Quase todos os planos de resposta a incidentes começam a contar o tempo no alerta.
O invasor começou antes. Pela mediana global do M-Trends 2026, da Mandiant, são 14 dias de permanência dentro do ambiente.
Isso muda a pergunta que pesa. Em vez de “em quanto tempo detetamos?”, a investigação vai perguntar: o que ainda temos guardado de há duas semanas?
O que os 14 dias dizem, e o que não dizem
O M-Trends 2026 baseia-se nas investigações que a Mandiant conduziu em 2025. A mediana global de permanência subiu para 14 dias, contra 11 dias no período anterior.
Mediana quer dizer que metade dos casos ultrapassou esse prazo. Nos incidentes de ciberespionagem e de trabalhadores de TI norte-coreanos, a mediana foi de 122 dias.
No mesmo relatório, em 52% das investigações de 2025 foi a própria empresa a perceber primeiro a atividade maliciosa, contra 43% em 2024. Fonte: Google Cloud / Mandiant, M-Trends 2026.
Duas ressalvas. O dado é global e vem de casos atendidos pela Mandiant, não de um retrato de um parque em particular. Serve como referência, não como previsão para a sua rede.
Pense no que cabe em 14 dias: dois fins de semana, talvez um feriado, várias mudanças de turno. É tempo suficiente para o invasor mapear a rede, encontrar uma conta com mais privilégios e voltar sem pressa.
Também é tempo suficiente para o registo mais antigo ser sobrescrito. O primeiro acesso, precisamente o registo que explica a entrada, é o primeiro a sair do disco.
A retenção é uma decisão que quase ninguém tomou
O prazo de conservação costuma ser o predefinido de cada ferramenta, definido na instalação e nunca mais revisto.
Cada fonte tem o seu: o registo do sistema, a consola de segurança, o proxy, a base de inventário. Ninguém acordou um prazo comum entre elas.
Quando o incidente aparece, a linha temporal só vai até onde chega a fonte com o prazo mais curto. O resto passa a ser suposição.
O alerta marca o dia em que alguém reparou. A investigação precisa do dia em que tudo começou.
O teste é simples: escolha um posto de trabalho e tente dizer o que correu nele há 21 dias. Se a resposta depender de “vamos ver se ainda existe”, já tem o seu prazo real.
Faça o levantamento numa folha de cálculo simples, com uma linha por fonte: o que regista, durante quanto tempo guarda, onde guarda e quem consegue apagar. Numa tarde, a lacuna entre as fontes aparece.
O que importa é o prazo mais curto da cadeia, não o mais longo. Uma fonte com um ano de histórico não compensa outra que guarda três dias, se é a segunda que mostra o que correu no posto de trabalho.
É o mesmo problema de um ransomware em que o resgate não explica o que se passou na máquina: sem registo do posto de trabalho, a causa fica em aberto.
Guardar durante mais tempo também tem custo e tem regras
A evidência do posto de trabalho inclui dados pessoais: navegação, ficheiros, conversas. O RGPD, no art. 5.º, n.º 1, alínea c), exige que os dados se limitem ao necessário para a finalidade. Guardar tudo, para sempre, não é a resposta.
A saída é decidir por escrito: durante quanto tempo se guarda cada tipo de registo, porquê, e quem o pode abrir. A decisão é da TI, do jurídico e do encarregado de proteção de dados (EPD/DPO), em conjunto.
Na banca, na indústria, na saúde e na administração pública, o servidor onde a evidência fica passa a ser ele próprio um ativo sensível. E, havendo dados pessoais, a notificação à CNPD tem prazo de 72 horas, o que exige evidência já organizada.
Três perguntas para fazer ainda esta semana
- Qual é o prazo real de cada fonte de evidência dos postos de trabalho, e quem o definiu?
- Esse prazo cobre 14 dias com folga? E um caso longo, de meses?
- Se a conta de um posto de trabalho for comprometida, o registo desse posto continua íntegro?
Quem responde às três com um número e um nome tem uma política. Quem responde “depende” tem a configuração de fábrica.
Há aqui uma tensão. Cobrir 122 dias de tudo, em todos os postos de trabalho, é caro e provavelmente desproporcionado face à finalidade.
Uma saída é trabalhar por camadas: um registo leve guardado durante mais tempo e uma recolha detalhada, ativada por política e por caso, quando há motivo para investigar. O prazo de cada camada é escrito e revisto.
Como o Tz0 Forensics trata a evidência
O Tz0 Forensics é o módulo de investigação digital do Trauma Zer0, com recolha de evidência no próprio posto de trabalho. Um rastreio instalável regista alterações de ficheiros, navegação, utilização de recursos e conversas em aplicações de mensagens.
Também reconstrói ficheiros apagados e identifica quem criou, alterou ou removeu pastas. A investigação é feita no navegador, com pesquisa por termo e linha temporal das sessões.
A evidência fica guardada no servidor da empresa e é preservada até à exportação, que serve um processo judicial ou um apuramento interno. O fluxo é autorizar, recolher, preservar, analisar e exportar, com a recolha definida por política e por caso.
A página do módulo pede uma regra de utilização escrita antes de o ativar. Não indica um prazo de retenção: esse prazo é decisão da sua política, e convém confirmar com a equipa do Trauma Zer0 como é configurado. O módulo também não substitui o encarregado de proteção de dados nem o jurídico.
Como a evidência fica no servidor da empresa, o espaço em disco e a política de conservação são da própria empresa. É uma vantagem para quem tem de decidir o prazo, e também uma responsabilidade: quem dimensiona o servidor dimensiona a janela de investigação.
O que conseguiria provar sobre uma intrusão de há duas semanas?
Se alguém entrou na sua rede há duas semanas, o que consegue mostrar hoje? Responda com um resultado que consiga produzir, não com uma impressão.
Se quiser ver como isto fica num parque como o seu, peça uma avaliação do Trauma Zer0.