c3.19 Realizar exercícios de mesa (tabletop)
Treine o blue team com exercícios de mesa e simulações para confirmar que eles conseguem responder a incidentes conforme seus playbooks. Aprender fazendo constrói a confiança e a agilidade que um incidente real exige.
Guia de implementação
Prepare-se antes do tabletop
- Garanta que os respondedores conheçam procedimentos básicos de IR (snapshot para evidência, desabilitar usuários IAM, isolar instâncias EC2).
- Tenha prioridades claras definidas (coletar evidências vs. restaurar operações).
- Prepare seu tooling de resposta a incidentes com antecedência.
Execute o exercício
Reúna a equipe de resposta em uma "war room"; então um facilitador narra um cenário enquanto o blue team explica —idealmente demonstra— as ações que tomaria. O facilitador itera a história com base nessas ações e depois revela o resultado final, incluindo ameaças que não foram detectadas. Cubra seu plano de comunicações e caminho de escalonamento, e quaisquer obrigações de notificação contratual ou de conformidade. A realidade raramente segue o playbook exatamente, então pratique adaptar-se à evasão e à anti-forense (por exemplo, um atacante adulterando a integração com o SIEM para que a atividade em uma Região não seja reportada). Capture lições aprendidas e conduza a melhoria incremental.
Formas de praticar na prática
- AWS Jam: desafios de segurança gamificados estilo capture-the-flag em contas AWS temporárias (disponível na versão paga do Skill Builder ou via treinamento).
- AWS CloudSaga: uma ferramenta de linha de comando que simula eventos de segurança documentados do AWS CIRT no seu próprio sandbox (nunca em produção).
- AWS Professional Services SIRS e os parceiros consultores da AWS podem facilitar simulações estruturadas para equipes técnicas até executivos.
Referência
Baseie seus cenários no Guia de Resposta a Incidentes de Segurança da AWS e nos seus próprios playbooks.
Como validar
- Você realiza exercícios de mesa e simulações para o blue team regularmente?
- Os respondedores são treinados em ações básicas de IR (captura de evidência, isolar instâncias, desabilitar identidades)?
- Os exercícios cobrem o plano de comunicações e escalonamento, e realimentam as lições aprendidas nos playbooks?
Ameaças atendidas
- Uma equipe que nunca ensaiou responde de forma lenta e inconsistente sob a pressão de um incidente real, dando ao adversário mais tempo e aumentando a chance de uma erradicação incompleta.
Serviços AWS
AWS Security Incident Response