ETIR as a Service
Equipe de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos como um Serviço
Implantação de ETIR
Apoio no tratamento e resposta a incidentes
Testes de Intrusão
Análise de Vulnerabilidades
Sobre nós
1. Informação do documento
Este documento contém uma descrição do CISC Gov.br, de acordo com a RFC 2350.
1.1 Data da última atualização
19 de julho de 2023.
1.2 Lista de distribuição para notificações
Não há lista de distribuição para notificações de novas versões deste documento.
1.3 Locais onde este documento pode ser encontrado
A versão atual deste documento pode ser acessada em https://www.gov.br/cisc/pt-br.
A chave utilizada para assinatura digital deste documento é a chave do CISC Gov.br, listada na seção 2.8.
2. Informações de contato
2.1 Nome da ETIR
PT-BR: Centro de Segurança Cibernética Integrado do Governo Digital do Brasil - CISC Gov.br.
ENG: Brazilian Digital Government Integrated Cyber Security Center – CISC Gov.br.
2.2 Endereço
Setor de Edifícios Públicos Norte - SEPN, 516 Bloco D, Brasília - DF, CEP 70770-524.
2.3 Fuso horário
América/Brasília, DF (UTC-3)
2.4 Número de telefone
Não se aplica. O CISC Gov.br não registra notificações de incidentes de segurança por telefone.
2.5 Número de fax
Não se aplica.
2.6 Outros meios de comunicação.
Não se aplica.
2.7 Endereço de e-mail
Notificações de incidentes de segurança devem ser direcionados para: cisc@gestao.gov.br.
2.8 Chaves públicas e informações sobre criptografia
Chave PGP CISC Gov.br 2022-2023
PGP Key ID: 0xD1BFA1BD3482962F
Fingerprint: 2517 82C7 6E00 FEF1 476B 3C98 D1BF A1BD 3482 962F
PGP Public Key
A chave PGP do CISC Gov.br pode ser encontrada em https://www.gov.br/cisc/pt-br/pgp/ciscgovbr_publickey.asc.
2.9 Membros do time
Informações sobre os membros do CISC Gov.br não estão publicamente disponíveis.
2.10 Informações adicionais
Para assuntos relacionados à incidentes de segurança sofridos por órgãos do SISP, enviar mensagem para: cisc@gestao.gov.br.
A operação padrão do CISC Gov.br é de segunda-feira a sexta-feira, das 08:00 às 19:00, UTC-3. Em casos excepcionais, poderá operar em período fora do expediente normal.
3. Definições
3.1 Declaração de Missão
Promover a coordenação operacional das ações de prevenção, tratamento e resposta a incidentes cibernéticos no âmbito do Sistema de Administração dos Recursos de Tecnologia da Informação – SISP.
3.2 Público-alvo (Constituency)
Órgãos do SISP – Sistema de Administração dos Recursos de Tecnologia da Informação do Poder Executivo Federal.
Para verificar quais órgãos pertencem ao SISP, acesse: https://www.gov.br/governodigital/pt-br/sisp/sobre-o-sisp/orgaos-do-sisp.
3.3 Filiação.
O CISC Gov.br faz parte da estrutura da Diretoria de Privacidade e Segurança da Informação da Secretaria de Governo Digital do Ministério da Gestão e Inovação em Serviços Públicos.
O CISC Gov.br integra a Rede Federal de Gestão de Incidentes Cibernéticos (REGIC), instituída por meio do Decreto nº 10.748, de 16 de julho de 2021, na condição de órgão central do SISP, sendo suas atribuições e atividades desempenhadas de acordo com as competências definidas no Art. 132 e Art. 135-A do Decreto nº 9.745, de 8 de abril de 2019.
3.4 Autoridade.
Conforme o disposto no art. 13, da PORTARIA SGD/MGI Nº 852, o Centro Integrado de Segurança Cibernética do Governo Digital (CISC Gov.br) foi criado no âmbito do Programa de Privacidade e Segurança da Informação (PPSI) e caracteriza-se como uma unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos dos órgãos e das entidades do Sistema de Administração de Recursos de Tecnologia da Informação (SISP).
O CISC Gov.br atuará como equipe principal, nos termos do inciso III do art. 4º da ReGIC, para os serviços que compõem a Plataforma Gov.br e para outros serviços que estejam sob a reponsabilidade da Secretaria de Governo Digital.
Compete à Diretoria de Privacidade e Segurança da Informação da Secretaria de Governo Digital a prospecção, o planejamento, a implementação, o monitoramento, a melhoria contínua, e o gerenciamento das ações no âmbito do CISC Gov.br.
São os serviços oferecidos pelo CISC Gov.br:
I - apoio no planejamento, implementação e operação de equipes de prevenção, tratamento e resposta a incidentes cibernéticos nos órgãos e entidades;
II - apoio na prevenção, tratamento e resposta a incidentes cibernéticos;
III - comunicação e colaboração com outras equipes de prevenção, tratamento e resposta a incidentes cibernéticos, tanto dos órgãos e entidades públicas quanto das organizações privadas;
IV - execução de testes de intrusão em ativos de informação, sob demanda;
V - análise não-invasiva e contínua de vulnerabilidades em ativos de informação;
VI - análise de vulnerabilidades em ativos de informação, sob demanda;
VII - atividades de inteligência de ameaças cibernéticas;
VIII - testes estáticos e dinâmicos de segurança em aplicações;
IX - elaboração e publicação de alertas e recomendações; e
X - monitoramento de padrões maliciosos no tráfego externo de rede.
Assim, o Centro Integrado de Segurança Cibernética do Governo Digital - CISC Gov.br se caracteriza como uma unidade de coordenação operacional das equipes de prevenção, tratamento e resposta a incidentes cibernéticos (ETIR) dos órgãos do Sistema de Administração de Recursos de Tecnologia da Informação (SISP), nos termos do § 3º do art. 1º da Rede Federal de Gestão de Incidentes Cibernéticos – ReGIC, instituída pelo Decreto nº 10.748, de 16 de julho de 2021.
As equipes de prevenção, tratamento e resposta a incidentes cibernéticos - ETIR dos órgãos e pertencentes ao SISP deverão se integrar às tecnologias, padrões, procedimentos e processos estabelecidos pelo CISC Gov.br, observando os normativos do Gabinete de Segurança Institucional.
4. Políticas
4.1 Tipos de incidentes e nível de suporte
O CISC Gov.br atua como facilitador para os órgãos do SISP, proporcionando o suporte necessário para promover efetividade na prevenção, tratamento e resposta a incidentes, por meio dos serviços listados no item 5.
Em caso de incidentes notificados, o CISC Gov.br poderá atuar, conforme o caso concreto, em atividades como:
- Coordenação operacional, inclusive facilitando a comunicação com outros órgãos como CTIR Gov, Polícia Federal (PF), Agência Brasileira de Inteligência (ABIN) e Autoridade Nacional de Proteção de Dados Pessoais (ANPD), e com outros CSIRTs, como CERT.BR e CAIS/RNP;
- Interlocução com entidades privadas para apoio em necessidades específicas relacionadas às soluções de TIC;
- Orientações técnicas quanto às boas práticas de tratamento e resposta a incidentes;
- Alocação pontual e temporária de equipe especializada para rápido tratamento e resposta ao incidente.
O CISC Gov.br tem o compromisso de manter seu público informado sobre as tendências de ameaças cibernéticas, através de colaboração e recebimento de feeds e fontes com parceiros nacionais e internacionais, com vistas a aumentar a capacidade de prevenção, detecção e tratamento de incidentes, correlação de eventos e análise de tendências no âmbito do Governo Digital. Eventuais notificações de incidente recebidas por parceiros serão tratadas e compartilhadas com órgãos afetados.
4.2 Cooperação, interação e divulgação de informações
Todas as informações serão tratadas de acordo com a classificação baseada no protocolo Traffic Light Protocol (TLP 2.0), de acordo com as marcações CLEAR, GREEN, AMBER, AMBER+STRICT ou RED.
Orientações sobre o uso do protocolo encontram-se disponíveis em https://www.gov.br/cisc/pt-br > Traffic Light Protocol (TLP).
