# 1. Verificar logs de autenticação
grep "FAILED" /var/log/auth.log
grep "authentication failure" /var/log/messages

# 2. Verificar conexões ativas suspeitas
netstat -an | grep ESTABLISHED
ss -tulpn | grep LISTEN

# 3. Verificar processos suspeitos
ps aux | grep -E "(python|bash|sh)" | grep -v grep
top -b -n 1

# 4. Verificar alterações recentes em arquivos críticos
find /etc -type f -mtime -1
find /var/www -type f -mtime -1

# 5. Verificar espaço em disco (possível ransomware)
df -h

# 1. Parar serviço imediatamente
docker service scale csuite-affected-service_csuite-affected-service=0

# 2. Bloquear tráfego de rede (se necessário)
# Via firewall
sudo iptables -A INPUT -s <ATTACKER_IP> -j DROP

# 3. Isolar container (se ainda rodando)
docker network disconnect csuite_default <container_id>

# 1. Desconectar da rede (se possível)
sudo ifdown eth0

# 2. Ou bloquear tráfego externo
sudo iptables -A INPUT -j DROP
sudo iptables -A OUTPUT -j DROP

# 1. Criar snapshot de logs
mkdir -p /evidence/$(date +%Y%m%d_%H%M%S)
cp -r /var/log/* /evidence/$(date +%Y%m%d_%H%M%S)/

# 2. Snapshot de processos
ps aux > /evidence/$(date +%Y%m%d_%H%M%S)/processes.txt
netstat -an > /evidence/$(date +%Y%m%d_%H%M%S)/network.txt

# 3. Snapshot de containers Docker
docker ps -a > /evidence/$(date +%Y%m%d_%H%M%S)/containers.txt
docker service ls > /evidence/$(date +%Y%m%d_%H%M%S)/services.txt

# 4. Backup de configurações
cp -r /etc/docker /evidence/$(date +%Y%m%d_%H%M%S)/docker_config
cp docker-stack.yml /evidence/$(date +%Y%m%d_%H%M%S)/

# 1. Revogar tokens JWT (se possível)
# Atualizar JWT_SECRET no Docker Swarm
echo "NEW_SECRET" | docker secret rm jwt_secret
echo "NEW_SECRET" | docker secret create jwt_secret -

# 2. Forçar re-autenticação de usuários
# (depende da implementação)

# 3. Rotacionar senhas de banco de dados
# Atualizar mysql_password secret
echo "NEW_PASSWORD" | docker secret rm mysql_password
echo "NEW_PASSWORD" | docker secret create mysql_password -

# Logs do Gateway
docker service logs --tail 1000 csuite-gateway_csuite-gateway > gateway_logs.txt

# Logs do serviço afetado
docker service logs --tail 1000 csuite-affected-service_csuite-affected-service > service_logs.txt

# Logs do Traefik
docker service logs --tail 1000 traefik_traefik > traefik_logs.txt

-- Verificar acessos recentes
SELECT * FROM mysql.general_log 
WHERE event_time > DATE_SUB(NOW(), INTERVAL 24 HOUR)
ORDER BY event_time DESC;

-- Verificar alterações em tabelas críticas (se audit log existe)
SELECT * FROM audit_log 
WHERE table_name = 'users' 
AND action = 'UPDATE'
AND timestamp > DATE_SUB(NOW(), INTERVAL 24 HOUR);

# Logs de autenticação
grep -i "fail\|denied\|unauthorized" /var/log/auth.log

# Logs de acesso web (se disponível)
tail -1000 /var/log/nginx/access.log | grep -E "(POST|PUT|DELETE)"

# Logs do Docker
journalctl -u docker.service --since "24 hours ago"

# Verificar quando arquivos foram modificados
find /path -type f -mtime -7 -exec ls -lh {} \;

# Verificar histórico Git (se aplicável)
git log --since="7 days ago" --oneline

# Verificar cron jobs recentes
grep CRON /var/log/syslog | tail -100

# 1. Remover container comprometido
docker service rm csuite-affected-service_csuite-affected-service

# 2. Limpar volumes (se necessário)
docker volume rm csuite-affected-service_data

# 3. Verificar e corrigir código (se vulnerabilidade)
git checkout <commit_anterior_seguro>
# Ou aplicar patch de segurança

# 4. Re-deploy do serviço
docker stack deploy -c docker-stack.yml csuite

-- 1. Verificar integridade dos dados
CHECK TABLE critical_table;

-- 2. Identificar dados alterados (se audit log existe)
SELECT * FROM audit_log 
WHERE action IN ('INSERT', 'UPDATE', 'DELETE')
AND timestamp > '<incident_time>';

-- 3. Restaurar dados comprometidos (se backup disponível)
-- Ver DISASTER_RECOVERY.md - Seção 5.2

pip list --outdated
pip install --upgrade <package>

sudo yum update --security

# Relatório de Incidente de Segurança

**Data do Incidente:** YYYY-MM-DD HH:MM
**Severidade:** P1/P2/P3/P4
**Status:** Resolvido/Em Investigação

## Resumo Executivo
Breve descrição do incidente e impacto.

## Timeline
- T0: Detecção
- T+15min: Contenção
- T+1h: Investigação iniciada
- T+4h: Recuperação completa

## Causa Raiz
Descrição da causa raiz identificada.

## Impacto
- Serviços afetados: [lista]
- Dados comprometidos: [descrição]
- Tempo de indisponibilidade: [X horas]
- Usuários afetados: [número estimado]

## Ações Tomadas
1. [Ação 1]
2. [Ação 2]
...

## Lições Aprendidas
- O que funcionou bem
- O que pode ser melhorado
- Gaps identificados

## Ações Corretivas
- [ ] Ação 1 (responsável, prazo)
- [ ] Ação 2 (responsável, prazo)
...

Assunto: [SEVERIDADE] Incidente de Segurança - CSuite

Prezados,

Informamos que foi detectado um incidente de segurança no CSuite.

**Resumo:**
[Breve descrição]

**Impacto:**
[Serviços/dados afetados]

**Status:**
[Contido/Em investigação/Resolvido]

**Ações Tomadas:**
[Lista de ações]

**Próximos Passos:**
[O que será feito]

Mais informações serão compartilhadas conforme a investigação progride.

Equipe de Segurança CSuite