ricneves-ai/flowgrammers-skills/incident-response

Resposta a Incidentes

Skill de resposta a incidentes para o ciclo de vida completo desde a triagem inicial até a coleta forense, declaração de severidade e roteamento de escalação. Esta skill NÃO cobre caça a ameaças (veja threat-detection) ou mapeamento de conformidade pós-incidente (veja governance/compliance-mapping) — trata de classificar, triar e gerenciar incidentes de segurança declarados.

Sumário

• Visão Geral
• Ferramenta de Triagem de Incidentes
• Classificação de Incidentes
• Framework de Severidade
• Filtragem de Falsos Positivos
• Coleta de Evidências Forenses
• Caminhos de Escalação
• Obrigações de Notificação Regulatória
• Fluxos de Trabalho
• Anti-Padrões
• Referências Cruzadas

Visão Geral

O que Esta Skill Faz

Esta skill fornece a metodologia e ferramentas para triagem e resposta a incidentes — classificando eventos de segurança em incidentes tipificados, pontuando severidade, filtrando falsos positivos, determinando caminhos de escalação e iniciando coleta de evidências forenses sob controles de cadeia de custódia.

Distinção de Outras Skills de Segurança

Pré-requisitos

Um evento de segurança deve ser ingerido antes da triagem. Os eventos podem vir de alertas SIEM, detecções EDR, feeds de inteligência de ameaças ou relatórios de usuários. A ferramenta de triagem aceita payloads de eventos JSON; consulte o schema de entrada abaixo.

Ferramenta de Triagem de Incidentes

A ferramenta incident_triage.py classifica eventos, verifica falsos positivos, pontua severidade, determina escalação e realiza pré-análise forense.

# Classificar um evento a partir de arquivo JSON
python3 scripts/incident_triage.py --input event.json --classify --json
 
# Classificar com filtragem de falsos positivos habilitada
python3 scripts/incident_triage.py --input event.json --classify --false-positive-check --json
 
# Forçar um nível de severidade para exercícios de tabletop
python3 scripts/incident_triage.py --input event.json --severity sev1 --json
 
# Ler evento do stdin
echo '{"event_type": "ransomware", "host": "prod-db-01", "raw_payload": {}}' | \
  python3 scripts/incident_triage.py --classify --false-positive-check --json

Schema do Evento de Entrada

{
  "event_type": "ransomware",
  "host": "prod-db-01",
  "user": "svc_backup",
  "source_ip": "10.1.2.3",
  "timestamp": "2024-01-15T14:32:00Z",
  "raw_payload": {}
}

Códigos de Saída

Classificação de Incidentes

Eventos de segurança são classificados em 14 tipos de incidentes. A classificação orienta a severidade padrão, o mapeamento de técnica MITRE e o SLA de resposta.

Taxonomia de Incidentes

Gatilhos de Escalação de Severidade

Qualquer um dos seguintes re-declara automaticamente uma severidade maior:

Framework de Severidade

Matriz de Nível de Severidade

Filtragem de Falsos Positivos

A ferramenta de triagem aplica cinco filtros antes de escalar para prevenir inflação de falsos positivos.

Tipos de Filtro de Falsos Positivos

Um falso positivo confirmado suprime a escalação e registra o motivo da supressão para fins de auditoria. Falsos positivos recorrentes da mesma fonte devem ser ajustados na camada de detecção, não filtrados repetidamente na triagem.

Coleta de Evidências Forenses

A coleta de evidências segue o framework de seis fases do DFRWS e o princípio da aquisição volátil primeiro.

Seis Fases do DFRWS

Evidências Voláteis — Coletar Primeiro

1. Memória ao vivo (dump de RAM) — perdida ao reiniciar
2. Processos em execução e conexões de rede abertas (netstat, ps)
3. Usuários logados e sessões ativas
4. Uptime do sistema e hora atual (para ancoragem de linha do tempo)
5. Variáveis de ambiente e módulos de kernel carregados

Requisitos de Cadeia de Custódia

Cada item de evidência deve ser registrado com:

• Hash SHA-256 no momento da aquisição
• Timestamp de aquisição em UTC com offset de fuso horário
• Proveniência da ferramenta (FTK Imager, Volatility, dd, exportação do AWS CloudTrail)
• Identidade do investigador
• Log de transferência (quem teve custódia e quando)

Caminhos de Escalação

Por Severidade

Por Tipo de Incidente

Obrigações de Notificação Regulatória

O relógio de notificação começa na declaração do incidente, não na conclusão da investigação.

Regra operacional: Se o escopo não estiver claro na declaração, assuma o prazo aplicável mais restritivo e confirme o escopo dentro da primeira janela de resposta.

Referência completa de prazos: references/regulatory-deadlines.md

Fluxos de Trabalho

Fluxo de Trabalho 1: Triagem Rápida (15 Minutos)

Para um único alerta que requer classificação antes da decisão de escalação:

# 1. Classificar o evento com filtragem de falsos positivos
python3 scripts/incident_triage.py --input alert.json \
  --classify --false-positive-check --json
 
# 2. Revisar severidade, escalation_path e false_positive_flag na saída
# 3. Se severidade = sev1 ou sev2, acionar o Líder do SOC imediatamente
# 4. Se false_positive_flag = true, documentar e fechar

Decisão: Código de saída 2 = war room SEV1 agora. Código de saída 1 = chamada de bridge SEV2 em 30 minutos.

Fluxo de Trabalho 2: Resposta Completa a Incidente (SEV1)