Às 8h15, usuários de uma instituição relataram que
documentos em um compartilhamento de rede haviam se
tornado inacessíveis e apresentavam extensões
desconhecidas. Pouco depois, surgiu em uma estação
mensagem exigindo pagamento para recuperação dos
arquivos. Há antivírus, firewall de perímetro e rotina de
backup; entretanto, parte das cópias permanece
permanentemente acessível pelo mesmo ambiente de rede
dos servidores de produção. Entre as providências abaixo,
qual deve orientar a resposta inicial ao incidente?

Question

Às 8h15, usuários de uma instituição relataram que 
documentos em um compartilhamento de rede haviam se 
tornado inacessíveis e apresentavam extensões 
desconhecidas. Pouco depois, surgiu em uma estação 
mensagem exigindo pagamento para recuperação dos 
arquivos. Há antivírus, firewall de perímetro e rotina de 
backup; entretanto, parte das cópias permanece 
permanentemente acessível pelo mesmo ambiente de rede 
dos servidores de produção. Entre as providências abaixo, 
qual deve orientar a resposta inicial ao incidente? Alternativa A: Restaurar imediatamente o último backup sobre os 
servidores de produção, antes de investigar o vetor de 
comprometimento.  Ou Alternativa B: Desativar permanentemente todos os mecanismos de 
autenticação antes da restauração.  Ou Alternativa C: Conter o incidente, isolar de forma controlada os sistemas 
afetados, preservar evidências relevantes, avaliar a extensão 
do comprometimento e a integridade das cópias e, então, 
recuperar o ambiente a partir de fonte confiável.  Ou Alternativa D: Manter os equipamentos afetados conectados à rede para 
permitir que o antivírus centralizado identifique todas as 
máquinas comprometidas antes do isolamento.  Ou Alternativa E: Excluir os arquivos criptografados e formatar imediatamente 
todos os servidores, pois a reinstalação assegura, por si só, a 
eliminação do vetor do incidente.

Qconcursos · Accepted Answer

Alternativa [C] Conter o incidente, isolar de forma controlada os sistemas 
afetados, preservar evidências relevantes, avaliar a extensão 
do comprometimento e a integridade das cópias e, então, 
recuperar o ambiente a partir de fonte confiável.  Gabarito: CFundamento decisivo: Arquivos inacessíveis com extensões desconhecidas e exigência de resgate indicam ransomware; como parte dos backups permanece acessível no mesmo ambiente de produção, não se pode presumir sua integridade. Por isso, a recuperação deve ser condicionada à avaliação e à validação da fonte, como prevê C.Tema central: Resposta inicial a ransomwareAnálise das alternativasAErradaRestaura antes de controlar o comprometimento e verificar a confiabilidade da cópia. Isso permite reinfecção e presume indevidamente que o backup mais recente esteja íntegro. O critério para recuperar não é apenas a data da cópia, mas sua confiabilidade e as condições de segurança do ambiente de destino.BErradaDesativar permanentemente a autenticação elimina um controle necessário à proteção de contas e acessos durante a recuperação. A resposta pode exigir restringir contas comprometidas, mas isso é diferente de abolir o mecanismo que controla o acesso ao ambiente.CCertaA alternativa C aplica o procedimento de resposta que combina contenção, preservação de evidências e recuperação validada. O isolamento controlado dos sistemas afetados busca limitar o avanço do ataque; a preservação de evidências permite investigar o ocorrido; e a avaliação da extensão do comprometimento orienta a recuperação. Verificar as cópias é indispensável porque backups acessíveis pela rede também podem ser removidos ou criptografados pelo atacante: sua existência não comprova que estejam utilizáveis. A recuperação deve, portanto, utilizar uma fonte confiável. Essas prioridades não impõem uma sequência rígida entre todas as ações: contenção, preservação e avaliação podem envolver atividades simultâneas, conforme o ambiente.DErradaCondiciona o isolamento à identificação de todas as máquinas comprometidas pelo antivírus centralizado. Esse adiamento contraria a contenção: os sistemas já reconhecidos como afetados devem ser isolados de forma controlada, sem esperar um levantamento completo do comprometimento.EErradaA exclusão e a formatação imediatas prejudicam a preservação de evidências relevantes. Além disso, reinstalar servidores não assegura, por si só, a eliminação do vetor: a recuperação também exige corrigir vulnerabilidades e eliminar acessos do atacante. A alternativa confunde reconstrução dos sistemas com saneamento da causa do incidente.Pegadinha da questãoA presença de uma rotina de backup pode induzir à ideia de recuperação garantida. O detalhe decisivo é que parte das cópias permanece acessível pelo mesmo ambiente de rede: isso exige validação, mas não autoriza concluir que todas foram comprometidas.Dica para questões semelhantesDiferencie prioridade operacional de levantamento completo: conter sistemas já identificados como afetados não depende de conhecer previamente todo o alcance do incidente.Ao avaliar uma proposta de recuperação, separe duas verificações: a confiabilidade da fonte de restauração e a correção das condições que permitiram o comprometimento.

Às 8h15, usuários de uma instituição relataram que documen...

Gabarito comentado

Gabarito: C

Clique para visualizar este gabarito

Questões de assuntos semelhantes

Provas relacionadas