Como preservar evidências digitais após um incidente

Organize o que já é conhecido

No início de uma avaliação, uma descrição clara ajuda a entender o ambiente: o que foi percebido, em qual momento e quais sistemas podem estar envolvidos. Registre também as ações que as equipes já executaram, sem tentar preencher lacunas com suposições.

Coordene a resposta

Operação, segurança e investigação podem ter necessidades diferentes. Por isso, evite adotar uma regra universal de desligamento, isolamento ou reinstalação. As decisões precisam considerar o caso e ser coordenadas com as equipes responsáveis.

• Defina um ponto de contato interno para organizar as informações.
• Relacione as fontes conhecidas e os responsáveis por elas.
• Solicite orientação sobre o canal adequado para compartilhar material.

Documente o percurso

Preservação envolve manter registros dos procedimentos e de quem teve contato com o material. A orientação técnica deve definir como coletar, identificar, armazenar e disponibilizar as fontes relevantes, de acordo com o escopo.