4.3 Comunicação.
O CISC Gov.br utiliza e-mails assinados digitalmente, porém não cifrados na maioria das comunicações não-confidenciais. Caso seja necessário, o CISC Gov.br utilizará criptografia de chaves assimétricas (PGP), devendo o receptor utilizar a chave pública descrita no item 2.7 e 2.8 para devida decifragem.
Caso seja necessário autenticar uma pessoa antes da comunicação, o processo é feito através de comunidades existentes ou por métodos como call-back, mail-back ou encontros presenciais.
5. Serviços
5.1 Apoio no planejamento, implementação e operação de equipes de prevenção, tratamento e resposta a incidentes cibernéticos
Fomentar e apoiar o estabelecimento de novas Equipes de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos (ETIR) nos órgãos do SISP, provendo orientação técnica, documentos de apoio, padrão mínimo de infraestrutura, ferramentas e guias técnicos para auxiliar as áreas de tecnologia da informação dos órgãos a montar e operar a equipe.
5.2 Apoio na prevenção, tratamento e resposta a incidentes cibernéticos
Identificação, triagem e avaliação de notificações de incidentes cibernéticos. Receber notificações de incidentes identificados, encaminhados e/ou compartilhados pelos órgãos do SISP, realizar a validação e classificação dos incidentes por tipo e criticidade, de modo a auxiliá-los na priorização, mitigação e resolução dos incidentes cibernéticos através de acompanhamento e orientação especializada. Apoiar na comunicação para outros órgãos competentes.
5.3 Comunicação e colaboração com outras equipes de prevenção, tratamento e resposta a incidentes cibernéticos, tanto dos órgãos e entidades públicas quanto das organizações privadas
Fortalecer a colaboração e a troca de experiências entre os órgãos do SISP e organizações privadas, para promover maior efetividade nas ações de prevenção, tratamento e resposta a incidentes.
5.4 Execução de testes de intrusão em ativos de informação, sob demanda
Realizar testes de segurança de sistemas de informação ou de infraestrutura de uma rede, simulando ataques com vistas a identificar falhas e vulnerabilidades em potencial que podem ser exploradas, avaliar a criticidade e o impacto das fraquezas encontradas e propor as contramedidas para a respectiva correção ou mitigação. Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.5 Análise não-invasiva e contínua de vulnerabilidades em ativos de informação
Execução contínua e passiva de escaneamento de vulnerabilidades em ativos de informação, visando a identificação de possíveis vetores de ataque, tais como portas e protocolos vulneráveis expostos, serviços e sistemas desatualizados, dentre outros.
5.6 Análise de vulnerabilidades em ativos de informação, sob demanda
Execução ativa de escaneamento de vulnerabilidades em ativos de informação, visando a identificação de possíveis vetores de ataque, tais como portas e protocolos vulneráveis expostos, serviços e sistemas desatualizados, dentre outros. Esta modalidade de análise de vulnerabilidades pode ser realizada em ambiente externo ou interno. Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.7 Atividades de inteligência de ameaças cibernéticas
Realizar a busca ativa em diferentes fontes de informações sobre indicadores de comprometimento (IoCs) e de padrões de atividades maliciosas para prover maior eficiência nas ações de prevenção, criação de base de dados de conhecimento sobre eventos e incidentes de segurança para mapeamento de tendências em vulnerabilidades, ameaças e ataques de segurança cibernética.
5.8 Testes estáticos e dinâmicos de segurança em aplicações
Realizar análise de código-fonte de aplicações com objetivo de identificar vulnerabilidades em sistemas de informação, podendo ser de forma estática, sem execução do código-fonte (SAST), e de forma dinâmica, realizando o teste quando a aplicação estiver em execução (DAST). Este serviço é realizado sob demanda, quando solicitado formalmente pelo órgão.
5.9 Elaboração e publicação de alertas e recomendações
Criação e publicação de alertas e recomendações quando descoberta uma nova vulnerabilidade, em sentido estrito ou amplo, bem como orientações técnicas para mitigação, em complemento às notificações já realizadas pelo CTIR Gov, disponíveis no endereço https://www.gov.br/ctir/pt-br. O CISC Gov.br poderá emitir determinações e prazos para correção de vulnerabilidades com alta criticidade.
