Planejamento de Engajamento de Red Team

Visão Geral

O planejamento de engajamento de red team é a fase fundamental que define o escopo, os objetivos, as regras de engajamento (ROE), a seleção do modelo de ameaças e os cronogramas operacionais antes que qualquer teste ofensivo comece. Um plano de engajamento bem estruturado garante que a red team simule o comportamento realista do adversário, mantendo salvaguardas de segurança que evitam interrupções comerciais não intencionais.

Quando Usar

• Ao realizar avaliações de segurança que envolvem a execução do planejamento de engajamento de red team
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de red teaming
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Objetivos

• Definir o escopo claro do engajamento, incluindo ativos, redes e pessoal dentro e fora do escopo
• Estabelecer Regras de Engajamento (ROE) com procedimentos de parada de emergência, canais de comunicação e limites legais
• Selecionar perfis de ameaças apropriados do framework MITRE ATT&CK alinhados ao cenário de ameaças da organização
• Criar um plano de ataque detalhado mapeando TTPs do adversário para os objetivos do engajamento
• Desenvolver procedimentos de desconfusão com o SOC/blue team da organização
• Produzir um resumo abrangente do engajamento para aprovação das partes interessadas

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Conceitos Principais

Tipos de Engajamento

Componentes das Regras de Engajamento

1. Definição de Escopo: Faixas de IP, domínios, locais físicos, pessoal
2. Restrições: Sistemas/redes que não devem ser tocados (por exemplo, bancos de dados de produção, dispositivos médicos)
3. Plano de Comunicação: Canais de contato primários e secundários, procedimentos de escalonamento
4. Procedimentos de Emergência: Palavra-código para cessação imediata, coordenação de resposta a incidentes
5. Autorização Legal: Cartas de autorização assinadas, cartas de "saída da cadeia" para testes físicos
6. Manuseio de Dados: Como os dados confidenciais descobertos durante os testes serão manuseados e destruídos
7. Cronograma: Datas de início/fim, janelas de blackout, prazos de relatório

Seleção de Perfil de Ameaças

Mapeie as ameaças organizacionais usando o MITRE ATT&CK Navigator para selecionar perfis de adversários relevantes:

• APT29 (Cozy Bear): Setor governamental/defesa visando via spearphishing, cadeia de suprimentos
• APT28 (Fancy Bear): Organizações governamentais, coleta de credenciais, zero-days
• FIN7: Setor financeiro, malware POS, engenharia social
• Lazarus Group: Instituições financeiras, exchanges de criptomoedas, malware destrutivo
• Conti/Royal: Operadores de ransomware, dupla extorsão, modelo RaaS

Fluxo de Trabalho

Fase 1: Pré-Engajamento

1. Realizar reunião inicial de escopo com as partes interessadas
2. Identificar joias da coroa e ativos críticos de negócios
3. Revisar avaliações de segurança anteriores e achados de auditoria
4. Definir critérios de sucesso e objetivos do engajamento
5. Elaborar o documento de Regras de Engajamento

Fase 2: Modelagem de Ameaças

1. Identificar atores de ameaças relevantes usando MITRE ATT&CK
2. Mapear TTPs de atores de ameaças para a superfície de ataque organizacional
3. Selecionar cenários de ataque primários e secundários
4. Definir plano de emulação de adversário com IDs de técnica específicos
5. Estabelecer pontos de verificação de detecção para oportunidades de purple team

Fase 3: Planejamento Operacional

1. Configurar canais de comunicação seguros (e-mail criptografado, Signal, etc.)
2. Criar diretrizes de segurança operacional (OPSEC) para a red team
3. Estabelecer requisitos de infraestrutura (servidores C2, redirecionadores, domínios de phishing)
4. Desenvolver cronograma de ataque em fases com pontos de decisão go/no-go
5. Criar matriz de desconfusão com a equipe SOC/IR

…