Emulando Ataques na Nuvem com Stratus Red Team

Aviso Legal: Esta habilidade é apenas para fins de testes de segurança autorizados e validação de detecção. O Stratus Red Team inicia e modifica a infraestrutura real da nuvem na conta cujas credenciais você fornece. Execute-o apenas em contas que você possui ou está explicitamente autorizado a testar. Sempre cleanup depois para evitar recursos órfãos, faturáveis ou inseguros. O uso não autorizado contra sistemas que você não controla é ilegal.

Visão Geral

O Stratus Red Team é um "Atomic Red Team para a nuvem" de código aberto, mantido pela Datadog. É um binário Go autônomo que detona programaticamente técnicas ofensivas granulares e bem documentadas contra AWS, Azure, GCP e Kubernetes, permitindo que você reverta e remova de forma limpa tudo o que ele criou. Diferente de um framework de exploração completo, o Stratus é construído especificamente para engenharia de detecção e purple teaming: cada técnica é mapeada para uma tática do MITRE ATT&CK e vem com uma descrição precisa das chamadas de API da nuvem que gera, para que uma equipe azul possa confirmar se suas detecções CloudTrail/GuardDuty/Sentinel/Falco realmente são acionadas.

Cada técnica tem um ciclo de vida determinístico. O Stratus primeiro provisiona qualquer infraestrutura pré-requisita com Terraform embarcado (a fase de aquecimento), depois executa as ações maliciosas (detona), opcionalmente reverte os efeitos colaterais para que você possa detonar novamente, e finalmente limpa a infraestrutura pré-requisita. Como os pré-requisitos e o ataque são desacoplados, você pode iterar em uma detecção detonando a mesma técnica repetidamente sem reprovisionar. A ferramenta usa sua cadeia de credenciais padrão do SDK da nuvem (perfis AWS/variáveis de ambiente, az login, ADC do GCP, kubeconfig), operando com as mesmas permissões da identidade com a qual você se autentica.

Esta habilidade abrange a instalação do Stratus, a listagem e filtragem do catálogo de técnicas, a execução do ciclo completo de aquecimento-detonação-reversão-limpeza, o mapeamento das detonações para a telemetria que elas produzem e a integração dos resultados em um fluxo de trabalho de validação de detecção. Fonte: github.com/DataDog/stratus-red-team e documentação oficial stratus-red-team.cloud.

Quando Usar

• Validar se uma regra de detecção de nuvem nova ou existente (CloudTrail, GuardDuty, Microsoft Sentinel, GCP SCC, Falco) é realmente acionada por atividade real de um atacante.
• Construir um exercício de purple team repetível para TTPs na nuvem sem escrever scripts de ataque personalizados.
• Gerar telemetria realista mapeada para o MITRE para testar a ingestão de SIEM e o roteamento de alertas.
• Medir a cobertura de detecção de um ambiente de nuvem contra um catálogo conhecido de técnicas.
• Onboarding de analistas com simulações de ataque na nuvem seguras e reversíveis.

Pré-requisitos

• Binário Stratus Red Team (Go 1.23+ para compilar do código-fonte, ou Homebrew/Docker):

  # Go install
  go install -v github.com/datadog/stratus-red-team/v2/cmd/stratus@latest
  
  # Homebrew
  brew tap datadog/stratus-red-team https://github.com/DataDog/stratus-red-team
  brew install datadog/stratus-red-team/stratus-red-team
  
  # Docker
  docker run --rm -v $HOME/.stratus-red-team/:/root/.stratus-red-team/ \
    -e AWS_ACCESS_KEY_ID -e AWS_SECRET_ACCESS_KEY -e AWS_SESSION_TOKEN \
    ghcr.io/datadog/stratus-red-team list
  

• Credenciais de nuvem autenticadas para o provedor alvo:

  # AWS — verify identity before detonating
  export AWS_PROFILE=stratus-lab
  aws sts get-caller-identity
  
  # Azure
  az login
  
  # GCP
  gcloud auth application-default login
  
  # Kubernetes
  kubectl config current-context
  

• Uma conta ou assinatura de laboratório dedicada, não de produção (as técnicas criam recursos reais).
• O Terraform está embarcado; nenhuma instalação separada é necessária, mas HTTPS de saída para baixar plugins de provedor na primeira vez que o aquecimento é necessário.

Objetivos

• Instalar o Stratus Red Team e confirmar a identidade da nuvem alvo.
• Enumerar e filtrar técnicas por plataforma e tática do MITRE ATT&CK.
• Executar o ciclo de aquecimento -> detonação -> reversão -> limpeza com segurança.
• Mapear cada detonação para as chamadas de API da nuvem e fontes de log que ela gera.
• Validar regras de detecção contra a telemetria produzida e rastrear a cobertura.
• Garantir que nenhuma infraestrutura residual permaneça após os testes.

Mapeamento MITRE ATT&CK

…