O que é DFIR?
Podemos mencionar que DFIR significa Digital Forensics and Incident Response, ou seja, Forense Digital e Resposta a Incidentes. Esta é uma disciplina que acaba por combinar a forense digital e resposta a incidentes para investigar e responder a ataques cibernéticos.
Esta matéria auxilia os analistas de DFIR a utilizarem várias técnicas para coletar, analisar e preservar as evidências digitais de ataques cibernéticos.
Como exemplo, mencionamos a responsabilidade de uma pessoa responsável por realizar os trabalhos de DFIR:
- Coletar e analisar evidências digitais de ataques cibernéticos
- Identificar vulnerabilidades e implementar medidas de mitigação
- Investigar incidentes de segurança cibernética
- Reportar incidentes de segurança cibernética às autoridades
- Fornecer treinamento sobre segurança cibernética para funcionários
- Trabalhar com outras equipes de segurança para melhorar a postura de segurança da organização
Portanto, este treinamento visa apresentar os conteúdos necessários para que possa ser utilizado a matéria em um ambiente corporativo, visando ensinar como atuar em ambas as áreas, Forense e Resposta a Incidentes.
O treinamento
O treinamento em DFIR, ou Forense Digital e Resposta a Incidente, aborda a combinação de técnicas para investigar e responder a ataques cibernéticos. Ele capacita os analistas a coletar, analisar e preservar evidências digitais, bem como a identificar vulnerabilidades e implementar medidas de segurança. Além disso, prepara os profissionais para investigar incidentes de segurança, reportá-los às autoridades e fornecer treinamento sobre segurança cibernética. O objetivo do treinamento é equipar os participantes com as habilidades necessárias para atuar de forma eficaz tanto na área de Forense Digital quanto na Resposta a Incidentes em um ambiente corporativo.
O que você vai aprender
-
Aula 0 – Apresentação do Treinamento
- Introdução ao Treinamento
- Exemplo de Caso de Investigação e Resposta
- Evidências acessíveis para análise
- Arquivos do Treinamento
-
Aula 1 – Compreensão de Resposta a Incidentes
- Objetivo do Treinamento
- Ferramentas Utilizadas
- O que é Incidente de Segurança?
- Processo de Resposta a Incidentes
- Equipe de CSIRT
- Suporte ao Incidente
- Plano de Resposta a Incidentes
- Classificação de Incidentes
- Cartilha da Resposta a Incidentes
- Processo de Escalonamento
- Revisão do Plano de Resposta a Incidentes
-
Aula 2 - Gerenciamento de Incidentes Cibernéticos
- Gerenciamento de Incidentes Cibernéticos
- Componentes críticos para o CSIRT
- Modelos de SOC
- Investigando Incidentes
- War Room / Sala de Guerra
- SOAR
- Estratégias de Contenção
- Estratégias de Erradicação
- Estratégias para Recuperação
- Atividade pós-incidente
-
Aula 3 – Fundamentos de Perícia Forense Digital
- Fundamentos da Perícia Forense Digital
- Visão Geral da Ciência Forense
- Princípio de Locard
- Legislações Aplicáveis
- Procedimentos Forenses em Resposta a Incidentes
- Breve história da Perícia Digital
-
Processo de Forense Digital
- Identificação
- Preservação
- Coleta
- Tratamento Adequado de Evidências
- Cadeia de Custódia
- Exame
- Análise
- Apresentação
-
Aula 4 – Laboratório de Forense Digital
-
Laboratório de Forense Digital
- Segurança Física
- Ferramentas
- Hardware Forenses
- Softwares Forenses
- Ferramentas Forenses do SO Linux
- Kit de Ferramentas
-
