- Início
- Soluções
- MDR – Managed Detection and Response
- Resposta a incidentes
MDR – Managed Detection and Response · Recurso
Resposta e remediação de incidentes pelos analistas
Quando a ameaça é confirmada, os analistas do MDR agem no seu ambiente para conter o ataque, eliminar a causa e orientar a recuperação.
O que é
Resposta e remediação de incidentes pelos analistas, sem complicação
A resposta a incidentes é o que diferencia o MDR de um serviço que só envia alertas. Depois de confirmar uma ameaça, os analistas executam ações para conter o ataque e impedir que ele avance. Entre as mais comuns estão isolar da rede a máquina comprometida, encerrar processos maliciosos, bloquear arquivos e endereços e, conforme as integrações, desativar uma conta comprometida.
A remediação vem em seguida: remover o que o atacante deixou, como arquivos, tarefas agendadas e outros mecanismos de persistência, e devolver o dispositivo a um estado confiável. Quando a correção depende de mudanças no ambiente, como aplicar um patch ou revisar permissões, os analistas indicam o que fazer.
Tudo isso acontece dentro de um nível de autorização definido com a sua empresa. Algumas organizações preferem que os analistas ajam diretamente em qualquer ameaça confirmada; outras pedem aprovação para ações que afetam servidores críticos. O importante é que essa regra esteja combinada antes do incidente, e não discutida no meio dele.
Como funciona
Passo a passo
- 01
Confirmação da ameaça
O analista investiga o alerta e confirma se há atividade maliciosa, qual o alcance e quais ativos estão envolvidos.
- 02
Contenção
Ações como isolar a máquina, encerrar processos e bloquear indicadores impedem que o ataque se espalhe.
- 03
Eliminação da ameaça
Arquivos maliciosos e mecanismos de persistência são removidos, e o dispositivo volta a um estado confiável.
- 04
Comunicação com a empresa
Seu time é informado do que aconteceu, do que foi feito e das decisões que dependem dele.
- 05
Recomendações de correção
O caso termina com orientações para fechar a porta de entrada e evitar que o mesmo ataque se repita.
Por que importa
O que muda para a sua empresa
Tempo é o que o atacante precisa
Quanto mais tempo um invasor permanece no ambiente, mais máquinas, contas e dados ele alcança. Conter cedo limita o dano.
Decisão técnica sob pressão
No meio de um ataque, saber o que isolar, o que preservar e o que remover exige experiência. Os analistas trazem esse conhecimento.
Remoção completa, não só do sintoma
Apagar o arquivo detectado sem remover a persistência deixa o atacante voltar. A remediação busca eliminar a ameaça como um todo.
Regras combinadas evitam surpresas
Com o nível de autorização definido antes, a resposta não fica parada esperando aprovação nem afeta sistemas críticos sem aviso.
Na prática
Situações do dia a dia
Distribuidora com início de ransomware
Os analistas identificam um processo criptografando arquivos em uma estação, isolam a máquina da rede e removem o malware. O time de TI recebe o relato e as recomendações.
Empresa de serviços com conta comprometida
Logins suspeitos são confirmados como uso indevido de credencial. Conforme a integração e a autorização, a conta é desativada e o time é acionado para trocar a senha.
Indústria com servidor crítico
Para o servidor da produção, a regra exige aprovação. Os analistas contêm o que podem sem parar a operação e acionam o responsável para decidir o isolamento.
Na Strema
Como entregamos Resposta a incidentes
No MDR, a resposta é executada por analistas especializados, como serviço gerenciado. No onboarding, a Strema define com a sua empresa quais ações podem ser tomadas diretamente, quais exigem aprovação e quem deve ser acionado em cada caso.
Quando o incidente exige trabalho além do escopo do serviço, como recuperação de sistemas a partir de backup, a Strema orienta os próximos passos. Para recuperação de dados, veja também o backup como serviço.
Os analistas mexem no meu ambiente sem avisar?
Somente dentro do que foi autorizado. As regras são definidas no onboarding e podem ser ajustadas depois. Toda ação executada é comunicada.
Qual a diferença entre contenção e remediação?
Contenção é impedir que o ataque avance, por exemplo isolando a máquina. Remediação é eliminar a ameaça e o que ela deixou, para o dispositivo voltar ao uso com segurança.
O MDR recupera arquivos criptografados?
O foco do MDR é conter e eliminar a ameaça. A recuperação de dados depende de backup ou de recursos da plataforma de endpoint, por isso essas camadas se complementam.
E se a correção depender do meu time?
Mudanças estruturais, como atualizar sistemas ou rever permissões, são indicadas nas recomendações para que o seu time execute ou contrate o apoio necessário.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de MDR – Managed Detection and Response
Fale conosco
Quer Resposta a incidentes protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP