Continuidade, Incidentes e Conformidade

Duração prevista: 100 minutos, em sessão presencial.

Todos os casos, instituições, endereços, registos e números usados nesta lição são fictícios e servem apenas de exercício.

Como o tempo desta lição está distribuído

• Acolhimento e objectivos: 10 minutos.
• Exposição: 30 minutos.
• Trabalho prático: 45 minutos.
• Partilha e síntese: 15 minutos.

Como trabalhamos na sala: um computador por pessoa. Quando não for possível, no máximo duas pessoas por computador, alternando quem executa a meio do trabalho, de modo que ambas façam. Na partilha apresentam dois grupos, com tempo limitado; os restantes entregam por escrito e recebem comentário do formador. Marcar a lição como concluída é registo de aprendizagem e não é registo de assiduidade.

Objectivos da lição

• Percorrer, em equipa e dentro do tempo, a sequência completa de um incidente de laboratório: alerta, triagem, recolha de evidência, contenção, decisão de recuperação e relatório.
• Justificar cada decisão tomada durante o exercício por referência ao que estava escrito no plano e ao que foi observado, e não por intuição.
• Produzir um relatório de incidente de duas páginas com cronologia, factos, evidência recolhida, decisões, estado final e recomendações.
• Identificar, na revisão final, pelo menos três melhorias concretas ao plano e às regras de detecção, com responsável e prazo.

Explicação

Esta lição não introduz matéria nova: junta o que foi trabalhado nas catorze anteriores e submete-o à prova do tempo e da pressão. A aprendizagem está na sequência completa, que raramente se experimenta antes de um incidente real.

A equipa organiza-se por funções antes de começar, como definido na lição sobre o plano: coordenação, análise técnica, registo cronológico e comunicação. A função de registo é a que mais vezes é sacrificada e a que mais falta faz depois — sem cronologia escrita em tempo real, o relatório é reconstituição de memória.

A triagem responde a três perguntas em poucos minutos: isto é um incidente ou um falso positivo? qual a gravidade segundo a matriz? e há algo a conter já? Não é o momento de perceber tudo; é o momento de decidir se se acorda alguém e se se corta alguma coisa.

Durante o exercício, cada decisão tem de ser fundamentada e registada com hora. É aqui que se vê se as lições anteriores foram assimiladas: conter sem apagar a memória, escolher a cópia anterior ao comprometimento, trocar credenciais antes de repor, e não afirmar em comunicado o que não está apurado.

O tempo é parte do exercício e não um detalhe de organização. Numa situação real há pressão de várias direcções ao mesmo tempo: a direcção quer uma resposta, os balcões querem saber se atendem, e a análise técnica ainda não tem conclusões. A disciplina que resolve isto é decidir o que é suficiente para o passo seguinte, em vez de esperar pela certeza. Contém-se com informação incompleta, comunica-se o que está confirmado, e continua-se a apurar. Quem espera pela certeza para agir perde, normalmente, a janela de contenção.

O relatório final não é burocracia: é o que permite à instituição aprender e responder a quem pergunta. Duas páginas chegam, desde que tenham cronologia, factos separados de hipóteses, evidência com custódia, decisões com fundamento, estado final e recomendações com responsável e prazo. O que transforma o relatório em melhoria é a revisão feita a frio, dias depois, com a pergunta certa: não «de quem foi a culpa», mas «que condição permitiu que isto acontecesse e não fosse detectado». Culpar pessoas faz com que o incidente seguinte seja escondido; corrigir condições faz com que seja detectado mais cedo.

Caso fictício: cenário do exercício — alerta das 08h47

Durante o exercício, o recolector de registos do laboratório gera um alerta às 08h47: cinco autenticações falhadas seguidas de sucesso na conta «j.matola», a partir de um endereço da rede de laboratório que não corresponde ao posto habitual.

