mid-engagement-ir-detection

Quando usar esta habilidade

Ativar quando:

• Executando testes ativos contra um alvo com monitoramento SOC ativo
• Uma descoberta confirmada de vulnerabilidade para de se reproduzir na nova verificação
• O tempo de linha de base muda inesperadamente (3× mais lento, erros súbitos, novos cabeçalhos)
• Os tamanhos de resposta mudam entre as janelas de teste
• Novos cookies ou cabeçalhos WAF aparecem que não estavam lá no início da sessão
• As taxas de bloqueio/erro mudam entre as janelas de teste (especialmente a contagem BLOQUEADA para ataques de credenciais)
• O engajamento é "assumir violação" ou "caixa branca" — o cliente sabe que você está testando

NÃO usar para:

• Bug bounty (o cliente não sabe que você está lá; sem IR em tempo real)
• Reconhecimento puro (nenhuma mudança de estado acontecendo)
• Varredura de vulnerabilidade única (sem dimensão temporal)

A percepção central

Em um engajamento de equipe vermelha real contra um SOC competente, o estado de segurança do alvo não é estático. Ele muda durante o seu teste em resposta ao seu tráfego. Essas mudanças de estado são:

1. Em si achados valiosos (observações operacionais positivas sobre a capacidade de resposta do IR)
2. Evidência de confirmação (correção no meio do engajamento = a vulnerabilidade original era real)
3. Sinais de classificação (implantação de regra WAF vs. correção de código — profundidade de remediação diferente)

Anti-padrão: tratar a falha de reprodução como evidência de que o sinal original foi um falso positivo. Artefatos originais de PoC capturados antes da mudança ainda são a descoberta de vulnerabilidade.

A disciplina — capturar antes, comparar depois

Antes de qualquer teste ativo:

# Capture pre-test fingerprint of the target
fingerprint = {
    "ts_pre": time.time(),
    "ip_seen": "<operator-src-ip>",
    "baseline_response_time_ms": <measure>,
    "baseline_response_size_bytes": <measure>,
    "response_headers": <capture set>,
    "waf_cookies": <list>,
    "lockout_count_in_state": <count from o365_attempts.json>,
}

Persistir para engagement_log/fingerprint_pre.json.

Durante o teste:

Registre cada resultado de teste com contexto completo (timestamp, IP, payload, código de resposta, tamanho da resposta, tempo de resposta, cabeçalhos, se relevante) para JSONL append-only.

Após a sessão de teste OU na primeira nova verificação falha:

fingerprint_post = same structure
delta = {
    "baseline_time_change_ms": post.time - pre.time,
    "baseline_size_change_bytes": post.size - pre.size,
    "new_headers_appeared": post.headers - pre.headers,
    "new_waf_cookies": post.cookies - pre.cookies,
    "new_lockouts": post.locked_count - pre.locked_count,
}

Se qualquer delta for significativo — investigue, não retifique.

As três principais observações de IR

Observação 1 — Implantação de regra WAF no meio do engajamento

Sintomas:

• Payloads originais retornam resposta idêntica → nenhum sinal na nova verificação
• Tamanho do corpo idêntico à linha de base (reflexão da página de login)
• Tempo reverte para a linha de base, independentemente do payload
• Novo cookie ou cabeçalho nas respostas (por exemplo, cf-bm, __cf_bm, awselb)
• Palavra-chave específica na URL/corpo agora aciona um código de resposta diferente (403, 406, 429)

Confirmação: tente novamente com variantes de evasão de WAF:

• Codifique a URL do payload de forma diferente (%27 vs %5cu0027)
• Altere o método de requisição (POST → PUT, GET → POST)
• Tipo de conteúdo diferente (form-urlencoded → multipart)
• Ritmo mais lento (5s → 60s entre requisições)
• Palavras-chave em maiúsculas e minúsculas misturadas (SLEEP → SlEeP)

Se as variantes de evasão de WAF restaurarem o sinal, a mitigação está na camada WAF (contornável).

Se mesmo as variantes de evasão de WAF permanecerem bloqueadas, a mitigação provavelmente está no código.

Modelo de descoberta:

Assunto: Mitigação implantada no meio do engajamento para <vulnerabilidade X>
Observação: No timestamp T0 do engajamento, a vulnerabilidade <X> em <endpoint> foi
confirmada via <PoC>. Em T0+<minutos>, a nova verificação via payload original não
reproduz mais a diferença de tempo/erro/tamanho. <Variante de evasão de WAF> [restaura/não
restaura] o sinal.

Descrição: Este padrão é consistente com o SOC do cliente observando o tráfego do engajamento
e implantando uma mitigação em tempo real. Avaliação da profundidade da mitigação:
[na-WAF, contornável] vs [no-código, durável].

Impacto (positivo): O SOC do cliente tem visibilidade de nível de detecção no tráfego da aplicação
E a autoridade para implantar mitigações em aproximadamente <minutos> após a detecção.

Impacto (ressalva): A vulnerabilidade original existiu e foi explorável por pelo
menos a janela de engajamento antes da mitigação. Se a mitigação for apenas na camada WAF,
a falha subjacente no nível do código permanece explorável por meio de payloads alternativos.

Recomendação:

…