Simulação adversarial completa. Com objetivo de negócio.
Simulação adversária de ponta a ponta, com objetivo definido e sem aviso ao time de defesa. Aqui a pergunta não é se existe vulnerabilidade: é se a sua organização percebe, contém e responde quando alguém já está dentro.
Red Team mede detecção, não lista de falhas
Um pentest responde o que é explorável. Um exercício de Red Team responde o que acontece depois — quanto tempo passa até alguém perceber, se o alerta chega a uma pessoa, se essa pessoa sabe o que fazer e se a contenção funciona sob pressão. É um teste da organização inteira, e não só da tecnologia: processo, plantão e decisão entram no escopo junto com o ambiente.
- O objetivo é um alvo de negócio concreto, definido com você — não uma lista de achados técnicos.
- O time de defesa não é avisado, porque a reação natural é justamente o que está sendo medido.
- Ao final, cada ação executada é confrontada com o que a detecção registrou.
- O resultado aponta lacuna de visibilidade e de processo, que correção de vulnerabilidade sozinha não resolve.
O que está incluído
Escopo abaixo é o padrão para um engajamento típico. Tudo é ajustável durante a call de scoping, sem custo.
- Phishing dirigido a perfis selecionados
- Reconhecimento OSINT sobre pessoas-chave
- Pretexting por telefone e canais de mensagem
- Superfície exposta na borda
- Credencial vazada e reaproveitamento de senha
- Acesso remoto e portais de terceiros
- USB drop controlado e mídia entregue fisicamente
- Escalada de privilégio local e de domínio
- Coleta de credencial em memória e em disco
- Abuso de relação de confiança entre sistemas
- Movimentação lateral entre segmentos de rede
- Acesso a repositório, pipeline e segredo
- Persistência discreta e recuperação de acesso
- Alcance de base de dados definida como alvo
- Acesso a sistema financeiro ou de pagamento
- Exfiltração simulada de conjunto sensível
- Controle de console de administração
- Alcance de ambiente produtivo crítico
- Comprovação de impacto sem causar dano
- Tempo até a primeira detecção
- Qualidade e destino do alerta gerado
- Escalonamento e acionamento do plantão
- Eficácia da contenção aplicada
- Comunicação interna durante o incidente
- Registro e trilha disponível para investigação
- Evasão de EDR e antivírus dentro das regras acordadas
- Comando e controle com persistência controlada
- Escalada em Active Directory e abuso de delegação
- Kerberoasting e extração de credenciais em memória
- Pivô entre rede local e ambiente em nuvem
- Limpeza e devolução do ambiente ao estado anterior
Modalidades
ajustáveis ao escopoRed Team completo
Exercício sem aviso, com objetivo definido e liberdade de caminho dentro das regras. Mede a operação de defesa em condição realista, incluindo o que acontece fora do horário comercial.
Purple Team
Ataque e defesa na mesma sala, executando técnica por técnica e verificando na hora o que aparece no monitoramento. Rende menos surpresa e mais ajuste fino de regra e cobertura.
Simulação assumida
Parte-se de um acesso já concedido, como se um comprometimento inicial tivesse ocorrido. Encurta a fase de entrada e concentra o esforço em movimentação lateral, detecção e contenção.
Quando um exercício adversário faz sentido
Red Team pressupõe uma base já existente. Sem monitoramento e sem plano de resposta, o exercício mede um vazio — e nesse caso um pentest devolve mais valor pelo mesmo esforço.
Ferramenta contratada, regras ligadas, painéis montados — e nenhuma evidência de que um ataque real geraria alerta acionável. O exercício transforma suposição em medida.
Documento aprovado, fluxo desenhado, plantão definido no papel. Só um exercício sem aviso mostra se o acionamento acontece de fato, e quanto tempo leva.
Vários ciclos de pentest fechados e a pergunta seguinte é outra: com as falhas conhecidas corrigidas, alguém ainda chega ao alvo por um caminho que ninguém previu?
Certos setores e contratos pedem evidência de capacidade de detecção e resposta, não apenas de ausência de vulnerabilidade. É o que este exercício produz.
Como conduzimos
[pipeline]Definição do alvo e das regras
Combinamos com um grupo restrito qual é o objetivo concreto, o que está proibido, quais sistemas ficam intocados e como o exercício é interrompido se algo escapar do previsto. Fica registrado quem sabe do exercício — normalmente poucas pessoas — para que o restante da organização reaja de forma genuína.
Coleta sobre a organização
Levantamos o que está disponível publicamente: pessoas, funções, fornecedores, tecnologias, endereços, vazamentos anteriores e pegada digital. É o mesmo material que um adversário reuniria antes de escolher o caminho de entrada, e ele frequentemente já denuncia o ponto mais fraco.
Obtenção do acesso inicial
Executamos o caminho escolhido — pretexto, superfície exposta, credencial reaproveitada ou terceiro. Cada tentativa é registrada com horário, para que depois seja possível cruzar com o que a defesa viu, inclusive as tentativas que falharam.
