Responder: isolar uma máquina

A deteção só importa se levar a uma ação. Esta lição é sobre os primeiros minutos depois de notar algo errado: uma app a ligar-se a algum lugar que não devia, um Mac a comportar-se de forma estranha, ou um aviso de alguém em quem confia de que pode ter sido visado. O objetivo aqui não é resolver o problema subjacente você mesmo; é impedir que piore e guardar o que vai precisar para obter ajuda real.

Isole primeiro, investigue depois

O Guia de Tratamento de Incidentes de Segurança Informática do NIST (SP 800-61) enquadra a contenção como uma escolha que tem de ser feita rapidamente, e avisa que "um atacante poderia escalar o acesso não autorizado ou comprometer outros sistemas" durante todo o tempo em que a contenção for adiada. Num só Mac, a contenção significa cortar o seu acesso à rede: desligar o Wi-Fi, desligar um cabo Ethernet, ou ativar o Modo Avião se disponível, em vez de continuar a usá-lo normalmente enquanto pensa. Isto não corrige nada por si só, mas para uma ligação em curso com um atacante, e impede que o Mac seja usado para chegar a mais alguma coisa, como outro dispositivo na mesma rede ou uma conta em que ainda tem sessão iniciada.

• Desligue-se da rede: Wi-Fi desligado, Ethernet desligado. Esta é a única ação inicial mais útil, já que corta tanto as instruções recebidas como os dados enviados de uma só vez.
• Não desligue nem reinicie o Mac a menos que alguém a ajudá-lo lho tenha pedido. Desligar pode perder informação em memória que de outra forma ajudaria a explicar o que aconteceu, e pode desencadear software prejudicial concebido para notar um encerramento e cobrir os seus rastos.
• Não desinstale a app suspeita, elimine ficheiros, ou "limpe" antes de obter ajuda. É tentador, mas destrói as provas de que quem ajuda precisaria para entender o que aconteceu.
• Se o Mac for usado para trabalho, ou o incidente puder envolver dados de outra pessoa, avise imediatamente quem for responsável por isso (o contacto de TI ou segurança de um empregador, o responsável de segurança de uma organização), em vez de depois de ter investigado você mesmo.

Preservar o que puder, brevemente

O guia do NIST recomenda documentar "cada passo dado desde o momento em que o incidente foi detetado até à sua resolução final", com data e hora, idealmente por alguém que não seja a pessoa a fazer o trabalho técnico. Num só Mac, sem uma equipa formal, isto pode ser simples: anote ou fotografe o que viu e quando (a app, o destino, a hora), note tudo o que mudou (desligou a rede? fechou uma app?), e guarde quaisquer capturas de ecrã que já tenha tirado. Este é exatamente o tipo de detalhe que as ferramentas da lição anterior, como um registo de ligações por app, são úteis para capturar antes de se desligar.

Obter ajuda

A quem contactar depende de quem é e do que está em jogo. Para a maioria das pessoas, começa por quem gere o dispositivo se não for pessoal (um empregador, a TI de uma organização), ou uma pessoa de confiança e tecnicamente capaz se for. Para jornalistas, ativistas, defensores dos direitos humanos e outros que possam ser visados por causa do seu trabalho, duas organizações oferecem especificamente este tipo de apoio sem custos:

• A Linha de Ajuda de Segurança Digital da Access Now oferece ajuda de resposta rápida, em múltiplas línguas, para grupos da sociedade civil e indivíduos que acreditam estar em risco ou já sob ataque, depois de um processo de verificação para confirmar que se enquadram no seu mandato.
• A Freedom of the Press Foundation oferece formação em segurança digital e aconselhamento personalizado para jornalistas e redações, incluindo orientação sobre segurança de dispositivos e proteção de fontes.

Nem a organização, nem esta lição, conseguem prometer que algum conjunto de passos torna uma pessoa visada segura; o objetivo honesto é reduzir o risco e envolver rapidamente uma pessoa com conhecimento, não eliminá-lo.