Esclarecimento de dúvidas
Um comportamento anormal, um alerta, um e-mail suspeito? Análise rápida para decidir: incidente real ou falso positivo. Fica a saber em dias, não em semanas.
A consultora · Análises & investigações
Analisar os vestígios disponíveis e estabelecer o que permitem concluir.
Uma dúvida, um alerta, um incidente: antes de decidir, é preciso apurar os factos. A Galyct conduz três tipos de investigação, do simples controlo à prova utilizável em tribunal. O objetivo nunca é afogar em pormenores técnicos: é esclarecer a sua decisão.
Primeira conversa confidencial, sem compromisso. Não apague nada antes de falar connosco.
01 · TRÊS NÍVEIS DE INVESTIGAÇÃO
Do simples controlo à prova utilizável.
Nem todas as situações exigem a mesma profundidade de análise. Três níveis, consoante procure esclarecer uma dúvida, compreender um ataque confirmado ou constituir um dossiê que se aguente perante um terceiro.
Análise de comprometimento
O incidente está confirmado. Reconstituímos o caminho do atacante: ponto de entrada, movimentos, dados afetados, persistências. É a base da remediação e das notificações obrigatórias (ANSSI, CNIL 72 h).
Forense probatória
Recolher e conservar a prova digital segundo as regras da arte, para o banco, a seguradora, o advogado ou a justiça. Cadeia de custódia documentada, restituição legível por não especialistas.
02 · AS QUESTÕES QUE RESOLVEMOS
Uma investigação parte de uma pergunta, não de uma ferramenta.
Eis as que resolvemos com mais frequência: o que examinamos, o que o resultado permite afirmar e o que não permite.
De onde vem realmente esta mensagem?
Cabeçalhos técnicos, percurso de encaminhamento, autenticação (SPF, DKIM, DMARC), domínio emissor. Estabelece-se se um e-mail ou um SMS foi falsificado, sem conseguir sempre identificar o remetente real.
Esta conta foi comprometida, e até onde?
Inícios de sessão, dispositivos, regras de reencaminhamento, aplicações autorizadas, meios de recuperação. Estabelece-se a extensão do acesso e o que pode ter sido visto ou modificado.
Este início de sessão é legítimo?
Endereço, dispositivo, horário, geolocalização aproximada, histórico. Distingue-se um acesso habitual de um acesso anormal, sem certeza sobre a identidade por trás do endereço.
Este site ou este domínio é fraudulento?
Data de criação, alojamento, certificado, semelhança com uma marca, denúncias. Qualifica-se o risco de um domínio e o seu modo de operação provável.
Este dispositivo está comprometido?
Aplicações instaladas, autorizações, ligações de saída, persistências, atualizações. Separam-se os sintomas benignos dos sinais reais de comprometimento.
O que aconteceu, e por que ordem?
Registos, notificações, carimbos temporais, correlação entre eventos. Reconstrói-se uma cronologia que distingue os factos apurados das hipóteses.
03 · O QUE CONTA
O que destrói a prova, o que a guarda
A prova digital é frágil: uma vez substituída, não volta. Distinguir os gestos que a apagam dos elementos que continuam utilizáveis como prova muda o desfecho de um dossiê.
O que destrói a prova
Os reflexos que apagam tudo
Estas ações, feitas de boa-fé, tornam por vezes um dossiê indefensável.
- Reinstalar um sistema ou «limpar» um dispositivo
- Apagar mensagens, registos ou históricos
- Continuar a usar uma conta comprometida
- Modificar ou mover os ficheiros originais
O que pode servir de prova
Os elementos a preservar
Recolhidos e conservados corretamente, mantêm a sua força ao longo do tempo.
- Registos de início de sessão e endereços técnicos
- Cabeçalhos de e-mails e mensagens originais
- Capturas de ecrã datadas
- Extratos de operações e vestígios de acesso
Acaba de acontecer um incidente? Não toque em mais nada.
Reinstalar, apagar, «começar do zero»: os reflexos mais naturais são muitas vezes os que destroem aquilo que o poderia ter protegido. Não apague nada, não reinstale nada, e peça a qualificação da situação: protegemos o que ainda pode ser protegido.
04 · OS ENTREGÁVEIS
O que recebe no final.
Uma investigação só vale pelo que lhe permite decidir. Os nossos entregáveis separam sempre o que é constatado do que é suposto, de acordo com a doutrina do CODEX.
Relatório de análise factual
Constatado vs suposto, de acordo com o CODEX. Uma cronologia do ataque, sem conclusões que os factos não sustentem.
Alcance do incidente
A lista dos sistemas e dos dados afetados, e recomendações priorizadas para a remediação e as notificações obrigatórias.
Vertente probatória
Quando o dossiê tem de se aguentar perante um terceiro: selos digitais e certificado de recolha, com uma cadeia de custódia documentada.
05 · A NOSSA HONESTIDADE
O que apuramos, e o que não prometemos.
A investigação apura os factos com rigor. Não reescreve o que já foi substituído e não aponta um culpado sem prova. Preferimos ser claros desde a primeira conversa.
O que não prometemos
Nenhum resultado garantido
Uma prova destruída pode sê-lo definitivamente, e a atribuição continua a ser uma questão de prova.
- Não garantimos a recuperação de um dado já substituído
- Não atribuímos um ataque a um autor sem prova que o sustente
- Não garantimos o desfecho de uma diligência bancária, de seguro ou judicial
- Nunca prometemos um resultado: comprometemo-nos com um método
Aquilo com que nos comprometemos
O método e a clareza
O que depende de nós, cumprimo-lo.
- Preservar o que ainda pode ser preservado, sem alterar os originais
- Documentar cada etapa: uma cadeia de custódia rastreável
- Separar o constatado do suposto, sem conclusões precipitadas
- Confidencialidade estrita: nunca lhe pedimos os seus códigos
Apurar os factos antes de agir
Decidir sem saber é arriscar limpar o que não se compreendeu, notificar cedo demais ou acusar injustamente. A investigação dá à sua decisão a base que lhe falta: o que realmente aconteceu, e o que os vestígios permitem (ou não) afirmar.
Uma dúvida a esclarecer, factos a apurar?
Uma primeira conversa com um especialista sobre a sua situação: confidencial, sem compromisso, sem prospeção comercial. Preservamos o que ainda pode ser preservado e, depois, reconstituímos o que aconteceu.