Equipamento invadido
Roteador, OLT ou servidor com usuário novo, senha trocada ou configuração alterada. Veja o que fazer em caso de provedor invadido.
Segurança e anti-DDoS · Provedores
Resposta a incidentes de segurança para provedores
Resposta a incidentes de segurança é o atendimento para quando a rede do provedor foi invadida, está sendo usada por terceiros ou recebeu ameaça: equipamento com configuração alterada, senha trocada sem ninguém saber, tráfego estranho saindo da rede ou pedido de dinheiro. Um Especialista contém o problema, preserva as provas e devolve o controle da rede ao provedor.
Incidente acontecendo agora
- Chame no WhatsApp. Diga o que foi percebido, em quais equipamentos e quando.
- Não apague nada. Registros, configurações e mensagens recebidas são as provas do que aconteceu.
- Corte o acesso de fora. Se puder, bloqueie a gerência pela internet antes de mexer em mais coisas.
Incidentes que atendemos
Atendemos qualquer incidente que afete a rede do provedor. Os casos abaixo são os que mais chegam.
Ameaça com pedido de dinheiro
Mensagem exigindo pagamento para não atacar ou para parar um ataque. Veja o guia de extorsão com ataque DDoS.
Rede usada para atacar
Tráfego de ataque saindo de clientes ou de equipamentos do provedor, com reclamações de outras redes.
Rota desviada
Anúncios BGP alterados, tráfego indo para onde não devia ou bloco anunciado por outro AS.
Dados expostos
Sistema de gestão, RADIUS ou banco de clientes acessado por quem não devia.
Reclamações de abuso
Avisos de outras redes ou de órgãos sobre ataques e spam vindos dos seus IPs.
As etapas da resposta
A resposta segue uma ordem que protege a rede primeiro e as provas logo em seguida. Cada etapa fica registrada com horário.
Conter
Fechar o acesso de quem não devia estar na rede.
Preservar
Guardar registros, configurações e mensagens.
Investigar
Descobrir por onde entraram e o que alteraram.
Limpar
Remover acessos, contas e mudanças indevidas.
Fortalecer
Fechar a porta usada e as outras parecidas.
Resolver sozinho ou chamar a resposta a incidentes de segurança: o que muda?
A resposta a incidentes de segurança exige conter o ataque sem apagar as provas. A tabela compara o que costuma acontecer quando a equipe resolve sozinha com o trabalho de uma resposta planejada.
| Etapa | Equipe resolve sozinha | Resposta a incidentes |
|---|---|---|
| Primeira reação | Reinicia e troca senhas | Isola o equipamento e guarda os registros |
| Provas | Apagadas na pressa | Preservadas para avisos e advogado |
| Origem do ataque | Fica desconhecida | Investigada com logs e NetFlow |
| Porta de entrada | Continua aberta | Fechada no firewall e nos equipamentos |
| Ameaça de ataque DDoS | Pagamento ou pânico | Plano de mitigação e registro da ameaça |
Quem precisa ser avisado
Dependendo do incidente, o provedor precisa avisar a Anatel, a ANPD e os clientes afetados. O relatório técnico serve de base para esses avisos.
O aviso de incidentes à Anatel é exigido pelo regulamento de segurança cibernética, segundo a imprensa do setor. [CONFIRMAR prazo na norma] Quando há dados pessoais envolvidos, a LGPD manda comunicar a ANPD e os titulares. [CONFIRMAR prazo no regulamento da ANPD] A forma jurídica dos avisos fica com o advogado da empresa.
Reclamações de outras redes chegam pelo contato de abuse. A gestão de abuse organiza esse canal para que nenhum aviso se perca.
Depois do incidente
O relatório final aponta o que mudar para o incidente não se repetir. As mudanças mais comuns estão abaixo.
- Gerência dos equipamentos só pela rede de gerência isolada
- Usuário próprio para cada pessoa, com registro de quem entrou
- Registros guardados fora dos equipamentos, num SIEM para provedores
- Senhas trocadas e contas antigas removidas
- Plano escrito para o próximo incidente
Quanto custa a resposta a incidentes
O valor depende do tamanho do incidente e de quantos equipamentos foram afetados. Ele é combinado antes de começar, por chamado ou por horas.
O que entra
Cada etapa fica registrada no relatório técnico entregue ao provedor.
- Contenção e preservação das provas
- Investigação e limpeza
- Relatório técnico para avisos e advogado
Valores
Clientes de suporte mensal entram na frente da fila de atendimento.
- Atendimento avulso: [PREENCHER]
- Horário de atendimento: [CONFIRMAR]
- Clientes de suporte mensal têm prioridade
Perguntas sobre resposta a incidentes
Se a sua dúvida não estiver aqui, converse com um Especialista.
Acho que minha rede foi invadida. O que faço primeiro?
Não apague nada, corte o acesso de fora à gerência se puder e chame um Especialista. Mexer sem método apaga as provas de como entraram.
Preciso avisar a Anatel?
O regulamento de segurança cibernética exige o aviso de incidentes, segundo a imprensa do setor. [CONFIRMAR critérios e prazo na norma]
Vocês mantêm sigilo sobre o incidente?
Sim. O atendimento tem sigilo em contrato, e o relatório vai só para quem o provedor indicar.
Devo pagar quem está pedindo dinheiro?
Não. Pagar não garante que o ataque pare e marca o provedor como alvo que paga. Registre a ameaça e prepare a defesa.
Quem faz a resposta a incidentes de segurança no provedor?
A Táquion Tech faz a contenção, preserva as provas e entrega o relatório técnico para os avisos necessários. A investigação usa os logs dos equipamentos e os registros de tráfego da rede.
Serviços relacionados
Quem contrata Resposta a incidentes de segurança com a Táquion Tech costuma pedir também estes serviços.
Quem responde por esta página
Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]
A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.
Retome o controle da rede do seu provedor
Chame no WhatsApp e diga o que foi percebido. Um Especialista responde e combina o atendimento. Os demais serviços estão em segurança e anti-DDoS, ou converse com a nossa engenharia.
