Executando Exercício de Red Team

Quando Usar

• Avaliar a capacidade de uma organização de detectar, responder e conter uma operação realista de um adversário.
• Testar a eficácia do centro de operações de segurança (SOC), da equipe de resposta a incidentes e das capacidades de caça a ameaças.
• Validar investimentos em segurança simulando ataques que encadeiam múltiplas vulnerabilidades e técnicas.
• Avaliar a postura de segurança da organização contra atores de ameaças específicos (estado-nação, grupos de ransomware, ameaças internas).
• Atender a requisitos regulatórios para simulação de adversários (TIBER-EU, CBEST, AASE, iCAST).

Não use sem autorização do nível executivo e um documento detalhado de Regras de Engajamento, contra sistemas onde a interrupção possa afetar a segurança ou operações críticas, ou como substituto para gerenciamento básico de vulnerabilidades (corrija vulnerabilidades conhecidas primeiro).

Pré-requisitos

• Autorização escrita do nível executivo com objetivos, escopo e sistemas proibidos claramente definidos.
• Infraestrutura de comando e controle (C2) da red team: canais C2 primários e de backup com fronting de domínio ou redirecionadores.
• Estações de trabalho de operadores com conjuntos de ferramentas com OPSEC fortalecido (Cobalt Strike, Sliver, Brute Ratel ou Mythic).
• Inteligência de ameaças sobre grupos de adversários relevantes para a organização alvo para planejamento de emulação de adversários.
• Agente confiável (white cell) dentro da organização alvo que gerencia os limites do exercício sem alertar os defensores.
• Matriz MITRE ATT&CK para mapeamento de técnicas planejadas e executadas.

Aviso Legal: Esta habilidade destina-se apenas a testes de segurança autorizados e fins educacionais. O uso não autorizado contra sistemas que você não possui ou tem permissão escrita para testar é ilegal e pode violar leis de fraude de computador.

Fluxo de Trabalho

Etapa 1: Planejamento de Emulação de Adversários

Desenvolva o plano de operação com base em um modelo de ameaça realista:

• Seleção de ator de ameaça: Selecione um grupo de adversários relevante para o setor da organização. Para serviços financeiros, emule FIN7 ou Lazarus Group. Para saúde, emule APT41 ou FIN12. Mapeie os TTPs conhecidos do adversário selecionado da MITRE ATT&CK.
• Definição de objetivos: Defina objetivos mensuráveis como "Acessar dados financeiros de clientes do sistema bancário central" ou "Demonstrar capacidade de implantar ransomware em todo o domínio".
• Desenvolvimento do plano de ataque: Crie um plano de operação passo a passo mapeando cada fase para táticas ATT&CK:
  1. Acesso Inicial (TA0001): Phishing, exploração de aplicativos voltados para o público ou comprometimento da cadeia de suprimentos.
  2. Execução (TA0002): PowerShell, scripting, exploração para execução de cliente.
  3. Persistência (TA0003): Tarefas agendadas, modificações de registro, implantação de implantes.
  4. Escalação de Privilégios (TA0004): Impersonação de token, exploração para escalação de privilégios.
  5. Evasão de Defesa (TA0005): Injeção de processo, timestomping, remoção de indicadores.
  6. Acesso a Credenciais (TA0006): Dump de LSASS, Kerberoasting, credential stuffing.
  7. Movimentação Lateral (TA0008): Serviços remotos, pass-the-hash, desktop remoto.
  8. Coleta/Exfiltração (TA0009/TA0010): Preparação de dados, exfiltração via C2.
• Plano de desconfusão: Estabeleça procedimentos para a white cell distinguir a atividade da red team de ameaças reais.

Etapa 2: Preparação da Infraestrutura

Construa infraestrutura de ataque com OPSEC fortalecido:

• Infraestrutura C2: Implante o servidor C2 primário atrás de redirecionadores que filtram o tráfego de investigação da Blue Team. Use fronting de domínio ou serviços de nuvem legítimos (Azure CDN, CloudFront) para misturar o tráfego C2 com o tráfego web normal.
• Infraestrutura de phishing: Registre domínios antigos (mais de 30 dias), configure SPF/DKIM/DMARC e crie páginas de coleta de credenciais ou entrega de payloads.
• Desenvolvimento de payloads: Crie implantes personalizados ou configure payloads de framework C2 com:
  • Bypass de AMSI para execução de PowerShell.
  • Patching de ETW para evadir telemetria de produtos de segurança.
  • Mascaramento de sleep e criptografia de memória para derrotar a varredura de memória.
  • Execução de proxy de binário assinado (rundll32, msbuild, regsvr32) para evasão de defesa.
• Infraestrutura de staging: Configure hospedagem de arquivos para payloads de segundo estágio, servidores de drop de exfiltração e canais de comunicação de backup.
• Verificação de OPSEC: Teste toda a infraestrutura contra os mesmos produtos EDR/AV implantados no ambiente alvo antes de entrar em produção.

Etapa 3: Acesso Inicial

Obtenha o ponto de entrada inicial no ambiente alvo:

…