Resumo

  • O RFC 2350 organiza a descrição pública de um CSIRT: quem ele atende, como receber relatos, qual é sua autoridade, quais políticas aplica e quais serviços oferece.
  • A descrição cria uma expectativa razoável; o resultado de cada caso depende de recibos, decisões, evidências, ações e verificações próprias.

Publicado em junho de 1998 como BCP 21, o RFC 2350 respondeu a mal-entendidos sobre o que comunidades poderiam esperar de equipes de resposta. Sua solução foi uma ficha pública com identidade e contatos da equipe, fuso, horário, chaves, missão, constituency, organização patrocinadora, autoridade, níveis de apoio, política de divulgação, serviços, formulários e ressalvas.

Isso tornou a promessa verificável antes da emergência. Não tornou a promessa prova de execução depois dela.

Horário publicado não mede a resposta

O RFC pede horário de funcionamento, calendário de feriados e informação sobre uma eventual linha 24 horas. Assim, o reportante sabe quando uma resposta rápida faz parte da expectativa. Mas envio, entrega, confirmação e triagem são quatro momentos diferentes.

O documento comprova o canal declarado. Registros de transporte, criação de chamado, aviso de recebimento e decisão de prioridade comprovam o caso. O próprio RFC reconhece que o nível de apoio pode variar conforme a carga da equipe e a completude das informações. “Atendimento 24 horas” não significa que determinada mensagem foi tratada em tempo real.

Um relato ainda precisa virar incidente confirmado

No RFC 2350, triagem inclui interpretar e priorizar relatos, relacioná-los a casos e tendências e ajudar a determinar se um incidente realmente ocorreu e qual é sua extensão. A confirmação vem depois da entrada.

O CSIRT Services Framework 2.1 da FIRST separa aceitação de relatos, análise do incidente e análise de artefatos e evidência forense. A avaliação preliminar pode pedir mais dados, identificar uma configuração errada ou falha física, classificar um falso alarme, encaminhar o relato a outro responsável ou iniciar análise.

Um ticket prova que uma alegação entrou no processo. Não prova a alegação. A confirmação precisa dos elementos e do raciocínio que mudaram o estado do caso.

Constituency e autoridade são perímetros diferentes

O RFC distingue a comunidade atendida do alcance de controle. Um CSIRT comunitário pode ser consultivo. Até uma equipe interna pode não ter autoridade para interferir em todos os sistemas que fazem parte de sua comunidade.

Logo, receber o relato não dá automaticamente poder para isolar uma máquina, apreender uma mídia, obrigar um fornecedor, aplicar uma correção ou liberar um serviço para produção. A equipe pode orientar enquanto o proprietário executa; pode coordenar sem controlar a resposta do terceiro.

Cada medida relevante deve guardar quem tinha autoridade, quem executou e o que se observou. Recomendar contenção não é conter. Pedir remoção de persistência não prova que ela desapareceu.

Triagem, coordenação e resolução não são sinônimos

O RFC divide a resposta em triagem, coordenação e resolução. A triagem avalia e verifica. A coordenação classifica informações conforme a política de divulgação e notifica envolvidos segundo a necessidade. A resolução é geralmente adicional ou opcional: assistência técnica, erradicação da causa e dos efeitos e ajuda na recuperação.

Essa lista não é uma esteira automática. A equipe pode fazer triagem sem administrar o sistema local, notificar sem receber confirmação ou sugerir erradicação sem testar o estado final. A própria seção de segurança do RFC diz que o documento não trata de respostas concretas a incidentes, mas da descrição adequada das respostas oferecidas.

A FIRST preserva a separação entre aceitação, análise, perícia, mitigação e recuperação, coordenação e apoio a crises. O framework também não avalia capacidade, volume, maturidade ou qualidade de uma equipe. Vocabulário comum não é auditoria operacional.

Coordenação não produz atribuição

As políticas de cooperação e divulgação mostram com quem um CSIRT troca informações. Não identificam um atacante. A atribuição pode exigir artefatos, cronologia, infraestrutura, indícios de identidade, inteligência, hipóteses alternativas e um padrão institucional ou jurídico.

O RFC 3227 trata coleta e preservação de evidência como disciplina própria, inclusive localizando sistemas e fontes. A FIRST separa análise de incidente de análise forense. Dizer que o serviço existe não cria os artefatos do caso.

“Aceitamos relatos e coordenamos com terceiros” descreve uma interface. “Atribuímos o caso ao ator X” precisa de conclusão datada, método, escopo, confiança e evidência.

Recuperação é um estado verificado

RFC 2350 define recovery como ajuda para restaurar sistemas e serviços ao estado anterior. “Ajuda” não entrega necessariamente a execução nem a aprovação final ao CSIRT.

O NIST SP 800-61 Rev. 3, finalizado em abril de 2025, exige escolher e executar ações, verificar ativos de restauração, confirmar serviços essenciais e operação normal, monitorar sistemas restaurados, validar integridade, declarar o fim segundo critérios e terminar a documentação.

Uma linha no catálogo não prova essas etapas. A volta de uma tela de acesso também não demonstra remoção da causa, ausência de persistência, integridade de dados ou reconciliação de dependências.

Fontes e limites

Este texto não audita nenhum CSIRT nem afirma que um serviço listado não foi realizado. Apenas recusa tratar a lista como prova de realização.