Movimentação e escalada
A partir do primeiro ponto, avançamos em direção ao objetivo: elevar privilégio, coletar credencial, atravessar segmento e alcançar sistema. Trabalhamos com preocupação de discrição, porque ser barulhento demais responderia à pergunta errada.
Alcance do alvo e evidência
Chegando ao alvo, a demonstração é feita sem causar dano: evidência de acesso, sem exfiltração real de dado sensível e sem alteração destrutiva. O que importa é comprovar que o caminho existe e registrar como ele foi percorrido.
Reconstrução conjunta
A entrega mais valiosa é a reunião final: a linha do tempo do ataque colocada lado a lado com a linha do tempo da defesa. Onde havia alerta e ninguém viu, onde não havia registro nenhum, onde a contenção funcionou. Sai dali uma lista de ajustes de detecção com prioridade.
Referências públicas que guiam a execução
O exercício segue estruturas reconhecidas de simulação adversária, o que torna o resultado comparável ao longo do tempo e legível para reguladores e auditores.
- MITRE ATT&CK
- Cada técnica executada recebe o identificador correspondente, o que permite montar a matriz de cobertura da sua detecção e acompanhar a evolução entre exercícios.
- TIBER-EU
- O arcabouço europeu para testes guiados por inteligência de ameaça define papéis, fases e cuidados de um exercício adversário em ambiente produtivo, e é a referência do setor financeiro na Europa.
- CBEST e afins
- Programas nacionais de teste conduzido por inteligência seguem lógica semelhante: alvo definido com base em ameaça real, execução controlada e reconstrução conjunta ao final.
- NIST SP 800-53 / CSF
- Os controles de detecção e resposta dão o vocabulário para descrever a lacuna encontrada em termos que a área de governança já usa.
- Cyber Kill Chain
- O modelo de fases do ataque ajuda a mostrar em que ponto da cadeia a organização conseguiu — ou não — interromper o avanço.
- Regras de engajamento
- Documento assinado antes do início, com escopo, proibições, janelas, contatos de emergência e critério de encerramento. É o que separa um exercício autorizado de um incidente real.
Entregáveis
dupla visão · NDANarrativa do ataque
A história completa, em ordem cronológica, do primeiro contato ao objetivo. É o documento que a diretoria lê inteiro, porque descreve decisões e consequências em vez de identificadores técnicos.
Linha do tempo comparada
Cada ação executada, com horário, ao lado do que a defesa registrou, alertou ou ignorou. É a peça central do exercício e a que costuma gerar as mudanças mais rápidas.
Matriz de cobertura de detecção
As técnicas empregadas mapeadas por identificador, indicando o que foi detectado, o que gerou registro sem alerta e o que passou sem deixar rastro algum.
Avaliação da resposta
Como o acionamento aconteceu na prática: quem foi chamado, em quanto tempo, que decisão foi tomada e o que a contenção efetivamente interrompeu.
Recomendações de detecção
Ajustes concretos de regra, fonte de registro faltante e cobertura a acrescentar, priorizados pelo que teria interrompido o caminho percorrido mais cedo.
Sessão de reconstrução
Reunião com o time de defesa percorrendo o exercício passo a passo, com espaço para perguntas. Vale mais como transferência de conhecimento do que qualquer capítulo do relatório.
Perguntas frequentes
O pentest procura amplitude: cobrir a superfície e encontrar o máximo de falhas exploráveis no escopo. O Red Team procura profundidade em direção a um objetivo, e mede a reação da organização. Um responde o que está vulnerável; o outro responde o que acontece quando alguém explora.
Não, e é justamente esse o ponto. Um grupo restrito — normalmente a liderança de segurança e a jurídica — sabe do exercício e guarda a autorização assinada, para interromper tudo caso a resposta escale para acionamento externo. O restante do time reage sem saber, que é a única forma de medir a reação real.
As regras de engajamento definem ações proibidas, sistemas intocáveis e um critério de encerramento imediato. Existe contato de emergência dos dois lados durante toda a execução, e a autorização assinada é apresentada assim que necessário para encerrar um acionamento que tenha escalado.
Se ainda não há monitoramento com alerta acionável, nem plano de resposta em uso, o exercício vai medir uma ausência já conhecida. Nesse caso um pentest e um trabalho de detecção rendem mais. Red Team faz sentido quando existe defesa a ser testada.
Quando o escopo inclui engenharia social, sim, com cuidado explícito: nenhum resultado é individualizado para fins disciplinares e nada é comunicado em formato que exponha uma pessoa. O que interessa é a eficácia do controle e do processo, não a lista de quem clicou.
Bem mais que um pentest, porque discrição exige ritmo lento e porque o alvo é alcançado por um caminho, não por uma varredura. A duração é definida junto com o objetivo, e a fase de reconstrução final costuma render tanto quanto a execução.
Sim, e é onde o formato mostra valor. Com as técnicas registradas por identificador, um exercício seguinte mostra o que passou a ser detectado, o que continua invisível e se o tempo de reação diminuiu — evolução medida, não impressão.
Pronto para descobrir suas falhas?
Primeira call de scoping é gratuita e coberta por NDA. Em 48 horas você recebe proposta técnica, escopo e cronograma. Sem formulários burocráticos.