Orientações para Notificação de Incidentes Cibernéticos ao CTIR Gov

ORIENTAÇÕES PARA NOTIFICAÇÃO DE INCIDENTES CIBERNÉTICOS AO CTIR GOV 

1. Objetivo 

Esclarecer os procedimentos relacionados ao processo de notificação de incidentes cibernéticos ao Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov).

2. Referências

Norma Complementar nº 05 /IN01/DSIC/GSIPR, de 14/Ago/09, que disciplina a criação de Equipes de Tratamento e Resposta a Incidentes em Redes Computacionais (ETIR) nos órgãos e entidades da APF. 

Norma Complementar nº 08 /IN01/DSIC/GSIPR, de 19/Ago/10, que disciplina o gerenciamento de incidentes de segurança em redes de computadores realizado pelas ETIR dos órgãos e entidades da APF. 

Decreto nº 10.748, de 16 de julho de 2021,que institui a Rede Federal de Gestão de Incidentes Cibernéticos.

Portaria GSI/PR nº 120, de 21 de dezembro de 2022, que aprova o Plano de Gestão de Incidentes Cibernéticos para a administração pública federal.

Decreto nº 11.676, de 30 de agosto de 2023, que aprova a Estrutura Regimental e o Quadro Demonstrativo dos Cargos em Comissão, das Funções de Confiança e das Gratificações do Gabinete de Segurança Institucional da Presidência da República, e remaneja e transforma cargos em comissão, funções de confiança e gratificações.

3. Introdução 

O Centro de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CTIR Gov) é integrante do Departamento de Segurança de Cibernética (DSC) da Secretaria de Segurança da Informação e Cibernética (SSIC) do Gabinete de Segurança Institucional (GSI) da Presidência da República (PR).

O CTIR Gov é um "Computer Security Incident Response Team (CSIRT)", ou Grupo de Resposta a Incidentes de Segurança, é uma organização responsável por receber, analisar e responder a notificações e atividades relacionadas a incidentes cibernéticos com escopo na ReGIC.

As Equipes de Tratamento e Resposta a Incidentes (ETIR) em redes computacionais dos órgãos e entidades devem ter a capacidade de detectar e responder incidentes cibernéticos ocorridos nos ativos de sua responsabilidade, comunicando ao CTIR Gov a ocorrência de incidentes com “maiores impactos” na primeira oportunidade.

A comunicação das ETIRs com o CTIR Gov deve ocorrer preferencialmente por meio de e-mail institucional relacionado a incidentes de segurança, como sugestão: etir@orgao.gov.br.

O ponto único de contato para as notificações de incidentes cibernéticos ao CTIR Gov é o endereço eletrônico: ctir@ctir.gov.br.

Outras questões devem ser encaminhadas para Coordenação Geral de Prevenção, Tratamento e Resposta a Incidentes Cibernéticos de Governo (CGCTIR), as quais serão tratadas por meio do correio eletrônico: ctirgov@presidencia.gov.br.

4. Utilização do Traffic Light Protocol (TLP)

O CTIR Gov utiliza o padrão Traffic Light Protocol (TLP) 2.0, conforme definido pelo Forum of Incident Response and Security Teams (FIRST). Para o envio de notificações, recomenda-se utilizar o TLP apropriado no assunto e no corpo do e-mail. De maneira apropriada serão tratadas as notificações de acordo com as marcações CLEAR, GREEN, AMBER, AMBER+STRICT ou RED.

5. Incidentes Cibernéticos

Um incidente cibernético é definido como um evento que leve a um impacto real ou potencial, comprometendo pelo menos uma das características dos ativos da informação: a disponibilidade, a integridade, a confidencialidade ou a autenticidade.

O incidente cibernético também pode ser caracterizado pela tentativa de exploração de vulnerabilidade de sistema de informação que constitua violação de norma, política de segurança, procedimento de segurança ou política de uso, conforme inciso V do art. 4º do Nº 10.748, de 16 de Julho de 2021.

A identificação de um Incidente Cibernético se dá por meio da percepção ou detecção de indicadores que caracterizem a ocorrência do comprometimento de computadores, redes ou sistemas, com impactos nas informações processadas, armazenadas ou transmitidas.

Esses indicadores podem estar relacionados às tecnologias, técnicas ou infraestruturas utilizadas por atores maliciosos nos seus ataques, como:

• Varredura de portas (Port Scan);
• Ataques de engenharia social (Phishing);
• Ataques contra sistemas de autenticação (Brute Force Attack);
• Exploração de vulnerabilidades;
• Abuso de sítios (cross-site scripting, etc.);
• Envio ou redirecionamento para download ou execução de artefatos (Malware) ou códigos maliciosos; e
• Outros.

