SOC107 · Tratamento de incidentes e noções de forense digital

Trate incidentes de segurança com um processo estruturado e colete evidências digitais corretamente. Você vai praticar triagem, contenção, preservação de evidências e montagem de linha do tempo no seu próprio sistema de laboratório.

Avançar · 8 horas · 4 aulas, um laboratório, uma atividade avaliada e uma peça de portfólio

Para quem é

Analistas, administradores de TI e responsáveis técnicos de pequenas empresas que precisam agir quando algo dá errado.

Pré-requisitos

Concluir o SOC103 e o SOC105, ou ter experiência na investigação de alertas em um SIEM.

O que você será capaz de fazer

• Aplicar um ciclo de resposta a incidentes alinhado ao NIST SP 800-61 Rev. 3 e ao CSF 2.0
• Escolher ações de contenção que limitem o dano e preservem evidências
• Coletar e documentar evidências voláteis e não voláteis com hash e cadeia de custódia
• Montar a linha do tempo do incidente a partir de artefatos e logs e redigir um relatório claro

Aulas

• Aula 1 · O ciclo de resposta a incidentes
• Aula 2 · Triagem, contenção e erradicação
• Aula 3 · Noções de forense digital e manuseio de evidências
• Aula 4 · Laboratório e atividade

Laboratório: Faça a triagem de um incidente simulado na sua VM

Você vai montar um cenário inofensivo na sua própria VM Windows: uma nova conta local, uma tarefa agendada que executa um script da pasta Downloads e uma cópia renomeada de uma ferramenta do sistema. Depois vai coletar artefatos de triagem com o Velociraptor, calcular o hash e registrar as evidências e montar uma linha do tempo que mostre o que aconteceu e em que ordem.

Ferramentas gratuitas: Velociraptor (gratuito e de código aberto) no modo GUI local, uma máquina virtual Windows 10/11 de avaliação, as ferramentas gratuitas de Eric Zimmerman (Timeline Explorer) e uma planilha

Atividade avaliada

Escreva um relatório de incidente sobre o cenário simulado do laboratório, como se tivesse ocorrido no computador da recepção de um escritório de contabilidade. Inclua resumo executivo, escopo, linha do tempo com pelo menos dez eventos e suas fontes, ações de contenção e erradicação, registro de evidências com hashes e cadeia de custódia, análise da obrigação de comunicar o incidente à ANPD e aos titulares segundo a LGPD e a Resolução CD/ANPD nº 15/2024, e três melhorias de lições aprendidas.

Peça de portfólio

Um relatório de incidente com linha do tempo, registro de evidências e lições aprendidas a partir de uma triagem prática.

No seu ritmo, com 12 meses de acesso. Dúvidas são respondidas por escrito pelo painel do aluno. Ao concluir o curso, você recebe um registro de conclusão.