Red Team

Red Team

Skill de planejamento de engajamento de red team e análise de caminho de ataque para simulações de segurança ofensiva autorizadas. Isto NÃO é varredura de vulnerabilidades (veja security-pen-testing) ou resposta a incidentes (veja incidente-response) — trata-se de simulação adversária estruturada para testar detecção, resposta e eficácia dos controles.

Sumário

• Visão Geral
• Ferramenta de Planejamento de Engajamento
• Metodologia de Fases da Kill-Chain
• Pontuação e Priorização de Técnicas
• Análise de Pontos Críticos
• Avaliação de Risco OPSEC
• Identificação de Alvos de Alto Valor
• Metodologia de Caminho de Ataque
• Fluxos de Trabalho
• Anti-Padrões
• Referências Cruzadas

Visão Geral

O que esta Skill Faz

Esta skill fornece a metodologia e as ferramentas para planejamento de engajamento de red team — construção de planos de ataque estruturados a partir da seleção de técnicas MITRE ATT&CK, nível de acesso e alvos de alto valor. Ela pontua técnicas por esforço e risco de detecção, monta fases de kill-chain, identifica pontos críticos e sinaliza riscos OPSEC.

Distinção de Outras Skills de Segurança

Requisito de Autorização

Todas as atividades de red team descritas aqui exigem autorização por escrito. Isso inclui um documento de Regras de Engajamento (RoE) assinado, escopo definido e aprovação executiva explícita. A ferramenta engagement_planner.py não gerará saída sem o flag --authorized. O uso não autorizado dessas técnicas é ilegal sob o CFAA, Computer Misuse Act e legislações equivalentes em todo o mundo.

Ferramenta de Planejamento de Engajamento

A ferramenta engagement_planner.py constrói um plano de ataque pontuado e ordenado por kill-chain a partir da seleção de técnicas, nível de acesso e alvos de alto valor.

# Plano básico — acesso externo, técnicas específicas
python3 scripts/engagement_planner.py \
  --techniques T1059,T1078,T1003 \
  --access-level external \
  --authorized --json

# Acesso à rede interna com identificação de alvos de alto valor
python3 scripts/engagement_planner.py \
  --techniques T1059,T1078,T1021,T1550,T1003 \
  --access-level internal \
  --crown-jewels "Database,Active Directory,Payment Systems" \
  --authorized --json

# Cenário com credenciais (assumed breach) em escala
python3 scripts/engagement_planner.py \
  --techniques T1059,T1078,T1021,T1550,T1003,T1486,T1048 \
  --access-level credentialed \
  --crown-jewels "Domain Controller,S3 Data Lake" \
  --target-count 50 \
  --authorized --json

# Listar todas as 29 técnicas MITRE ATT&CK suportadas
python3 scripts/engagement_planner.py --list-techniques

Definições de Nível de Acesso

Códigos de Saída

Metodologia de Fases da Kill-Chain

O planejador de engajamento organiza técnicas em oito fases da kill-chain e ordena o plano de execução conforme.

Ordem das Fases da Kill-Chain

Princípios de Execução por Fase

Cada fase deve ser concluída antes de avançar para a próxima, a menos que o escopo do engajamento especifique assumed breach (pular para uma fase posterior). Não pule a persistência antes de tentar movimento lateral — a persistência garante continuidade operacional caso um único ponto de apoio seja detectado e removido.

Pontuação e Priorização de Técnicas

As técnicas são pontuadas por esforço (dificuldade de executar sem detecção) e priorizadas no plano de engajamento.

Fórmula de Pontuação de Esforço

effort_score = detection_risk × (len(prerequisites) + 1)

Menor pontuação de esforço = mais fácil executar sem acionar detecção.

Referência de Pontuação de Técnicas

Análise de Pontos Críticos

Pontos críticos são técnicas exigidas por múltiplos caminhos até os ativos de alto valor. Detectar uma técnica de ponto crítico detecta todos os caminhos de ataque que passam por ela.

Identificação de Pontos Críticos

O planejador de engajamento identifica pontos críticos encontrando técnicas nas táticas credential_access e privilege_escalation que servem como pré-requisitos para múltiplas técnicas subsequentes visando alvos de alto valor.

Priorize o desenvolvimento de regras de detecção e a densidade de monitoramento em torno das técnicas de ponto crítico — fortalecer um ponto crítico tem valor defensivo multiplicado.

Pontos Críticos Comuns por Ambiente

Metodologia completa: references/attack-path-methodology.md

Avaliação de Risco OPSEC

Itens de risco OPSEC identificam ações que provavelmente acionarão detecção ou deixarão artefatos persistentes.

Categorias de Risco OPSEC

Checklist OPSEC Antes de Cada Fase

1. A técnica está dentro do escopo conforme o RoE?
2. Ela gerará logs que o blue team monitora ativamente?
3. Existe uma alternativa menos detectável que atinge o mesmo objetivo?
4. Se detectada, revelará toda a operação ou apenas o ponto de apoio atual?
5. Os artefatos de limpeza estão definidos para remoção pós-exercício?

Identificação de Alvos de Alto Valor

Os ativos de alto valor são os alvos de grande valor que definem os critérios de sucesso de um engajamento de red team.

Classificação de Alvos de Alto Valor

A definição do alvo de alto valor é acordada no RoE — o sucesso do engajamento é medido por se o red team alcança os alvos definidos, não pelo número de vulnerabilidades encontradas.

Metodologia de Caminho de Ataque

A análise de caminho de ataque identifica todas as rotas viáveis do nível de acesso inicial até cada alvo de alto valor.