5.10 Monitoramento de padrões maliciosos no tráfego externo de rede
Realizar análise de fluxos de rede (flows) de pontos externos da rede dos órgãos do SISP, com o objetivo de identificar padrões e detectar tráfego incomum ou malicioso que pode caracterizar um incidente de segurança e notificar ao respectivo órgão do SISP.
6. Formulário de notificação de incidentes
As notificações devem ser encaminhadas por e-mail, conforme orientações descritas no endereço https://www.gov.br/cisc/pt-br/incidente.
7. Isenção de responsabilidade
Embora todas as precauções sejam tomadas na identificação de incidentes, no compartilhamento de informações e nas notificações, o CISC Gov.br não assume a responsabilidade por erros, omissões ou danos resultantes do uso inadequado de informações fornecidas.
Publicações de Apoio
Para apoiar no tratamento e resposta a incidentes cibernéticos, os órgãos poderão utilizar normativos já publicados, como:
Saiba mais:
Conforme o disposto no art. 8º, da PORTARIA SGD/MGI Nº 852, os órgãos e as entidades deverão adotar o Framework de Privacidade e Segurança da Informação.
Saiba mais:
Para apoiar no tratamento e resposta a incidentes cibernéticos, os órgãos poderão utilizar guias já publicados, como:
- Guia de Resposta a Incidentes de Segurança da Secretaria de Governo Digital apresenta boas práticas para que as instituições e os profissionais de segurança da informação realizem o tratamento de incidentes cibernéticos, com enfoque em incidentes que envolvam dados pessoais.
Confira também outros guias que podem apoiar nas iniciativas de segurança cibernética do órgão:
O Traffic Light Protocol (TLP) é um padrão desenvolvido pelo Forum of Incident Response and Security Teams (FIRST) e tem como objetivo
indicar limites de compartilhamento de informações entre pessoas, organizações ou comunidades.
Trata-se de um conjunto de 5 (cinco) marcações, denominadas como:
TLP:RED
TLP:AMBER+STRICT
TLP:AMBER
TLP:GREEN
TLP:CLEAR
Marcação
Somente para os olhos e ouvidos dos indivíduos destinatários, não é
permitido compartilhamento nenhum.
Cor:
#FF2B2B
Fundo:
#000000
Quando Usar?
Fontes podem usar TLP:RED quando não é possível atuar sobre a informação sem colocar em risco significativo a privacidade, reputação ou operações das organizações envolvidas.
Como pode ser compartilhado?
Destinatários não podem compartilhar informações TLP:RED com mais ninguém. No contexto de uma reunião, por exemplo, informações TLP:RED são limitadas àqueles presentes na reunião.
Essas marcações podem ser utilizadas em comunicações diversas, como e-mails, documentos,
apresentações, chat e em trocas automatizadas de informações.
O TLP é utilizado globalmente, inclusive por equipes de prevenção, tratamento e resposta a
incidentes cibernéticos do Brasil, como CTIR Gov, CERT.BR e CAIS/RNP.
Dessa forma, o CISC Gov.br orienta que os órgãos do Sistema de Administração dos Recursos de
Tecnologia da Informação (SISP) adotem o padrão TLP para compartilhamento de informações.
Fique Atento!
- A fonte da informação é responsável por garantir que os destinatários de uma informação marcada com TLP compreendam e possam seguir as orientações de compartilhamento.
- A fonte tem liberdade para especificar restrições adicionais de compartilhamento. Estas restrições devem ser respeitadas pelos destinatários.
- Se um destinatário necessitar compartilhar uma informação mais amplamente do que o indicado pela marcação TLP que veio na informação, ele deve obrigatoriamente obter permissão explícita da fonte.
- Sempre que possível, utilize as cores padronizadas de cada marcação. As cores do TLP foram projetadas para atender as necessidades daqueles com baixa visão.
