente real.
Presencial no litoral de Santa Catarina
Para conduzir o exercício em mesa com a equipe reunida e conferir os acessos de emergência no POP. [CONFIRMAR área de atendimento]
- Balneário Camboriú
- Camboriú
- Itajaí
- Itapema
- Navegantes
Perguntas frequentes sobre plano de resposta a incidentes
As perguntas que os provedores mais fazem antes de encomendar o plano. Se a sua não estiver aqui, pergunte no WhatsApp.
O que deve ter um plano de resposta a incidentes?
Papéis, contatos, roteiros por cenário, lista do que preservar como prova, modelos de aviso e prazos de comunicação. Tudo curto o bastante para usar com o link lotado.
Qual a diferença entre plano e resposta a incidentes?
O plano é escrito antes do problema. A resposta a incidentes de segurança é o trabalho durante e depois, seguindo o plano.
Quanto custa o plano de resposta a incidentes?
O preço do plano de resposta a incidentes muda com o número de cenários, o exercício e o tamanho da equipe. A faixa é [PREENCHER], e o valor exato sai depois do levantamento.
Quanto tempo leva para o plano ficar pronto?
Depende dos cenários e da agenda do exercício com a equipe. O prazo típico é [PREENCHER], e o do seu caso vai escrito na proposta.
Preciso avisar a Anatel de um incidente?
Depende do enquadramento do provedor e do tipo de incidente [CONFIRMAR na norma]. O plano deixa definido antes quem avisa, quando e com quais informações.
E se o incidente envolver dados de assinantes?
Aí entra a LGPD, com comunicação à ANPD e aos titulares quando houver risco relevante [CONFIRMAR na norma]. O roteiro de vazamento traz o modelo de aviso e quem decide.
Com que frequência testar o plano?
Uma vez por ano, com exercício simulado, e sempre que a equipe, as operadoras ou os fornecedores mudarem. Cada exercício gera uma lista de ajustes.
Um plano para provedor pequeno não é exagero?
Provedor pequeno tem menos gente para improvisar, por isso o plano ajuda mais. Para equipe de três pessoas, ele cabe em poucas páginas.
O plano inclui a contenção de DDoS?
Inclui o roteiro e os comandos testados para acionar a contenção. Montar a detecção automática é outro trabalho, feito na implantação de mitigação de DDoS.
O que preciso separar para começar?
Histórico dos últimos incidentes, lista de operadoras e fornecedores com contato e o nome de quem decide em cada área. O resto sai das entrevistas.
Serviços relacionados ao plano de resposta a incidentes
Três serviços que se apoiam no plano. Cada um entra numa fase diferente do incidente.
-
Resposta a incidentes de segurança
Investigação e contenção de invasão, com preservação de provas e relatório do que aconteceu.
Ver a resposta a incidentes de segurança -
Mitigação emergencial de DDoS
Especialista na sua borda durante o ataque DDoS, medindo e contendo o tráfego.
Ver a mitigação emergencial de DDoS -
Elaboração de política de segurança cibernética
Regras de acesso, senhas, backup e incidentes escritas para o tamanho do seu provedor.
Ver a elaboração de política de segurança cibernética
Leia antes de contratar
Três guias que mostram os cenários que o plano precisa cobrir.
- Ataque DDoS no provedor: causas, diagnóstico e quando chamar um Especialista
Como confirmar um ataque DDoS, achar o alvo e conter sem derrubar a cidade.
- Provedor invadido: causas, diagnóstico e quando chamar um Especialista
O que fazer nas primeiras horas depois de uma invasão.
- Extorsão com ataque DDoS: causas, diagnóstico e quando chamar um Especialista
Como reagir a uma ameaça de ataque com pedido de pagamento.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Orçamento
Peça a proposta do plano de resposta a incidentes
Diga quais incidentes mais preocupam e o tamanho da equipe. Um Especialista devolve escopo, prazo e valor por escrito.
- Poucos campos, menos de um minuto
- Prefere falar? Mande um áudio no WhatsApp
- Seus dados ficam só com a Táquion Tech
