Isolamento de Workstation Comprometida: Procedimento Step-by-Step

O isolamento de uma workstation comprometida é a acção de contenção mais crítica e mais urgente numa resposta a incidente. Cada minuto de atraso permite que o ransomware se propague para mais máquinas, que mais dados sejam exfiltrados, e que o atacante consolide a sua posição na rede. Ao mesmo tempo, um isolamento mal executado pode destruir evidências forenses essenciais para perceber o âmbito do ataque.

Este artigo é um procedimento operacional — não uma política. Está organizado para ser executado durante um incidente real, por um sysadmin a trabalhar sob pressão, possivelmente às 2h da manhã num sábado. Cada passo tem uma justificação e um critério de conclusão claro.

1. Antes do incidente — preparação que salva tempo

A velocidade de isolamento durante um incidente depende quase inteiramente da preparação prévia. Estas acções devem ser completadas antes de qualquer incidente:

2. Reconhecer os sinais de comprometimento

A decisão de isolar deve ser tomada rapidamente — o custo de isolar uma máquina por engano (falso positivo) é muito menor do que o custo de não isolar uma máquina realmente comprometida. Na dúvida, isola.

3. Procedimento de isolamento — passo a passo

4. Preservar evidências antes de isolar

Em casos em que há tempo antes de isolar (ex: a máquina foi identificada como suspeita mas o ataque ainda não está a cifrar), é possível recolher evidências forenses que serão essenciais para a investigação e para o relatório de incidente NIS2.

Recolha de evidências — se houver tempo

1. Dump de processos activos — abrir Task Manager (Ctrl+Shift+Esc), fotografar com telemóvel a lista completa de processos (separadores Processes e Details)
2. Conexões de rede activas — abrir PowerShell ou CMD e executar:

# Guardar conexões de rede activas para análise
netstat -bano > C:\temp\netstat_evidencia.txt

# Guardar lista de processos
tasklist /v > C:\temp\processos_evidencia.txt

# Guardar eventos de segurança recentes
Get-EventLog -LogName Security -Newest 500 | Export-Csv C:\temp\security_log.csv

# Copiar os ficheiros para USB isolado imediatamente

3. Não apagar nada — não fechar janelas, não terminar processos, não apagar ficheiros suspeitos antes de isolar
4. Não reiniciar a máquina — o reinício limpa a memória RAM, que pode conter o payload em execução ou chaves de cifragem úteis para a investigação forense
5. Se houver capacidade de DFIR: considerar dump de memória RAM com ferramenta como WinPmem antes de desligar — extremamente útil para análise forense de ransomware em memória

5. Isolar da rede — métodos por cenário

Método 1 — Cabo de rede (mais rápido)

Desligar fisicamente o cabo RJ45 da máquina ou do patch panel. Método mais rápido e mais fiável. Em laptops, desligar também o Wi-Fi — as duas interfaces têm de ser isoladas.

Método 2 — Desactivar porta de switch (mais seguro)

Garante que a máquina permanece isolada mesmo que o cabo seja reconectado. Comandos por marca de switch:

# CISCO IOS — desactivar porta Fa0/5
enable
configure terminal
interface FastEthernet0/5
shutdown
end

# CISCO — verificar estado da porta
show interface FastEthernet0/5 status

# HP ProCurve / Aruba — desactivar porta 5
configure
interface 5 disable
exit

# Mikrotik RouterOS — desactivar ether5
/interface set ether5 disabled=yes

Método 3 — Isolar via Windows Firewall (se não houver acesso físico)

Útil quando a máquina é remota e o acesso físico não é imediato. Requer que ainda seja possível aceder via PowerShell remoto (WinRM). Bloqueia todo o tráfego de entrada e saída excepto a sessão PowerShell actual:

# Executar na máquina comprometida via PowerShell remoto
# ATENÇÃO: bloqueia TODA a conectividade de rede — a sessão actual também termina

# Bloquear todo o tráfego de entrada
New-NetFirewallRule -DisplayName "ISOLAMENTO-BLOCK-IN" -Direction Inbound -Action Block -Profile Any

# Bloquear todo o tráfego de saída
New-NetFirewallRule -DisplayName "ISOLAMENTO-BLOCK-OUT" -Direction Outbound -Action Block -Profile Any

# Para remover o isolamento quando autorizado (executar fisicamente na máquina):
# Remove-NetFirewallRule -DisplayName "ISOLAMENTO-BLOCK-IN"
# Remove-NetFirewallRule -DisplayName "ISOLAMENTO-BLOCK-OUT"

Método 4 — Isolar via Microsoft Defender for Endpoint

Se a organização usa o Defender for Endpoint (Plan 2), o isolamento de dispositivo está a um clique no portal:

