Realizando Emulação de Ameaças com Atomic Red Team

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de emulação de ameaças com Atomic Red Team
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança através de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de inteligência de ameaças
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Use o atomic-operator para executar testes do Atomic Red Team e validar a cobertura de detecção contra técnicas do MITRE ATT&CK.

from atomic_operator import AtomicOperator

operator = AtomicOperator()
# Run a specific technique test
operator.run(
    technique="T1059.001",  # PowerShell execution
    atomics_path="./atomic-red-team/atomics",
)

Fluxo de trabalho principal:

1. Clone o repositório atomic-red-team para definições de teste
2. Selecione técnicas do ATT&CK que correspondam às suas regras de detecção
3. Execute testes atômicos usando o atomic-operator
4. Verifique o SIEM/EDR em busca de alertas correspondentes
5. Documente lacunas de detecção e atualize regras

Exemplos

# Parse atomic test YAML definitions
import yaml
with open("atomics/T1059.001/T1059.001.yaml") as f:
    tests = yaml.safe_load(f)
for test in tests.get("atomic_tests", []):
    print(f"Test: {test['name']}")
    print(f"  Platforms: {test.get('supported_platforms', [])}")