Respondendo: isolando uma máquina

A detecção só importa se levar a uma ação. Esta aula é sobre os primeiros minutos depois que você percebe algo errado: um aplicativo se conectando a um lugar que não deveria, um Mac se comportando de forma estranha, ou um aviso de alguém em quem você confia de que você pode ter sido alvo. O objetivo aqui não é resolver o problema de fundo sozinho; é impedir que piore e preservar o que você vai precisar para obter ajuda real.

Primeiro isole, depois investigue

O Guia de Tratamento de Incidentes de Segurança de Computadores do NIST (SP 800-61) apresenta a contenção como uma escolha que precisa ser feita rapidamente, e alerta que "um atacante poderia escalar o acesso não autorizado ou comprometer outros sistemas" enquanto a contenção for adiada. Em um único Mac, a contenção significa cortar seu acesso à rede: desligar o Wi-Fi, desconectar um cabo Ethernet, ou ativar o Modo Avião se disponível, em vez de continuar usando-o normalmente enquanto você pensa. Isso não conserta nada por si só, mas interrompe uma conexão em andamento com um atacante, e impede que o Mac seja usado para alcançar qualquer outra coisa, como outro dispositivo na mesma rede ou uma conta em que você ainda está conectado.

• Desconecte da rede: Wi-Fi desligado, Ethernet desconectado. Essa é a única ação inicial mais útil, já que corta ao mesmo tempo instruções de entrada e dados de saída.
• Não desligue nem reinicie o Mac, a menos que alguém ajudando você tenha pedido isso. Desligar pode perder informações na memória que de outra forma ajudariam a explicar o que aconteceu, e pode acionar software prejudicial projetado para perceber um desligamento e apagar seus rastros.
• Não desinstale o aplicativo suspeito, exclua arquivos, nem faça uma "limpeza" antes de conseguir ajuda. É tentador, mas isso destrói as evidências de que um ajudante precisaria para entender o que aconteceu.
• Se o Mac é usado para trabalho, ou o incidente pode envolver dados de outra pessoa, avise imediatamente quem é responsável por isso (o contato de TI ou segurança de um empregador, o responsável de segurança de uma organização), em vez de depois de você mesmo já ter investigado.

Preservando o que você puder, rapidamente

O guia do NIST recomenda documentar "cada passo tomado desde o momento em que o incidente foi detectado até sua resolução final", com data e hora, idealmente por alguém diferente de quem está fazendo o trabalho técnico. Em um único Mac, sem uma equipe formal, isso pode ser simples: anote ou fotografe o que você viu e quando (o aplicativo, o destino, o horário), observe qualquer coisa que você mudou (você desconectou a rede? fechou um aplicativo?), e guarde qualquer captura de tela que já tenha tirado. Esse é exatamente o tipo de detalhe que as ferramentas da aula anterior, como um registro de conexões por aplicativo, são úteis para capturar antes de você se desconectar.

Conseguindo ajuda

A quem recorrer depende de quem você é e do que está em jogo. Para a maioria das pessoas, isso começa com quem administra o dispositivo, se ele não for pessoal (um empregador, a TI de uma organização), ou uma pessoa de confiança e tecnicamente capaz, se for. Para jornalistas, ativistas, defensores de direitos humanos e outras pessoas que podem ser alvo por causa do seu trabalho, duas organizações oferecem especificamente esse tipo de apoio sem custo:

• A Linha de Ajuda de Segurança Digital da Access Now oferece ajuda de resposta rápida, em vários idiomas, para grupos da sociedade civil e indivíduos que acreditam estar em risco ou já sob ataque, depois de um processo de verificação para confirmar que se encaixam no seu escopo de atuação.
• A Freedom of the Press Foundation oferece treinamento em segurança digital e orientação personalizada para jornalistas e redações, incluindo orientação sobre segurança de dispositivos e proteção de fontes.

Nem a organização, nem esta aula, conseguem prometer que algum conjunto de passos torna uma pessoa visada segura; o objetivo honesto é reduzir o risco e envolver rapidamente alguém experiente, não eliminá-lo.