Incidente de segurança / acesso suspeito
Para acesso suspeito, alteração inesperada de privilégios ou possível vazamento de dados, uma árvore de decisão que conduz, com base no sintoma, às etapas de resposta corretas (bloquear a conta, revogar privilégios excessivos, cortar conexões, determinar o escopo) e ao hardening permanente pós-incidente.
O que você notou?
Escolha o tipo de incidente. O sintoma é um login suspeito ou uma rajada de logins com falha, uma alteração inesperada de privilégio (GRANT/role), um possível vazamento de dados / exportação anormal, ou o incidente está encerrado e você está fazendo o hardening permanente? Escolha o ramo mais adequado com base na sua primeira observação. Primeiro, anote o horário do incidente e a conta/recurso afetado.
- Login suspeito / rajada de logins com falha
- Alteração inesperada de privilégio (GRANT/role)
- Vazamento de dados / exportação anormal
- Medidas permanentes pós-incidente (hardening)
Incidente de identidade: qual sintoma?
Muitos logins com falha indicam um ataque de força bruta / credential stuffing. Por outro lado, um login bem-sucedido, mas inesperado (de um IP incomum/em horário incomum), indica que a conta pode ter sido comprometida. Em ambos os casos, colete evidências primeiro e depois responda.
SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;- Rajada de logins com falha (força bruta)
- Login bem-sucedido, mas inesperado (comprometimento)
Força bruta → bloqueie a origem e proteja a conta
Com uma rajada de logins com falha, o acesso pode ainda não ter sido obtido; o objetivo é bloquear a origem, proteger a conta com bloqueio/atraso e descartar qualquer invasão bem-sucedida.
Conta comprometida → interrompa, investigue, troque as credenciais
Um login bem-sucedido inesperado indica que a conta foi comprometida. Primeiro interrompa a conta e suas sessões, investigue o que ela fez, depois redefina a senha e restrinja a origem de acesso.
Escalonamento de privilégios → audite e revogue privilégios excessivos
Um GRANT inesperado, uma atribuição de role ou uma nova conta com privilégios elevados pode ser a segunda fase de um comprometimento (persistência/escalonamento de privilégios). Audite as alterações recentes de privilégios, revogue as que não forem legítimas e volte ao princípio do menor privilégio.
Vazamento de dados → corte o acesso e determine o escopo
Consultas/exportações anormalmente grandes ou conexões externas inesperadas indicam vazamento de dados. Primeiro corte as conexões perigosas ativas e depois determine o escopo com a trilha de auditoria/logs: quais dados foram acessados, por quem e quando.
Hardening permanente pós-incidente
Após a resposta emergencial, aplique controles permanentes para evitar a recorrência: habilite a auditoria, aplique o menor privilégio, restrinja o acesso de rede e registre o incidente por completo.