PRO-ISIR-PB-04
Playbook — Cloud / IAM / Token / Chave

← Lista Mestre

Objetivo

Responder a incidentes em plano de controle cloud, IAM, tokens, chaves e segredos, com foco em reconstrução de confiança no ambiente.

ETVX

  • E — Entry: Incidente declarado ou tipologia fortemente suspeita, severidade preliminar definida e caso aberto no system of record.
  • T — Task / Transform: Executar a resposta específica do cenário, sempre adotando o checklist da primeira hora, o padrão de evidências, a matriz de comunicação, o padrão de severidade, o recovery sign-off, a matriz RACI e o painel de métricas conforme aplicável.
  • V — Verify: Verificar se o cenário foi corretamente caracterizado, se o escopo foi estimado, se a resposta foi documentada e se as evidências e comunicações seguiram os padrões obrigatórios.
  • X — Exit: Cenário estabilizado, evidências registradas, comunicação tratada, recovery aprovado e remediações abertas.

Passos mandatórios do procedimento

  1. Adotar o checklist da primeira hora.
  2. Revogar chaves e tokens comprometidos, proteger control plane e registrar tenants, contas, subscriptions e regiões afetadas.
  3. Revisar IAM policies, roles, service principals, trusts, KMS, secret stores e automações.
  4. Avaliar pivot para workloads, storage, dados e abuso financeiro.
  5. Executar recovery sign-off antes de reabrir integralmente o ambiente.

Evidências mínimas

Audit logs do provedor, logs IAM, KMS/secret manager access logs, diffs de IaC, snapshots, change logs e metadados de workloads.

Erradicação

Reemitir segredos, revisar IAM e trusts, corrigir configuração e IaC, remover recursos criados maliciosamente e validar guardrails.

Recovery e encerramento

Encerrar após substituição de segredos, validação de políticas e trusts, integridade de logging e conclusão do impacto em dados e workloads.

Documentos complementares obrigatórios