Realizando Exercício de Equipe Roxa

Quando Usar

Use esta habilidade quando:

• As equipes de SOC precisarem validar se as regras de detecção realmente disparam para as ameaças que elas visam
• Avaliações de equipe vermelha produziram descobertas que precisam ser traduzidas em melhorias de detecção
• Novas ferramentas de detecção ou migrações de SIEM exigirem validação da cobertura de detecção
• O treinamento de analistas exigir experiência prática com técnicas de ataque reais e respostas de SIEM
• Ciclos de validação de detecção trimestrais ou semestrais estiverem agendados

Não use para engajamentos de equipe vermelha não anunciados — exercícios de equipe roxa exigem coordenação explícita entre equipes ofensivas e defensivas com colaboração em tempo real.

Pré-requisitos

• Capacidade de equipe vermelha: equipe interna ou operador de equipe roxa contratado
• Ferramentas de simulação de ataque: Atomic Red Team, MITRE Caldera ou framework C2 (autorizado)
• Acesso ao SIEM para monitoramento de alertas em tempo real durante o exercício
• Inventário de regras de detecção mapeadas para ATT&CK com nomes de alertas esperados
• Ambiente de teste isolado ou escopo de produção aprovado com aprovação de gerenciamento de mudanças
• Canal de comunicação (Slack/Teams) para coordenação em tempo real entre equipes vermelha e azul

Fluxo de Trabalho

Etapa 1: Definir Escopo e Objetivos do Exercício

Documente os parâmetros do exercício:

purple_team_exercise:
  exercise_id: PT-2024-Q1
  date: 2024-03-20
  duration: 8 hours (09:00-17:00 UTC)
  scope:
    environment: Production (Finance VLAN, 10.0.5.0/24)
    systems_in_scope:
      - WORKSTATION-TEST01 (10.0.5.100) — Test endpoint
      - DC-TEST (10.0.5.200) — Test domain controller
      - FILESERVER-TEST (10.0.5.201) — Test file server
    systems_excluded:
      - All production domain controllers
      - Customer-facing systems
  objectives:
    - Validate 15 detection rules mapped to FIN7 TTPs
    - Test SOC analyst response to real attack indicators
    - Identify detection gaps for credential access and lateral movement
    - Measure detection latency for each technique
  threat_scenario: FIN7 campaign targeting financial data via spearphishing
  authorization: Approved by CISO, Change Request CR-2024-0567
  communication: #purple-team-2024q1 Slack channel

Etapa 2: Construir Plano de Teste Mapeado para ATT&CK

Crie uma matriz de teste técnica por técnica:

Etapa 3: Executar Técnicas da Equipe Vermelha

Execute cada técnica com Atomic Red Team (ou execução manual):

# Instalar Atomic Red Team
IEX (IWR 'https://raw.githubusercontent.com/redcanaryco/invoke-atomicredteam/master/install-atomicredteam.ps1' -UseBasicParsing)
Install-AtomicRedTeam -getAtomics

# Teste 1: T1059.001 — Execução de PowerShell
Write-Host "[$(Get-Date -Format 'HH:mm:ss')] Executando T1059.001 - PowerShell"
Invoke-AtomicTest T1059.001 -TestNumbers 1
# Notificar a equipe azul: "T1059.001 executado em $(Get-Date)"

# Teste 2: T1053.005 — Criação de Tarefa Agendada

…