- O padrão TLP não é um esquema formal de classificação. Assim, não deve substituir a Lei de Acesso à Informação (LAI).
Acesse aqui para ver todas as definições do TLP.
Referências
Alertas
A CrowdStrike identificou e solucionou uma falha em alguns computadores Windows causada pelo Falcon Sensor, resultando em erros de tela azul. A versão problemática foi revertida, e computadores não afetados até agora não precisam de ação. Equipamentos Windows ligados após 0527 UTC e todos os Macs e Linux não são impactados. A situação está sob controle e monitorada. O Centro Integrado de Segurança Cibernética (CISC) acompanha com atenção o caso relatado e já indicou duas possíveis soluções para ambientes em nuvem. O CTIR Gov também publicou em sua página o ALERTA 10/2024 sobre a falha na atualização do produto CrowdStrike, e os integrantes do SISP devem ficar atentos aos controles do PPSI que se aplicam ao evento em questão.
A plataforma de computação em nuvem Microsoft Azure divulgou procedimentos para recuperação de máquinas virtuais em seu ambiente. Mais informações podem ser obtidas em: Azure Status.
Medidas de mitigação para casos de travamentos ou indisponibilidade de sistemas operacionais Windows incluem:
- Inicializar o Windows no modo de segurança ou no ambiente de recuperação;
- Acessar o diretório C:\Windows\System32\drivers\CrowdStrike;
- Identificar e excluir o arquivo que corresponde ao padrão "C-00000291*.sys";
- Reinicializar o sistema.
Recomendações
[TLP:CLEAR]
Períodos festivos e transição governamental
Considerando o período festivo e a transição governamental, o Centro Integrado de Segurança Cibernética do Governo Digital (CISC Gov.br) avalia como conveniente a adoção imediata de boas práticas de privacidade e segurança da informação pelos órgãos e entidades do SISP, para mitigação de riscos cibernéticos, considerando o cenário nacional e internacional:
I - Gestão de Virtual Private Network (VPN): convém avaliar o bloqueio de contas de usuários que possuem permissão de acesso por meio de VPN, temporariamente, de forma a evitar acessos indevidos por credenciais que eventualmente possam estar comprometidas. Ao final do período de transição, convém revisar as permissões e implementar o conceito de "privilégio mínimo", mantendo acesso ao ambiente interno por meio de VPN apenas para os usuários que possuem necessidade motivada, e com adequada segmentação de rede implementada;
II - Configuração de tráfego por geolocalização: convém avaliar a ativação temporária de regras de Firewall para bloqueio de requisições oriundas de IPs de outros países, o que minimizará ataques cibernéticos que utilizam serviços hospedados fora do Brasil;
III - Gestão de contas fora de uso: convém avaliar as contas de usuários e realizar o bloqueio/desativação das contas dos usuários que já não atuam pelo órgão ou entidade. Essa medida é contínua e deve ser contemplada no âmbito de política que trata a gestão de contas e acessos;
IV - Redefinição de credenciais: convém redefinir as senhas de todos os usuários, de forma a evitar acessos indevidos por credenciais que eventualmente possam estar comprometidas desde a última redefinição;
V - Atualização de assinaturas do anti-vírus: convém realizar a atualização do serviço de proteção de endpoints, visando ampliar a proteção das estações de trabalho frente a pragas virtuais e métodos de ataques mais recentes;
VI - Comunicação para os usuários sobre riscos de phishing: convém ampliar campanhas de alertas e dicas relacionadas a golpes de phishing e reforçar canais de comunicação e denúncias de eventuais incidentes de segurança cibernética;
VII - Reforço do monitoramento de rede: convém reforçar o monitoramento da rede, servidores e ativos de segurança em busca de tráfego ou comportamento anômalo na infraestrutura de TIC.
Cada órgão ou entidade do SISP deverá avaliar a conveniência e oportunidade quanto à adoção dessas medidas de forma imediata, considerando as políticas públicas envolvidas e aspectos relacionados à gestão de riscos.
Embora sejam medidas imediatas em virtude do contexto, o CISC Gov.br recomenda a adoção definitiva das boas práticas listadas no Framework de Privacidade e Segurança da Informação.
