DAIR (Dynamic Approach to Incident Response - SANS)

Nota do Capítulo 23, Frameworks e Metodologias Emergentes.
Apresenta o DAIR da SANS como abordagem dinâmica de resposta que supera o modelo linear do PICERL, com quatro fluxos paralelos de tracking, localização, análise e contenção, os critérios de quando usar e um exemplo de incidente conduzido com DAIR.
Dialoga com o KRAFF e o Securenet DFIR desta pasta, com os controles RES do capítulo 15 e com o capítulo 16 de exercícios práticos.

1. Contexto e Posicionamento na Biblioteca

O PICERL, preparation, identification, containment, eradication, recovery e lessons learned, é o modelo de resposta a incidentes mais ensinado do mercado, e a biblioteca o usa como vocabulário comum desde os controles RES do capítulo 15. O problema é que o modelo é uma sequência, e sequência comunica que uma fase termina para a outra começar, leitura que não sobrevive a um ataque ativo. O DAIR, Dynamic Approach to Incident Response, publicado pela SANS como alternativa dinâmica, reorganiza a resposta em fluxos simultâneos que progridem em paralelo, e é o framework adequado quando o adversário está operando na rede naquele momento.

O posicionamento na biblioteca é o de modelo de condução tática sob pressão. O KRAFF desta pasta garante a conformidade da esteira, o Securenet DFIR adapta a resposta à realidade de PMEs, e o DAIR organiza a tomada de decisão quando cada minuto de sequencialidade aumenta o dano, típico de ransomware em execução e de intrusões com operador ao teclado, como as campanhas de FIN7 e de Scattered Spider retratadas na biblioteca. A escolha do modelo de condução, portanto, não é preferência acadêmica, é decisão tática com custo mensurável em dwell time e em dano evitado.

2. A Limitação do Modelo Linear do PICERL

O PICERL é excelente como mapa conceitual e como linguagem de reporte, e exatamente por isso seu uso literal em incidente ativo é perigoso. A leitura sequencial induz três custos que o adversário explora. O primeiro é o custo de espera: sob o modelo linear, a contenção espera a identificação madura, e cada hora de análise antes de conter é uma hora de movimento lateral, exfiltração ou criptografia progressiva. O segundo é o custo de foco: o modelo sugere que o time inteiro trabalha na fase corrente, quando o incidente real exige força distribuída em frentes distintas ao mesmo tempo. O terceiro é o custo de reversão: no modelo sequencial, descobrir depois de conter que a localização estava errada obriga a reabrir a sequência, e no ataque ativo essa volta custa horas que não existem.

O DAIR não substitui o PICERL como referência de processo documental, e sim como modelo mental de condução. As fases do PICERL continuam existindo como conceitos e como artefatos, preparação permanente, identificação, erradicação, recuperação e lições aprendidas, mas a condução deixa de ser uma fila e passa a ser um tabuleiro com frentes simultâneas, alimentadas por comunicação contínua entre os responsáveis. O DAIR, nesse sentido, é uma disciplina de coordenação tanto quanto um modelo de resposta: o que ele elimina não é o trabalho analítico, é a fila que organiza esse trabalho.

3. Os Quatro Fluxos Paralelos do DAIR

O DAIR organiza a resposta em quatro fluxos que operam simultaneamente, com papéis distintos e comunicação permanente, e a qualidade da condução é medida pela coordenação entre eles, e não pela ordem. A tabela seguinte define cada fluxo, sua pergunta central e suas saídas típicas.

O tracking é o fluxo de consciência situacional e existe porque o perímetro de um incidente ativo muda enquanto tudo acontece: cada descoberta dos demais fluxos o atualiza, e ele retroalimenta a contenção com a lista do que precisa ser isolado. A localization persegue a origem e a persistência, e é o fluxo que responde à pergunta que a contenção precisa antes de erradicar, de onde isso veio. A analysis trabalha o material coletado, memória, imagens, pacotes, para entender capacidades e intenções, e entrega ao tracking e à localization os indicadores que ampliam o mapa. A containment executa sem esperar as outras frentes concluírem, e é a diferença mais visível do DAIR: conter o que já é certo agora, e ampliar a contenção conforme o tracking evolui, em vez de postergar tudo por completude analítica.

Entre os briefings formais, cada fluxo mantém seu estado visível para os demais, em prática conhecida como progresso publicado: a lista de ativos do tracking, as hipóteses abertas da localization e os achados preliminares da analysis ficam em documento compartilhado de acesso imediato, e não na cabeça dos donos. Esse hábito barato evita o gargalo clássico do incidente em que tudo depende de uma conversa com quem está concentrado na tarefa, e permite que a contenção aja sobre o mapa mais recente sem esperar a cadência formal.