Minutos depois há um segundo alerta: criação de uma tarefa agendada em SRV-FIC-LAB e uma ligação de saída persistente. Os balcões do cenário estão abertos e a direcção fictícia pede informação às 09h30, a meio do exercício.

O cenário é conduzido pelo formador, que entrega novos elementos em envelopes à medida que o tempo passa. Nada disto envolve sistemas reais: todo o exercício decorre nas máquinas virtuais do laboratório.

Anexo A — Envelopes do exercício (conteúdo fictício, entregue pelo formador)

Os grupos não abrem os envelopes antes da hora indicada pelo formador.

Envelope 1 (minuto 0) — Texto do alerta das 08h47 e ligação para a consola do recolector do laboratório.

Envelope 2 (minuto 10) — Saída da listagem de processos de SRV-FIC-LAB, com um processo de demonstração inofensivo a correr de pasta temporária.

Envelope 3 (minuto 20) — Pergunta da direcção: «temos de fechar o atendimento?», a responder por escrito em três frases.

Envelope 4 (minuto 30) — Informação de que a cópia mais recente é posterior ao primeiro alerta e nunca foi restaurada.

Envelope 5 (minuto 40) — Novo alerta indicando tentativa de acesso a partir de uma segunda conta.

Anexo B — Grelha de avaliação do exercício (usada pelo formador e pelos grupos)

Os grupos recebem a grelha no início e avaliam-se a si próprios no fim.

Funções atribuídas e registo cronológico iniciado nos primeiros cinco minutos.

Triagem feita com a matriz de gravidade e decisão de contenção fundamentada.

Evidência recolhida pela ordem de volatilidade, com resumos e folhas de custódia.

Resposta à direcção assente apenas em factos apurados.

Decisão de cópia justificada e credenciais trocadas antes da reposição.

Relatório entregue dentro do tempo, com as seis secções pedidas.

Trabalho prático

Trabalho em equipas de quatro a cinco pessoas, com funções atribuídas, em exercício cronometrado, com 45 minutos de trabalho, seguidos de 15 minutos de partilha e síntese em plenário. Desses 45 minutos, 25 são do exercício em papel e 20 são do laboratório descrito mais abaixo. A explicação e a apreciação do produto decorrem nos blocos de exposição e de partilha, e não dentro deste tempo.

Exercício em papel. Esta parte é análise documental sobre material fornecido. Não é o laboratório e não pode ser registada como prática executada em ambiente.

Passo 1 (5 minutos). Atribuam funções — coordenação, análise técnica, registo cronológico, comunicação — e abram a folha de registo com a hora de início.

Passo 2 (15 minutos). Conduzam o incidente à medida que os envelopes chegam. Cada decisão entra na folha com hora, fundamento e quem decidiu. A resposta à direcção é escrita, em três frases, apenas com factos apurados.

Passo 3 (5 minutos). Escrevam o relatório de duas páginas com as seis secções: cronologia, factos, evidência com custódia, decisões com fundamento, estado final e recomendações com responsável e prazo.

Produto esperado: Folha de registo cronológico completa, resposta escrita à direcção e relatório de incidente com as seis secções.

Como o produto é apreciado

• O registo cronológico começou nos primeiros cinco minutos e tem horas reais, não reconstituídas no fim.
• A triagem usa a matriz de gravidade e não a impressão pessoal.
• A contenção preserva a evidência volátil quando ainda há recolha por fazer, e a escolha é justificada.
• A resposta à direcção não contém afirmações não apuradas.
• A cópia escolhida é anterior ao alerta inicial e a troca de credenciais antecede qualquer reposição.
• As recomendações têm responsável e prazo; recomendações sem dono não contam.

Laboratório em ambiente isolado — Exercício integrado nas máquinas virtuais do laboratório

Regras do laboratório, sem excepção. Todos os alvos são máquinas virtuais do próprio laboratório, numa rede isolada e sem ligação à rede de produção da instituição. Nunca se usa como alvo um sistema real da instituição, de outra entidade ou de terceiros na internet, mesmo para «experimentar». Qualquer exercício de teste exige autorização escrita prévia da direcção, com âmbito, janela de tempo e pessoas identificadas. Não se descarrega, não se distribui e não se executa software malicioso real: a análise de ameaças é feita sobre indicadores, registos e descrições fornecidos no material. Não se pede conta pessoal nem pagamento de serviços.