Pontuação de Caminho

Cada caminho é pontuado por:

• Pontuação total de esforço (soma das pontuações de esforço por técnica)
• Contagem de pontos críticos (quantos pontos críticos o caminho atravessa)
• Probabilidade de detecção (produto dos riscos de detecção por técnica)

Menor esforço + menos pontos críticos = caminho de menor resistência para o atacante.

Construção do Grafo de Caminho de Ataque

external
  └─ T1566.001 (spearphishing) → initial_access
       └─ T1059.001 (PowerShell) → execution
            └─ T1003.001 (dump LSASS) → credential_access [PONTO CRÍTICO]
                 └─ T1550.002 (Pass-the-Hash) → lateral_movement
                      └─ T1078.002 (conta de domínio) → privilege_escalation
                           └─ Alvo de Alto Valor: Controlador de Domínio

Para o algoritmo completo de pontuação, ponderação de pontos críticos e matriz esforço-vs-impacto, consulte references/attack-path-methodology.md.

Fluxos de Trabalho

Fluxo de Trabalho 1: Escopo Rápido de Engajamento (30 Minutos)

Para escopar um exercício de red team focado em um alvo específico:

# 1. Gerar lista inicial de técnicas a partir de lacunas de cobertura da kill-chain
python3 scripts/engagement_planner.py --list-techniques

# 2. Construir plano para cenário externo sem acesso
python3 scripts/engagement_planner.py \
  --techniques T1566,T1190,T1059,T1003,T1021 \
  --access-level external \
  --crown-jewels "Database Server" \
  --authorized --json

# 3. Revisar choke_points e opsec_risks na saída
# 4. Apresentar fases da kill-chain aos stakeholders para aprovação do escopo

Decisão: Se choke_points já estão cobertos por regras de detecção, foque nas lacunas. Se não, esses são os alvos de maior valor para o exercício.

Fluxo de Trabalho 2: Engajamento Completo de Red Team (Múltiplas Semanas)

Semana 1 — Planejamento:

1. Definir alvos de alto valor e critérios de sucesso com stakeholders
2. Assinar RoE com escopo definido, cronograma e exclusões fora do escopo
3. Construir plano de engajamento com engagement_planner.py
4. Revisar riscos OPSEC para cada fase

Semana 2 — Execução (Fase Externa):

1. Reconhecimento e perfilagem do alvo
2. Tentativas de acesso inicial (phishing, exploração de serviços expostos)
3. Documentar cada técnica executada com timestamps
4. Registrar todos os eventos de detecção para validar a cobertura do blue team

Semana 3 — Execução (Fase Interna):

1. Estabelecer persistência se o acesso inicial for obtido
2. Executar técnicas de acesso a credenciais (pontos críticos)
3. Movimento lateral em direção aos alvos de alto valor
4. Documentar quando e como os alvos de alto valor foram alcançados

Semana 4 — Relatório:

1. Compilar achados — técnicas executadas, taxas de detecção, alvos alcançados
2. Mapear achados para lacunas de detecção
3. Produzir recomendações de remediação priorizadas por impacto nos pontos críticos
4. Entregar apresentação para a liderança de segurança

Fluxo de Trabalho 3: Tabletop de Assumed Breach

Simular um cenário de credencial comprometida para teste rápido de detecção:

# Assumed breach — posição inicial com acesso credenciado
python3 scripts/engagement_planner.py \
  --techniques T1059,T1078,T1021,T1550,T1003,T1048 \
  --access-level credentialed \
  --crown-jewels "Active Directory,S3 Data Bucket" \
  --target-count 20 \
  --authorized --json | jq '.phases, .choke_points, .opsec_risks'

# Executar em múltiplos níveis de acesso para comparar opções de caminho
for level in external internal credentialed; do
  echo "=== ${level} ==="
  python3 scripts/engagement_planner.py \
    --techniques T1059,T1078,T1003,T1021 \
    --access-level "${level}" \
    --authorized --json | jq '.total_effort_score, .phases | keys'
done

Anti-Padrões

1. Operar sem autorização por escrito — Atividade de red team não autorizada contra qualquer sistema que você não possui ou não tem permissão explícita para testar é crime. O flag --authorized deve refletir um RoE real e assinado, não apenas executar a ferramenta para contornar a verificação. A autorização deve anteceder a execução.
2. Pular a ordem das fases da kill-chain — Ir diretamente para o movimento lateral sem estabelecer persistência significa que uma única detecção elimina todo o ponto de apoio. Siga a ordem das fases da kill-chain — cada fase constrói a base para a próxima.
3. Não definir alvos de alto valor antes de começar — Engajamentos sem critérios de sucesso definidos derivam para caça aberta a vulnerabilidades. Os alvos de alto valor e as condições de sucesso devem ser acordados no RoE antes que a primeira técnica seja executada.
4. Ignorar os riscos OPSEC no plano — Exercícios de red team testam a detecção do blue team. Evitar deliberadamente todas as técnicas detectáveis produz um engajamento irreal que não valida a cobertura de detecção. Use riscos OPSEC para entender a exposição à detecção, não para evitá-la completamente.
5. Não documentar técnicas executadas em tempo real — A documentação retroativa do que foi executado é não confiável. Registre cada técnica, timestamp e resultado conforme acontece. O relatório pós-engajamento deve ser baseado em registros contemporâneos.
6. Não limpar artefatos após o exercício — Mecanismos de persistência, novas contas, configurações modificadas e dados preparados devem ser removidos após a conclusão do engajamento. Deixar artefatos de red team cria riscos de segurança permanentes e pode ser confundido com atividade real de atacante.
7. Tratar o caminho de menor resistência como o único caminho — Atacantes se adaptam. Teste múltiplos caminhos de ataque incluindo rotas de maior esforço que podem evadir a detecção. Validar que o caminho mais fácil é detectado é necessário mas não suficiente.

Referências Cruzadas