Outros tipos de indicadores de comprometimento podem estar relacionados aos impactos ou danos decorrentes das ações de atores maliciosos, como:

• Anomalias em computadores, servidores, redes e sistemas;
• Registros de uso ou acesso não autorizado a sistemas ou dados;
• Presença ou Hospedagem Web de artefatos ou códigos maliciosos (Malware);
• Inclusão remota de arquivos (remote file inclusion - RFI) em servidores web;
• Desfiguração de sítios (defacement);
• Abuso de sítios (injeção de links ou de código);
• Indisponibilidade de serviços Web (DoS, DDoS, DRDoS);
• Indisponibilidade por criptografia (Ransomware Attack);
• Perda da confidencialidade por vazamentos (Data Leak); e
• Outros.

6. Notificação de Incidentes Cibernéticos 

As notificações de incidentes cibernéticos devem buscar o princípio da oportunidade. Recomenda-se que sejam compartilhadas o máximo de informações relevantes.

Uma forma de agir seria uma notificação inicial, tempestiva, acompanhada de informações complementares à medida que o incidente é tratado.

O quanto mais cedo elas ocorrerem melhores serão as condições para o CTIR Gov contribuir.

DESTINATÁRIO: ctir@ctir.gov.br.

ASSUNTO: Deve-se fazer constar no assunto da notificação: "[TLP:MARCAÇÃO]", “ÓRGÃO/ENTIDADE” e o “TIPO DE INCIDENTE”.

CORPO DO E-MAIL: Deve-se repetir o TLP e após, descrever sucintamente o incidente ocorrido, informando: situação atual do incidente; IP ou lista de IPs envolvidos; organizações/entidades envolvidas; pessoas ou serviços de rede envolvidos; registros de sistemas (logs) com o respectivo; cronologia dos acontecimentos (timestamp); ações adotadas; outros detalhes técnicos e incidentes correlacionados.

ANEXO(S): Deverão ser anexadas as informações que facilitem a análise e a resposta ao incidente, tais como: logs de servidores e/ou serviços, cabeçalho de e-mails (headers), código(s) malicioso(s), captura de tela(s) (print screen), entre outros.

7. Comunicação segura

Em necessidade de comunicação por meio seguro, a mensagem deve ser criptografada com a chave pública (PGP) do CTIR Gov, disponibilizada em PGP - CTIR Gov

Impressão digital (Fingerprint): 9798 2E5B 6EC7 B6ED B98E 60F4 9409 D6F7 6438 EEFF 

8. Exemplo fictício de Notificação (fictício)

From: etir@orgao.gov.br
To: ctir@ctir.gov.br
Subject: [TLP:AMBER] ORGAO.GOV.BR - Phishing

[TLP:AMBER]

Prezados,

1. Foram identificados ataques de Phishing oriundos do email XX contra colaboradores deste órgão nas últimas 24h.

2. Nossos sistemas identificaram XX diferentes casos, oriundos da mesma fonte. A execução do Malware foi identificada pela solução de antivírus. As vítimas tiveram as estações de trabalhos isoladas e verificadas. Os impactos foram controlados.

3. Remetemos em anexo as informações complementares: headers (cabeçalhos) dos emails, bem como informações dos links e anexos existentes nas mensagens, para a tomada das providências cabíveis. Informamos que todos os horários estão em UTC-3.

Att,
ETIR.

[TLP:AMBER]

9. Outras Considerações 

O CTIR Gov não realiza procedimentos de investigação criminal. O CTIR Gov não é autoridade policial ou judiciária.

As atividades do Centro restringem-se a detecção, análise, resposta e tratamento de incidentes cibernéticos da comunidade atendida.

Todas as notificações ou mensagens recebidas pelo CTIR Gov passam por processo de triagem, priorização e análise.

As ações desencadeadas pelas notificações têm como objetivo coordenar e orientar as ETIRs para solução dos incidentes cibernéticos ou restabelecer eventuais serviços comprometidos às condições normais de funcionamento.

Na maioria dos casos, o recebimento das notificações é informado aos requisitantes e, durante o tratamento do incidente, todos os envolvidos são notificados sobre as ações a serem adotadas.

O CTIR Gov controla as notificações recebidas ou enviadas atribuindo um número de identificação no campo “Assunto” no formato: [CTIR Gov BR #XXXXXX]. É de fundamental importância que este número seja referenciado em todas as interações ocorridas ao longo do tratamento do incidente.

Havendo a identificação de indícios sobre ilícitos criminais, os responsáveis pelos ativos ou as vítimas, devem comunicar as autoridades policiais competentes para a adoção dos procedimentos legais necessários.

Ademais, devem observar a garantia da cadeia de custódia e os procedimentos para preservação das evidências.

10. INOC-DBA 

O CTIR Gov atende ainda pelo telefone INOC-DBA BR: 266031*800 (https://inoc.nic.br/). 

Equipe CTIR Gov.