Resposta rápida
A evidência que explica um incidente começa a desaparecer antes mesmo de alguém abrir um chamado. — memória volátil, logs de sessão e dados de firewall com retenção padrão somem em poucos dias, e quando a investigação formal começa, boa parte do rastro já é irrecuperável.
- Uma violação ainda leva em média 241 dias para ser identificada e contida — muito mais do que a maioria dos logs fica armazenada.
- Casos com logs ausentes por retenção curta dobraram de um ano para o outro nas investigações revisadas em 2025.
- A virada: a maior lacuna forense não é uma ferramenta que falta. É um relógio que ninguém acertou de propósito.
Um notebook é sinalizado por atividade fora do padrão numa sexta-feira à tarde.
A TI isola a máquina, abre um chamado e segue em frente. A investigação fica agendada para segunda.
Na segunda, o equipamento já foi reiniciado duas vezes — uma vez por um técnico bem-intencionado, outra por uma atualização automática.
A memória que guardava a sessão do invasor sumiu. Junto foi metade do log de rede que mostraria para onde o tráfego foi.
Ninguém apagou evidência de propósito. Ela simplesmente expirou, como sempre acontece quando ninguém está correndo contra o relógio.
O relógio que ninguém acertou de propósito
A maioria dos planos de resposta a incidentes foca na contenção: isolar o dispositivo, bloquear a conta, trocar as credenciais. Essa parte costuma funcionar.
O que fica de fora é o fato de que contenção e preservação não são a mesma ação — e fazer uma sem a outra pode apagar em silêncio a capacidade de explicar o que aconteceu.
Juntando os três números, o padrão fica claro: a investigação quase sempre começa depois que a janela de evidência de parte da história já fechou.
O que fica invisível, e em quanto tempo
Memória volátil
A RAM guarda a sessão ativa do invasor, payloads decifrados e atividade de processo que nunca chega ao disco. Um reinício — mesmo automático — apaga tudo isso de forma completa e permanente.
Logs de sessão de firewall e rede
A retenção padrão de muitos appliances de firewall é de sete dias. Alguns vêm configurados para 24 horas. Se a investigação começa no oitavo dia, esse caminho já fechou de vez.
Histórico de processos no endpoint
O que rodou, quando, disparado por qual processo — é exatamente isso que mostra como um invasor se moveu entre máquinas. A maioria dos endpoints não guarda esse dado por muito tempo, a menos que algo esteja registrando de forma explícita.
Logs de nuvem e provedor de identidade
Histórico de login e atividade de API de plataformas SaaS também costuma viver numa janela rotativa. Sem uma exportação, esse registro envelhece e some do mesmo jeito.
“Contivemos o incidente” responde uma pergunta. “Conseguimos mostrar exatamente como aconteceu, em quais máquinas e quando” responde a pergunta que um auditor, um regulador ou uma seguradora cibernética realmente faz. Só a segunda exige evidência que sobreviva além do primeiro dia.
Contenção interrompe o dano. Só a preservação permite provar qual foi o dano.
A evidência fragmentada é que sustenta o caso, uma fonte só não
Mesmo quando os logs sobrevivem, raramente estão num só lugar. A Unit 42, da Palo Alto Networks, revisou seus casos de resposta a incidentes de 2025 e viu que os investigadores precisaram de evidência de duas ou mais fontes distintas para reconstruir o que aconteceu em 87% dos casos — em alguns, até dez fontes.
Telemetria de endpoint, logs de firewall, registros do provedor de identidade, trilhas de auditoria da nuvem. Cada um sozinho conta parte da história. Nenhum, sozinho, conta a história inteira.
É esse o argumento real para centralizar a evidência de endpoint antes do incidente acontecer, não durante ele. Reconstruir uma linha do tempo a partir de cinco consoles desconectados, sob pressão de prazo, é onde a investigação perde dias que não tinha para perder.
O que travar nas primeiras 24 horas
- Parar o reflexo de reiniciar.O instinto de reiniciar uma máquina comprometida é a forma mais comum de destruir memória volátil antes que alguém consiga capturá-la.
- Capturar antes de isolar.Tire uma imagem de memória e um snapshot de disco antes de mudar o estado da rede, não depois — o próprio isolamento pode disparar scripts de limpeza em alguns malwares.
- Exportar os logs que expiram primeiro.Logs de firewall e de provedor de identidade com janela curta de retenção precisam ser extraídos imediatamente, antes que a janela rotativa feche no próprio ritmo.
- Registrar a cadeia de custódia desde o minuto um.Quem tocou no dispositivo, quando e o que fez com ele. Evidência sem cadeia documentada é evidência que um tribunal ou uma seguradora pode contestar.
A prática forense padrão coleta evidência na ordem de volatilidade — memória, depois estado de rede, depois disco, depois logs arquivados — porque cada camada decai numa velocidade diferente. Um plano de resposta que pula direto para a imagem de disco já está trabalhando com um quadro incompleto.
Como a INGITE ajuda
Cloud Digital Forensics Investigation
Mantém atividade de endpoint, histórico de processos e linhas do tempo de eventos centralizados e retidos, para que uma investigação que comece no oitavo dia ainda consiga ver o que aconteceu no primeiro.
Cloud EndPoint Security
Sinaliza comportamento anômalo e isola dispositivos sem exigir reinício, para que a máquina fique contida e a memória permaneça intacta para a investigação seguinte.
Se um incidente começasse agora, a evidência ainda estaria lá amanhã?
Não se você conseguiria contê-lo. Se, uma semana depois, você conseguiria mostrar exatamente o que aconteceu e provar.
- Seu plano de resposta a incidentes separa as etapas de contenção das etapas de preservação?
- Você sabe a janela de retenção de cada fonte de log que precisaria — firewall, provedor de identidade, endpoint?
- Existe uma regra escrita contra reiniciar uma máquina suspeita antes de capturar a memória?
Se a resposta honesta a qualquer uma dessas perguntas for “a gente resolve na hora”, a lacuna não é a velocidade da resposta. É que ninguém acertou o relógio antes de ele começar a correr.
Qual é a evidência mais importante para preservar nas primeiras 24 horas de um incidente?
Quanto tempo leva para detectar e conter uma violação de dados em 2026?
Por que investigações de incidentes dependem de mais de uma fonte de log?
Um dispositivo comprometido deve ser reiniciado antes da investigação começar?
Garanta que a evidência sobreviva o tempo suficiente para importar
O Cloud Digital Forensics Investigation mantém histórico de endpoint e linhas do tempo de eventos centralizados, para que uma investigação iniciada dias depois ainda tenha um retrato do primeiro dia para trabalhar.