1. Aceder a security.microsoft.com → Devices → [nome da máquina]
2. Clicar em Device actions → Isolate device
3. Escolher Full isolation (bloqueia todo o tráfego excepto comunicação com o portal Defender)
4. Confirmar — o isolamento é aplicado remotamente em segundos
5. A máquina mantém comunicação com o portal Defender: podes continuar a investigar remotamente e executar Live Response (se Plan 2)

6. Revogar credenciais e sessões activas

O isolamento de rede impede propagação física. Mas se o utilizador tinha sessão activa no M365 ou outros serviços cloud, o atacante pode manter acesso através dessas sessões mesmo com a máquina isolada. Revogar sessões é o segundo passo crítico.

Revogar sessões M365 / Entra ID

Connect-MgGraph -Scopes "User.ReadWrite.All"

$upn = "[email protected]"

# Revogar TODAS as sessões activas do utilizador
Revoke-MgUserSignInSession -UserId $upn

# Repor a password imediatamente
Update-MgUser -UserId $upn -PasswordProfile @{
    "Password" = "NovaPasswordTemporaria@2026!"
    "ForceChangePasswordNextSignIn" = $true
}

# Verificar sessões activas (confirmar revogação)
Get-MgUserAuthenticationSignInActivity -UserId $upn

Revogar via portal (sem PowerShell)

Caminho: entra.microsoft.com → Users → [utilizador] → Revoke sessions

1. Pesquisar o utilizador em Users → All users
2. Seleccionar o utilizador → clicar Revoke sessions
3. Em seguida: Reset password → gerar password temporária
4. Se o utilizador tiver funções de administrador: verificar em Assigned roles e revogar temporariamente

Revogar no Active Directory on-premises

# Desactivar conta de utilizador no AD
Disable-ADAccount -Identity "utilizador.comprometido"

# Repor password
Set-ADAccountPassword -Identity "utilizador.comprometido" -Reset -NewPassword (ConvertTo-SecureString "TempPass2026!#" -AsPlainText -Force)

# Forçar logoff de todas as sessões (requer Domain Admin)
# Verificar qual DC tem a sessão activa e terminar remotamente
Get-ADUser -Identity "utilizador.comprometido" -Properties LastLogonDate, LockedOut | Select-Object Name, LastLogonDate, LockedOut

7. Comunicação durante o isolamento

8. Após o isolamento — o que fazer a seguir

Com a máquina isolada e as credenciais revogadas, a fase de contenção imediata está concluída. Passa-se à avaliação do âmbito e à decisão sobre as próximas acções:

1. Verificar outras máquinas da rede — especialmente máquinas no mesmo segmento de rede da máquina comprometida. Verificar alertas no EDR para actividade suspeita semelhante
2. Verificar o servidor de ficheiros — há ficheiros cifrados em partilhas de rede? Qual o ponto de criação mais recente de ficheiros com extensão estranha?
3. Verificar os logs de autenticação do DC — há logins com a conta comprometida noutras máquinas? Há contas novas criadas?
4. Activar o Plano de Resposta a Incidente completo — ver Plano de Resposta a Ransomware a partir da Fase 2
5. Decisão sobre a máquina isolada — manter ligada para análise forense (recomendado se houver capacidade DFIR) ou desligar e reconstruir de raiz a partir de backup

9. Cenário especial — servidor ou Domain Controller comprometido

Acções específicas para comprometimento de DC

1. Isolar o DC da rede imediatamente — usando os métodos da Secção 5. Se houver DC redundante (múltiplos DCs), avaliar se também estão comprometidos antes de isolar
2. Resetar a password do krbtgt duas vezes com 10 horas de intervalo — invalida todos os tickets Kerberos existentes. Requer ferramentas como o New-KrbtgtKeys.ps1 (Microsoft) ou Reset-KrbtgtKeyInteractive
3. Resetar passwords de TODAS as contas de utilizador do domínio — começar pelas contas privilegiadas (Domain Admins, Enterprise Admins, Schema Admins)
4. Verificar GPOs — procurar políticas criadas ou modificadas recentemente que possam ser backdoors
5. Verificar AD Users and Computers — procurar contas criadas ou membros adicionados a grupos privilegiados nas últimas semanas
6. Considerar reconstrução do AD a partir de backup limpo — se o comprometimento foi profundo, a reconstrução é mais segura do que tentar limpar
7. Contactar empresa DFIR especializada — comprometimento de DC requer análise forense especializada

10. Checklist de isolamento para impressão

Imprimir e guardar em papel junto ao servidor principal ou na gaveta do responsável IT. Durante um ataque activo, os sistemas de documentação digital podem estar inacessíveis.