Playbook · Incident Response
Ransomware: decisões críticas nas primeiras horas do incidente
Ransomware é uma crise de negócio conduzida por uma intrusão técnica. A prioridade inicial é limitar propagação, preservar opções e organizar o comando — sem destruir evidências ou restaurar sistemas ainda comprometidos.
Ransomware é uma crise de negócio conduzida por uma intrusão técnica. A prioridade inicial é limitar propagação, preservar opções e organizar o comando — sem destruir evidências ou restaurar sistemas ainda comprometidos.
Ative um comando único de crise
Defina liderança, canal alternativo de comunicação, responsáveis técnicos, jurídico, comunicação e continuidade. Registre decisões, horários, evidências e responsáveis.
Contenha com critério
Isole ativos afetados, proteja identidades privilegiadas e restrinja os caminhos usados pelo adversário. Não desligue todo o ambiente automaticamente: a ação pode destruir evidências, afetar continuidade ou dificultar a investigação.
- Preservar logs e fontes de tempo.
- Bloquear credenciais e infraestrutura confirmadas.
- Proteger backups e consoles administrativos.
- Separar sistemas limpos, suspeitos e comprometidos.
Recupere apenas depois de redefinir confiança
Backups não confirmam que o vetor foi removido. Antes da restauração, valide imagens, credenciais, dependências, persistência e telemetria. Retorne por ondas e monitore intensivamente.