Objectivo: Executar o ciclo completo de resposta num incidente simulado, usando o recolector, as máquinas e os procedimentos das lições anteriores.

Tempo: 20 minutos, dentro do bloco de trabalho prático desta lição. Os minutos do exercício em papel e os minutos do laboratório somam o tempo desse bloco e não se contam duas vezes.

Recursos e versões, preparados antes da sessão

• As máquinas virtuais «SIEM-LAB», «SRV-FIC-LAB», «EST-FORENSE» e «REST-LAB» das lições anteriores, restauradas aos instantâneos iniciais.
• Ficheiro de registos do cenário «ensaio-integrado.log», preparado pelo formador com a sequência do exercício.
• Processo de demonstração inofensivo, o mesmo da lição de forense, com código-fonte disponível em papel.
• Envelopes do anexo A impressos e selados, folhas de registo cronológico, folhas de custódia e cronómetro.

Dependências ainda por preparar, não entregues com a lição

Enquanto qualquer um dos pontos seguintes estiver por preparar, o laboratório regista-se como pendente. Nenhum destes laboratórios foi ainda executado nem testado em sala pela equipa autora: os tempos e os resultados descritos são previsões a confirmar na primeira execução.

• Depende de todas as máquinas das lições anteriores («SIEM-LAB», «SRV-FIC-LAB», «EST-FORENSE», «REST-LAB»). Cada laboratório anterior que tenha ficado pendente reduz este exercício à parte documental correspondente.
• O ficheiro «ensaio-integrado.log» é montado pelo formador a partir do cenário entregue; não vem pronto com o curso.
• Este laboratório ainda não foi executado numa sala com formandos nem testado pela equipa autora: os 20 minutos previstos e os resultados descritos são estimativa a confirmar na primeira execução, e devem ser corrigidos no guião depois dela.

Preparação prévia, a cargo do formador

• Restaurar os instantâneos iniciais de todas as máquinas e confirmar que arrancam e comunicam entre si na rede isolada.
• Importar previamente «ensaio-integrado.log» para SIEM-LAB e confirmar que a regra criada na lição de monitorização dispara com ele.
• Confirmar, mais uma vez, o isolamento da rede virtual.
• Preparar os cinco envelopes e o relógio do exercício.

Passos

1. Arrancar as máquinas e confirmar o alerta inicial no recolector, registando a hora observada.
2. Fazer a triagem com a matriz de gravidade e decidir, por escrito, se há contenção imediata a executar.
3. Recolher a evidência em SRV-FIC-LAB pela ordem de volatilidade, com resumos e folhas de custódia, como na lição de forense.
4. Executar a contenção decidida — isolar a máquina na rede virtual, suspender a conta comprometida — registando hora e efeito observado.
5. Restaurar em REST-LAB a cópia escolhida e verificar a integridade por resumo antes de a dar por boa.
6. Encerrar o exercício com o estado final registado e o relatório escrito dentro do tempo.

Verificação de sucesso

• O alerta inicial foi observado na consola do recolector e a hora registada coincide com a do cenário.
• Existem pelo menos quatro peças de evidência com folha de custódia e resumo coincidente.
• A contenção executada é observável: a máquina isolada deixa de comunicar e a conta suspensa deixa de autenticar.
• O restauro em REST-LAB conclui e a verificação de resumo confirma a integridade da cópia escolhida.
• O relatório de duas páginas é entregue no tempo, com as seis secções e a cronologia coerente com as folhas de registo.