O CISC Gov.br adere ao padrão TLP. Para saber mais, acesse https://www.gov.br/cisc/pt-br > Traffic Light Protocol (TLP).
[TLP:CLEAR]
[TLP:CLEAR]
O atual cenário de transição governamental e mudança nas equipes e chefias demandam ações diferenciadas para mitigar os eventuais riscos cibernéticos e garantir a adequada disponibilidade de sistemas, plataformas, soluções e serviços essenciais prestados à população. Nesse sentido, a Secretaria de Governo Digital do Ministério da Gestão e Inovação em Serviços Públicos recomenda a adoção imediata de boas práticas de privacidade e segurança da informação pelos órgãos e entidades do SISP, destacadas a seguir:
1. Gestão do Controle de Acessos
Recomendamos a estrita observância às políticas e boas práticas de gestão de acessos previstas no Framework de Privacidade e Segurança da Informação, SGD, em especial as Medidas 6.1 — Estabelecer um Processo de Concessão de Acesso e a 6.2 — Estabelecer um Processo de Revogação de Acesso, do Controle 6 - Gestão de Controle de Acesso, complementadas com as práticas a seguir:
Medida: 6.2 — Estabelecer um Processo de Revogação de Acesso
Hipótese
01: servidores exonerados ou dispensados de cargos em comissão e que
não permanecerem em exercício no órgão.
Hipótese
02: terceirizados
e estagiários desligados
Prática
recomendada: as credenciais
devem ser imediatamente
bloqueadas/revogadas.
Hipótese
03: servidores dispensados de cargos
em comissão e que permanecerem em exercício no
órgão.
Prática
recomendada: as permissões
devem ser revisadas,
considerando eventuais novas atribuições do servidor. Deve ser observado o
princípio do privilégio
mínimo, ou seja, o servidor deverá ter
acesso apenas aos ativos e informações essenciais para a execução de suas
atribuições.
Medida 6.1 — Estabelecer um Processo de Concessão de Acesso
Hipótese 04: novos servidores nomeados, cedidos,
movimentados ou descentralizados.
Hipótese 05: novos terceirizados e
estagiários
Prática
recomendada: o acesso deverá ser concedido observando a
política vigente e as boas práticas, independente de nível hierárquico. Deve
ser observado o princípio do privilégio mínimo, ou seja, o
servidor deverá ter acesso apenas aos ativos e informações essenciais para a
execução de suas atribuições.
As práticas de concessão ou revogação de acessos deverão ser aplicadas em todo o ambiente do órgão, seja ele tecnológico ou físico, como catracas, e-mail, SEI, sistemas finalísticos, VPN, redes sociais oficiais, entre outros.
2. Programa de Privacidade e Segurança da Informação (PPSI) e CISC gov.br
Diante da rotatividade de servidores, terceirizados e estagiários, bem como da criação de novos órgãos e políticas públicas, convém o reforço de campanhas de conscientização com alertas e dicas relacionadas a golpes de Phishing e outras boas práticas de segurança da informação. Além disso, os novos usuários deverão ser conscientizados sobre os canais institucionais para comunicação de incidentes de privacidade e segurança da informação disponível em https://www.gov.br/cisc/pt-br.
Medidas adicionais também podem ser encontradas no Programa de Privacidade e Segurança da Informação (PPSI) da SGD. O PPSI foi instituído como um conjunto de projetos e operações que tem como objetivo elevar a maturidade e a resiliência dos órgãos pertencentes ao Sistema de Administração de Recursos de Tecnologia da Informação (SISP), em termos de privacidade e segurança da informação. O referido programa é composto por ações articuladas nas áreas temáticas de Governança, Maturidade, Metodologia, Pessoas e Tecnologia. Além do Framework de Privacidade e Segurança da Informação, diversos guias e templates na temática estão disponíveis em PPSI-SGD.
[TLP:CLEAR]
Programa de Privacidade e Segurança da Informação
O Programa de Privacidade e Segurança da Informação (PPSI) tem como objetivo elevar a maturidade e a resiliência dos órgãos do SISP