Laboratório de Forense Digital
-
Aula 5 – Metodologia de Investigação de IR
- Metodologia da Investigação
- Tipos de Investigações de Incidentes
- Metodologia de Investigação de Forense Digital
-
Aula 6 – Aquisição de Evidências de Rede
- Coletando evidências de rede
- Visão Geral das Evidências de Rede
- Preparação para coleta de rede
- Topologia de rede
- Firewalls, WAF e Proxy
-
Captura de pacotes
- Tcpdump
- WinPcap e RawCap
- Wireshark
- Mergecap
- Cadeia de Custódia (arquivo)
-
Aula 7 – Aquisição de Evidências no Host (Memória e In live)
- Aquisição de Evidências baseadas no Host
- Ordem da Volatilidade
- Aquisição de Evidências
- Procedimentos de coletas de evidências
- Aquisição de Memória Volátil
- Aquisição com FTK Imager
- Aquisição com o WinPmem
- Outras ferramentas para aquisição de memória
- Aquisição em Sistemas Virtuais – VMware
- Aquisição de Evidências não voláteis
- Obtenção de arquivos protegidos
- Aquisição de evidências remotas
-
Aula 8 – Aquisição de evidências post-mortem
- Aquisição da Evidência
- Imagem Forense
- Entendendo a Imagem Forense
- Imagem x Cópia
- Volumes lógicos x Volumes físicos
- Tipos de arquivos de imagem
- Ferramentas para criação de imagem
- Preparando uma unidade de destino
-
Gerando uma imagem forense
- FTK Imager
- Caine Linux
-
Aula 9 – Analisando evidências de Rede
- Análise de evidências de rede
- Visão Geral das Evidências de Rede
- Analisando Logs de Firewalls e Proxy
- NetworkMiner
-
Wireshark
- Dicas
-
Aula 10 – Analisando a memória do Sistema
- Visão Geral da Análise de Memória
- Metodologia da Análise de Memória
- Metodologia de Análise da SANS
- Análise com Volatility3
- Análise com Volatility Workbench
- Análise com Strings + Regex
-
Aula 11 – Analisando o armazenamento do Sistema
- Analisando o armazenamento do Sistema
- Plataforma Forenses
- Autopsy
- Conteúdo indexado
- Examinando um case
- Artefatos da Web
- Artefatos do E-mail
- Dispositivos conectados
- Arquivos excluídos
- Pesquisa de palavras-chave
- Timeline
- Análise do arquivo – MFT
- Análise de arquivo Prefetch
- Arquivos LNK
- Jump Lists
- SRUM
- Análise de Registros
- Log de Eventos do Windows
- Ferramentas de Logs
-
Aula 12 – Escrevendo Relatório
- Escrevendo relatório Forense
- O que documentar?
- Tipos de Documentação
- Relatórios de Incidentes
-
Aula 13 – CTI aplicado a DFIR
- Visão Geral da Inteligência de Ameaças
- Tipos de Inteligência de Ameaças
- Pirâmide da Dor
- Metodologia de Inteligência de Ameaças
- Fornecimento de Inteligência de Ameaças
- Estrutura MITRE ATT&CK
- Trabalhando com IoCs e IoAs
- Inteligência de Ameaças e Resposta a Incidentes
O instrutor
Caique Barqueta (@Caique) é Especialista em Inteligência de Ameaças onde atua com mapeamento de atores de ameaças, análises de malwares, produção de materiais para auxiliar em incidentes cibernéticos, bem como atuando como Respondente de Incidentes e Perícia Digital, vinculando todas as áreas (CTI e DFIR) para atuação do dia a dia. Também é professor e palestrante.
Pré-requisitos
- Noções de funcionamento do Sistema Operacional (Linux e Windows)
- Noções de shell do Linux
-
Computador próprio com:
- Placa de rede sem fio ou com fio.
- Virtual Box instalado.
- Capacidade para rodar uma VM de 6 GB de RAM e 60 GB de disco.
- Pen-drive disponível (que será utilizado para usar distro Live).
Inscrições
Inscreva-se gratuitamente aqui.
-
1
-
3