A coordenação entre fluxos acontece em cadência curta e fixa, tipicamente briefing de quinze a trinta minutos, com os quatro responsáveis reportando estado, novas hipóteses e necessidades. Essa cadência é o mecanismo que impede os dois extremos ruins, o silêncio entre frentes que duplica trabalho e o ruído contínuo que impede decisão.

4. Papéis por Fluxo e Matriz de Resposta

O paralelismo do DAIR só funciona com donos nomeados, porque fluxo sem responsável é fluxo que para quando outra frente exige atenção. A matriz de resposta do DAIR define, para cada fluxo, um dono primário, um suplente e o canal pelo qual reporta no briefing, e essa matriz existe como documento aprovado antes de qualquer incidente. Em times pequenos, a mesma pessoa pode acumular dois fluxos, com a regra de que contenção e análise nunca se acumulam na mesma pessoa durante ataque ativo, porque as duas frentes competem pela mesma janela de tempo e pela mesma evidência viva.

O canal de coordenação é parte da matriz e precisa estar definido no papel: ponte de áudio permanente durante o incidente, canal dedicado de texto como registro cronológico e regra de que toda decisão relevante é escrita no canal com horário e autor. Essa escrita contínua não é burocracia, é a matéria-prima da cadeia de custódia que o KRAFF desta pasta exige depois, e é também o que permite a um suplente assumir um fluxo no meio do incidente sem reconstituir história por memória alheia.

O gabarito abaixo mostra o formato de entrada do registro cronológico do canal, com o mínimo de campos que mantém a cadeia intacta e permite ao KRAFF desta pasta montar os correlatos de conformidade depois, sem entrevistar ninguém.

REGISTRO CRONOLOGICO DA RESPOSTA (ENTRADA PADRAO)
07h52 | Containment  | M. Duarte   | isolamento do SRV-ARQ-03 em
      VLAN de quarentena; medida pre-aprovada na matriz
07h58 | Tracking     | P. Nogueira | perimetro ampliado para a conta
      svc-backup; origem da sessao em analise
08h04 | Coordination | R. Lima     | proximo briefing as 08h15;
      questao aberta: segundo fator da VPN remota

5. Quando o DAIR Supera o Modelo Sequencial

A escolha entre condução sequencial e dinâmica é uma decisão do início da resposta, e o critério é a natureza da atividade adversária. O DAIR supera o modelo sequencial nos cenários seguintes, e a tabela organiza a decisão prática.

A regra de decisão prática é perguntar se o adversário está operando agora, e a resposta positiva inclina para DAIR, com contenção progressiva e frentes paralelas; a resposta negativa permite a sequência completa, com análise profunda antes de ação. Ambiguidade no meio é resolvida para DAIR, porque os custos do erro são assimétricos: conter cedo demais custa desconforto operacional, conter tarde demais custa o incidente.

Na prática madura, a condução é híbrida em granularidade fina, com frentes paralelas no início e transição gradual para o sequencial conforme a pressão cai, e o que muda de modelo para modelo é o momento e a formalidade dessa transição. O erro oposto também existe: usar DAIR como estado permanente da resposta transforma todo incidente, inclusive o trivial, em operação de guerra, com custo de coordenação que o caso não justifica e com o time aprendendo a responder por drama em vez de por método.

6. Exemplo de Incidente Conduzido com DAIR

Considere um alerta de EDR às 07h40 indicando execução de ferramenta de criação de cópias de sombra em um servidor de arquivos, padrão conhecido de preparação para ransomware. O coordenador classificou ataque ativo e conduziu a resposta pelo DAIR, com a estrutura registrada na tabela a seguir.

O incidente ilustra a economia central do DAIR: a contenção começou cinco minutos após o alerta, sem esperar a análise que só fechou mais de uma hora depois, e a localization guiada pelo tracking encontrou o vetor inicial enquanto a contenção já protegia o ambiente. Sob condução sequencial, a contenção provavelmente esperaria a análise do loader, e o resultado seria criptografia iniciada em dois hosts em vez de nenhum.

Vale notar as trocas silenciosas entre fluxos que a tabela comprime. A extração do domínio de C2 pela analysis às 08h10 virou bloqueio no proxy às 08h20 sem esperar relatório, e a descoberta do segundo host pelo tracking às 08h35 veio da busca em malha disparada pela contenção, exemplificando o ciclo descoberta, contenção, verificação que é o motor do modelo. Cada uma dessas trocas foi registrada no canal cronológico com horário e autor, e é esse registro que permitiu ao KRAFF montar a cadeia de custódia e os correlatos sem entrevistar ninguém depois.

