Blue Team · Júnior
IoC e cadeia de evidência
IP, hash, domínio e hostname são indicadores de comprometimento. Sem origem, horário e cópia preservada, o ticket não segura o time de IR nem o jurídico.
O gerente pergunta 'é malware?'. Você responde com indicador, não com feeling.
IoC (Indicator of Compromise) é o rastro já observado: IP, domínio, hash de arquivo, URL, e-mail. Hash SHA-256 identifica o arquivo sem depender do nome. Se o hash bate com família conhecida, 'fatura.pdf.exe' é só o disfarce.
No ticket da NimbusCorp ficou registrado: IP 185.220.101.47, domínio update-nimbus.xyz e SHA-256 começando em 4b8c.
As perguntas pedem a sigla do indicador e o algoritmo de hash citado.
Responda as questões abaixo
Qual sigla descreve um indicador de comprometimento já observado?
Qual algoritmo de hash o material cita para identificar o arquivo independentemente do nome?
Evidência sem origem, horário (UTC), coletor e local de guarda vira conversa de corredor. O relatório não segura contenção nem lição aprendida.
Você não mexe no disco original. Trabalha em cópia. No procedimento da NimbusCorp isso se chama preservação.
A pergunta pede o nome desse procedimento. Uma palavra.
Responda as questões abaixo
Como se chama o procedimento de não alterar o original e trabalhar em cópia?