Realizando Testes Atômicos de Purple Team

Quando Usar

• Validando a cobertura de detecção contra técnicas específicas do MITRE ATT&CK
• Executando exercícios de purple team usando a biblioteca de testes Atomic Red Team
• Realizando análise de lacunas de cobertura ATT&CK para identificar pontos cegos em SIEM/EDR
• Construindo um loop de validação de detecção: executar teste atômico, verificar SIEM, ajustar regra, retestar
• Gerando camadas de heatmap do ATT&CK Navigator para relatórios executivos
• Automatizando testes atômicos contínuos em pipelines CI/CD ou agendados
• Mapeando relatórios de inteligência de ameaças para testes atômicos executáveis

Não use para engajamentos de red team de escopo total que exijam implantes personalizados ou simulação de adversário em tempo real além dos testes atômicos; use Caldera, SCYTHE ou Cobalt Strike para emulação avançada de adversários.

AVISO LEGAL: Os testes do Atomic Red Team executam técnicas de ataque reais. Execute apenas em sistemas que você possui ou tem autorização escrita explícita para testar. Muitos testes modificam o estado do sistema, criam artefatos ou disparam alertas de segurança. Sempre execute comandos de limpeza após os testes. Nunca execute testes atômicos em produção sem aceitação de risco dos stakeholders.

Pré-requisitos

• Host Windows com PowerShell 5.1+ ou PowerShell Core 7+ (Linux/macOS suportados para atômicos multiplataforma)
• Módulo PowerShell Invoke-AtomicRedTeam instalado do PSGallery
• Repositório Atomic Red Team atomics clonado localmente
• SIEM/EDR com ingestão de logs dos endpoints de teste (Splunk, Elastic, Microsoft Sentinel, CrowdStrike)
• MITRE ATT&CK Navigator (baseado na web ou instância local) para visualização de camadas
• Python 3.9+ com mitreattack-python, pyyaml e requests para scripts de automação
• Repositório de regras Sigma para correlação de detecção
• Acesso administrativo/root nos endpoints de teste
• Ambiente de teste isolado (laboratório, sandbox ou range de teste dedicado)

Fluxo de Trabalho

Etapa 1: Instalar e Configurar Invoke-AtomicRedTeam

Configure o framework de execução e baixe a biblioteca de atômicos:

# Install the PowerShell execution module
Install-Module -Name invoke-atomicredteam -Scope CurrentUser -Force
Install-Module -Name powershell-yaml -Scope CurrentUser -Force

# Import the module
Import-Module invoke-atomicredteam

# Install atomics to default location (C:\AtomicRedTeam\atomics)
IEX (IEX (New-Object System.Net.WebClient).DownloadString(
    'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1'
)); Install-AtomicRedTeam -getAtomics -Force

# Verify installation - list available techniques
$atomicsPath = "C:\AtomicRedTeam\atomics"
$techniques = Get-ChildItem $atomicsPath -Directory | Where-Object { $_.Name -match '^T\d{4}' }
Write-Host "Available techniques: $($techniques.Count)"

# Configure execution logging
$env:ARTLOG = "C:\AtomicRedTeam\logs"
if (-not (Test-Path $env:ARTLOG)) { New-Item -Path $env:ARTLOG -ItemType Directory }

Etapa 2: Enumerar e Selecionar Testes Atômicos

Inventarie os testes disponíveis e selecione alvos com base em inteligência de ameaças ou análise de lacunas:

# Listar todos os testes para uma técnica específica
Invoke-AtomicTest T1059.001 -ShowDetailsBrief

# Mostrar detalhes completos, incluindo comandos de ataque e limpeza
Invoke-AtomicTest T1059.001 -ShowDetails

# Listar testes para uma tática (ex: Persistência)
$persistenceTechniques = @(
    "T1547.001",  # Boot ou Autostart de Logon - Chaves de Execução do Registro
    "T1053.005",  # Tarefa Agendada
    "T1136.001",  # Criar Conta - Conta Local
    "T1543.003",  # Criar ou Modificar Processo do Sistema - Serviço do Windows
    "T1546.001",  # Execução Acionada por Evento - Alterar Associação de Arquivo Padrão
    "T1574.001",  # Sequestro de Fluxo de Execução - Sequestro de Ordem de Busca de DLL
    "T1197"       # Tarefas BITS
)

foreach ($tech in $persistenceTechniques) {
    Write-Host "`n=== $tech ===" -ForegroundColor Cyan
    try {
        Invoke-AtomicTest $tech -ShowDetailsBrief
    } catch {
        Write-Host "  Nenhum teste disponível" -ForegroundColor Yellow
    }
}

# Obter todas as técnicas atômicas de arquivos YAML programaticamente
$allAtomics = Get-ChildItem "$atomicsPath\T*\T*.yaml" -Recurse |
    ForEach-Object {
        $yaml = Get-Content $_.FullName -Raw | ConvertFrom-Yaml
        [PSCustomObject]@{
            TechniqueId   = $yaml.attack_technique
            TechniqueName = $yaml.display_name
            TestCount     = $yaml.atomic_tests.Count
            Platforms     = ($yaml.atomic_tests.supported_platforms | Sort-Object -Unique) -join ", "
        }
    }


…