7. Transição do Dinâmico para o Sequencial

O DAIR conduz a crise, e não o incidente inteiro. Chegado o ponto em que a atividade adversária ativa é interrompida, a condução deve voltar ao modelo sequencial para as fases que exigem profundidade e ordem, e a decisão de desescalada é formal, com critérios e registro. A transição prematura é o erro típico, com o time abandonando as frentes paralelas enquanto o adversário ainda tem caminho de retorno, e a transição tardia é o erro oposto, com o time pagando custo de coordenação intensiva em um incidente que já não tem operador ao teclado.

O briefing de transição consolida o estado dos quatro fluxos e produz o insumo direto da fase sequencial de erradicação e recuperação. A lista seguinte define o conteúdo mínimo desse briefing, que deve ser registrado no canal da resposta e anexado ao incidente:

• Estado final do tracking, com perímetro consolidado, ativos isolados e linha do tempo corrente até o momento da desescalada.
• Estado final da localization, com vetor inicial, patient zero, contas comprometidas e persistências confirmadas, além das hipóteses em aberto com dono de verificação.
• Estado final da analysis, com capacidades confirmadas, indicadores extraídos e hipóteses não verificadas, marcadas explicitamente como tais.
• Estado da contenção vigente, com cada medida, seu critério de retorno e o prazo de revisão.
• Plano sequencial de erradicação e recuperação, com janelas, donos e critérios de verificação, já no vocabulário do ciclo formal.

8. Métricas da Condução Dinâmica

A condução dinâmica precisa de métricas próprias, porque as métricas tradicionais de processo medem fila e não coordenação. As quatro métricas seguintes cabem em painel simples e são preenchidas a partir do registro cronológico do canal, sem esforço adicional do time durante o incidente.

As duas primeiras métricas medem a velocidade que justifica o modelo, e a terceira mede a disciplina que o KRAFF desta pasta vai exigir depois, e as três juntas compõem o retrato de maturidade da condução. A quarta métrica conecta o DAIR ao IR.5 do capítulo 15, porque perímetro estável é a definição operacional de dwell time interrompido. Nos exercícios do capítulo 16, o painel dessas quatro métricas é o relatório de avaliação do time, e a evolução entre ensaios consecutivos diz mais sobre maturidade do que qualquer nota qualitativa escrita a dedo.

9. Erros Comuns e Pontos de Atenção

A condução dinâmica introduz falhas próprias, e a lista seguinte resume as mais recorrentes em exercícios e incidentes reais:

• Contenção sem coordenação, com ações isoladas que alertam o adversário, destruem evidência viva na memória e apagam a visão do tracking.
• Tracking negligenciado, com o perímetro perdido quando a propagação supera a lista manual e as descobertas novas ficam sem registro central.
• Papéis acumulados, com a mesma pessoa analisando e contendo, e as duas frentes parando quando a análise precisa de profundidade.
• Cadência de briefing abandonada sob estresse, exatamente no momento em que a coordenação mais vale.
• Briefing convertido em status report para gestores externos, consumindo a cadência interna com agenda que não ajuda nenhum dos quatro fluxos.
• Contenção perpetuada sem plano de saída, com ambientes isolados por semanas e o negócio pagando a conta da falta de critério de retorno.
• Paralelismo sem disciplina documental, com ações urgentes executadas sem registro de horário e responsável, rompendo a cadeia que o KRAFF e qualquer uso posterior da evidência exigem.

O ponto de atenção central é que DAIR exige maturidade de papel e de canal: os quatro fluxos precisam de donos nomeados na matriz de resposta, e o canal de coordenação precisa estar definido antes do incidente, porque improvisar papéis às 07h45 de um ataque ativo é o erro que o modelo existe para evitar.

10. Integração com o Restante da Biblioteca

Os controles RES do capítulo 15 definem a esteira e os papéis de resposta que o DAIR coordena dinamicamente, e o IR.5, de redução de dwell time, é a métrica que a contenção paralela ataca diretamente. O KRAFF desta pasta fornece a conformidade da execução, preservando cadeia de custódia e registro mesmo no paralelismo, e o Securenet DFIR mostra a versão simplificada do mesmo princípio para PMEs, com papéis mínimos e fluxos condensados.

No lado de inteligência, a analysis do DAIR alimenta a CTI com TTPs observados e indicadores extraídos, fechando o ciclo do capítulo 10, e a preparation permanente do modelo conecta os controles DAT e HNT do capítulo 15, porque caça e telemetria anteriores são o que permite um alerta às 07h40 virar contenção às 07h45. O exercício integrado de SOC do capítulo 16 é o lugar de ensaiar a condução dinâmica, com o time vivendo os quatro fluxos em ambiente controlado antes do primeiro incidente real, e o critério de aprovação do ensaio é objetivo: donos nomeados em cada fluxo, cadência de briefing cumprida e registro cronológico completo do cenário, porque esses três elementos são os que se transferem do exercício para o ataque real.