Reversão ao estado inicial

• Restaurar os instantâneos iniciais das quatro máquinas.
• Confirmar que o recolector volta ao estado sem regras nem ficheiros importados e que REST-LAB volta a ter a base vazia.
• Recolher envelopes, folhas de custódia e registos para a revisão final da lição seguinte.

Se o ambiente não estiver disponível: análise offline

A análise offline permite estudar o material e chegar às mesmas conclusões no papel, mas não equivale à execução. Quando se recorre a ela, a lição é registada como análise documental e o laboratório fica pendente, para ser reagendado.

• Conduzir o exercício integralmente em mesa, com os cinco envelopes e as saídas impressas de registos, processos e ligações.
• Manter o cronómetro, as funções e o registo cronológico: a parte de decisão treina-se igualmente em mesa.
• Escrever o relatório com a evidência impressa, indicando expressamente que a recolha não foi executada em ambiente.
• Registar a lição como exercício de mesa e o laboratório como pendente, a reagendar.

Síntese em leitura fácil

• Primeiro distribuir funções e começar a escrever as horas. Depois pensar.
• Triagem: é incidente? que gravidade? há algo a cortar já?
• Cada decisão fica escrita com hora, motivo e quem decidiu.
• À direcção só se diz o que está apurado.
• O relatório tem cronologia, factos, evidência, decisões, estado e recomendações com dono e prazo.

Verificação formativa

Estas perguntas não contam para a nota final e não são perguntas do exame final. Servem para a pessoa formanda confirmar o que percebeu.

1. A meio do exercício a equipa percebe que não iniciou o registo cronológico. O que se faz?
2. A equipa conseguiu conter, restaurar e escrever o relatório dentro do tempo. Pode concluir que a instituição está preparada para um incidente real?

Respostas comentadas da verificação formativa

As respostas abaixo pertencem às perguntas de verificação formativa desta lição. Não são perguntas nem respostas do exame final e não têm efeito na nota. Tente responder primeiro e só depois compare.

Pergunta 1. A meio do exercício a equipa percebe que não iniciou o registo cronológico. O que se faz?

Resposta: Começa-se imediatamente, marcando com clareza o que é registo em tempo real e o que é reconstituição a partir de memória e de registos das máquinas. Não se escreve reconstituição como se fosse observação directa.

Comentário: A honestidade da cronologia é o que lhe dá valor. Misturar reconstituição com observação compromete o relatório inteiro.

Pergunta 2. A equipa conseguiu conter, restaurar e escrever o relatório dentro do tempo. Pode concluir que a instituição está preparada para um incidente real?

Resposta: Não. Pode concluir que, neste cenário, com estas pessoas presentes, com o ambiente a funcionar e em horário de trabalho, a sequência foi cumprida. Um incidente real acontece com pessoas ausentes, sistemas em produção e pressão externa; o exercício mede preparação, não garante resultado.

Comentário: É a mesma distinção de todo o curso: competência demonstrada em laboratório não é o mesmo que capacidade organizacional comprovada em produção.

Referências consultadas

• NIST Cybersecurity Framework — quadro voluntário de segurança cibernética — https://www.nist.gov/cyberframework (consultado em 22 de Setembro de 2026).
  Síntese da equipa: Quadro de adesão voluntária organizado em seis funções: Governar, Identificar, Proteger, Detectar, Responder e Recuperar. Serve para organizar o trabalho de segurança e conversar sobre risco com a direcção; não é lei nem certificação.
• OWASP Web Security Testing Guide — guia de testes de segurança de aplicações web — https://owasp.org/projects/web-security-testing-guide (consultado em 22 de Setembro de 2026).
  Síntese da equipa: Guia aberto que descreve, por categorias, o que testar numa aplicação web e como registar o que se encontra. Dá estrutura ao teste autorizado e ao relatório; é uma referência comunitária, não uma norma obrigatória.

Estas referências são quadros e guias técnicos internacionais de adesão voluntária. Não são lei moçambicana, não criam prazos nem obrigações legais e não conferem qualquer certificação.