Início › Segurança ofensiva › red team

Red team: simulação de adversário com foco em detecção, não em lista de falhas

Red team é uma operação ofensiva de longo prazo que simula um adversário com perfil definido para testar se a organização detecta, contém e responde ao ataque.

O objetivo é diferente do pentest

Um pentest procura o maior número possível de falhas em um escopo. Um red team procura uma coisa específica: atingir um objetivo crítico combinado com o cliente, como acesso a um sistema financeiro ou a um conjunto de dados sensíveis, sem ser detectado.

Por isso o red team mede sucesso de forma diferente. Número de vulnerabilidades encontradas é métrica secundária. As métricas centrais são tempo até a primeira detecção, tempo até a contenção, cobertura de telemetria e qualidade da resposta do time azul.

• Objetivo crítico acordado antes da operação
• Perfil de adversário definido, com táticas e técnicas
• Regras de engajamento e alvos proibidos por escrito
• Métricas de detecção e resposta registradas em linha do tempo

As fases de uma operação

A operação começa com reconhecimento, quase sempre passivo, para levantar domínios, pessoas, tecnologia e exposição pública. Em seguida vem acesso inicial, que pode usar phishing autorizado, exploração de serviço exposto ou credencial vazada simulada. Depois, movimento lateral e escalada de privilégio até o objetivo.

A fase que mais ensina não é a de ataque: é a de debriefing. Comparar a linha do tempo do ataque com a linha do tempo de detecção do time azul revela exatamente onde a telemetria falhou, quais alertas existiam e por que não geraram ação.

Purple team como extensão natural

Muitas organizações migraram para formato colaborativo, em que ataque e defesa trabalham juntos durante o exercício. O time ofensivo executa uma técnica, o time defensivo verifica se detectou, e ambos ajustam regra de detecção na hora.

O resultado é mais rápido que o modelo separado, mas exige maturidade: sem ambiente de teste controlado e sem registro disciplinado, a colaboração vira ruído.

O que é preciso para operar

Red team exige base sólida de infraestrutura, Active Directory, redes e desenvolvimento, além de experiência prévia em pentest. A parte de infraestrutura ofensiva, com servidores de comando e controle próprios, proxies de redirecionamento e automação de campanha, costuma ser o divisor de águas entre curioso e operador.

Infraestrutura ofensiva e cuidado operacional

Uma campanha séria exige infraestrutura própria e separada do ambiente do cliente: servidores de comando e controle, domínios de fachada, redirecionadores e registro de cada artefato usado. Tudo precisa ser documentado, porque ao final o cliente deve receber a lista completa do que foi criado e onde.

Esse cuidado é operacional e jurídico ao mesmo tempo. Artefato esquecido em ambiente de produção vira backdoor permanente, e infraestrutura sem controle de acesso pode ser reaproveitada por terceiros.

• Ambiente dedicado e isolado por operação
• Registro de artefato com hash e finalidade
• Remoção combinada ao fim do exercício
• Comunicação cifrada e canal de emergência ativo

Como o relatório de red team difere

O relatório não é lista de falha: é narrativa de ataque com linha do tempo, decisões tomadas, obstáculos encontrados e comparação com a detecção do time azul. O documento mostra onde o adversário teria sido visto e onde passou despercebido.

A recomendação final costuma ser menor em quantidade e maior em impacto: ajustar telemetria, criar regra de detecção, reduzir caminho de escalada e treinar resposta para o cenário observado.

Um ponto de atenção prática: a operação precisa de janela de comunicação com quem tem poder de parada. Se o cliente descobre o exercício por alerta de fornecedor e ninguém sabe responder, o exercício vira crise real. Definir quem responde, por qual canal e com qual mensagem é parte do trabalho de planejamento, não burocracia.

Perguntas frequentes

Continue estudando

• Blue team — blue team
• White team — white team
• Pentest — pentest