Você descobre que um alerta fechado três semanas atrás era na verdade uma invasão real. E agora?

Escale imediatamente e assuma que o atacante teve três semanas, então dimensione amplo antes de conter. Reabra o caso, reconstrua a linha do tempo a partir da telemetria retida, e cace a atividade subsequente que você esperaria: persistência, roubo de credenciais, movimento lateral e exfiltração. Contenha com base nos achados atuais e não no alerta original, em uma ação coordenada só. Depois, faça uma revisão sem culpados sobre por que a decisão original parecia correta.

Eu conto ao meu líder na hora, antes de ter o quadro completo, porque três semanas de permanência é um incidente e a pior versão disso é um analista investigando sozinho e em silêncio para salvar a cara. Depois eu resisto à vontade de isolar o host original imediatamente, porque depois de três semanas aquele host provavelmente não é o único e conter cedo alerta o atacante. Então eu dimensiono primeiro: reconstruo a linha do tempo com a retenção que eu ainda tenho, e depois caço para a frente o que deveria ter vindo em seguida, ou seja, mecanismos de persistência, novas contas de serviço, acesso a credenciais, novas arestas de autenticação entre conta e host, e anomalias de volume de saída. Sabendo a pegada, eu contenho em uma ação coordenada em vez de host por host. Depois eu quero que a revisão seja sobre o processo, não sobre a pessoa. Quando a gente fez isso em um trabalho anterior, o achado honesto foi que o analista não tinha log de linha de comando naquele host, então a decisão parecia correta com a evidência disponível. A correção foi telemetria mais uma regra de runbook sobre fechar por ausência de evidência.