Capítulo 10 — Segurança ofensiva autorizada e red team: orientação | Tecnólogo Segurança ofensiva autorizada e equipe vermelha

Ensino gratuito e aberto para quem deseja proteger pessoas e tecnologias. Não é preciso criar uma conta para estudar ou consultar as respostas.

Mapa da aula

Aula 10 publicada. Mapa, exemplo, EX028.

flowchart TD
  N0["10.1 Um ciclo de vida, não uma lista de ferramentas"]
  N1["10.2 A permissão é escrita"]
  N2["10.3 Red, blue e purple"]
  N3["10.4 O que este livro não fará"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4
  N4 --> EX["Exemplo resolvido"]
  EX --> Q["Exercício EX028"]

Desenho lógico

flowchart LR
  N0["10.1 Um ciclo de vida, não uma lista de ferramentas"]
  N1["10.2 A permissão é escrita"]
  N2["10.3 Red, blue e purple"]
  N3["10.4 O que este livro não fará"]
  N4["Síntese"]
  N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX028"]

[10.1 Um ciclo de vida, não uma lista de ferramentas]
    |
    v
[10.2 A permissão é escrita]
    |
    v
[10.3 Red, blue e purple]
    |
    v
[10.4 O que este livro não fará]
    |
    v
[Síntese]
    |
    v
[Exemplo resolvido] --> [Exercício EX028]

Objetivos de aprendizagem

Você vai (1) situar a avaliação de vulnerabilidades, o teste de intrusão e o red team num único ciclo de vida; (2) nomear os documentos que criam a permissão; (3) explicar os papéis das equipes red, blue e purple; (4) enunciar com suas palavras o limite educacional deste livro.

10.1 Um ciclo de vida, não uma lista de ferramentas

A prática autorizada passa por governança e definição de escopo, regras de engajamento, execução dentro dessas regras, tratamento de evidências, classificação de risco, relatório, correção e validação. Os nomes das ferramentas mudam; o ciclo de vida, não. O NIST SP 800-115 e o PTES organizam o trabalho dessa forma, ainda que os títulos de suas partes sejam diferentes. Priya ensina o caminho que vai da governança, passando por escopo, ROE, execução, evidência, classificação e relatório, até o reteste. Nos treinamentos, os alunos que pularam direto para os scanners produziram um STOP por interação com o sistema de tarifas. A Northpoint é avaliada pela fidelidade com que seguiu o ciclo de vida antes que alguém olhe para a esperteza de seus achados.

10.2 A permissão é escrita

A permissão vem de um acordo assinado que nomeia as partes, os sistemas, os métodos, a janela, as exclusões, as regras de tratamento de dados, o contato de emergência e o público do relatório. Um "pode ir" verbal não basta. O Capítulo 11 transforma esse acordo em objetos de escopo e de ROE verificáveis. O pacote assinado do ENG-712 nomeia as partes, os sistemas, os métodos, a janela, as exclusões, o prazo de retenção, o contato de emergência e o telefone da equipe branca. Um contato de emergência vazio cancela o início de sábado, exatamente como ensinam os laboratórios de ROE. A retenção e o telefone da equipe branca são conferidos na mesma passada, porque cada um deles é necessário antes de qualquer atividade começar.

10.3 Red, blue e purple

A equipe red (ou a prestadora de testes) exercita comportamentos adversários sob autorização. A equipe blue (o SOC e os defensores) detecta e responde. O purple teaming é colaboração estruturada: a equipe red anuncia ou revela técnicas de forma controlada para que a blue melhore a detecção, com o aprendizado como objetivo, e não uma simples "pegadinha". O TIBER-EU e o CBEST acrescentam uma camada guiada por inteligência de ameaças, usada na garantia do setor financeiro; os tecnólogos devem reconhecer esses nomes mesmo quando sua organização não é um banco.

A red (Northpoint) exercita comportamentos; a blue (SOC da TRT) detecta; a purple leva o que passou despercebido para as regras DET-19 e DET-20. Priya recusa engajamentos que não prevejam uma equipe branca alcançável. O aprendizado é uma entrega, não um extra opcional.

10.4 O que este livro não fará

Ele não fornecerá código de exploit, payloads nem procedimentos de ataque passo a passo. Não autorizará ninguém a testar um sistema real. Ensina governança, evidência, medição e validação de correções sobre dados sintéticos, para que, quando o aluno entrar mais tarde numa equipe real, a disciplina já esteja instalada. Nada de código de exploit, nada de autorização ao vivo, nada de tarifas "só desta vez". O limite do Capítulo 10 é o que Priya cita quando uma banca pede os passos de T1552.001 — ela aponta para o ATT&CK e para por aí. A recusa é praticada em simulações de banca, e não deixada como teoria.

Exemplo resolvido

O CISO da TRT pergunta se eles "precisam de um red team". Priya pergunta que decisão o resultado vai apoiar. O CISO quer saber se o SOC perceberia um intruso realista. Essa é uma pergunta de red team com capacidade purple, não de varredura de vulnerabilidades. Priya propõe um exercício com escopo definido, com autoridade de parada da equipe branca, ROE escritas e uma revisão de aprendizado — e lembra que o pagamento de tarifas continua excluído.

Caso sintético. A conversa com o CISO foi inventada para a orientação.

Erros e limites

Comprar um produto de "red team" que na verdade é uma varredura desperdiça dinheiro e cria falsa garantia. Nomes de frameworks num slide não equivalem a seguir suas fases.

Exercícios

EX028 — Decisão primeiro. Reescreva a necessidade do CISO como um objetivo de avaliação de uma frase.
Mostrar critérios de avaliação
Rubrica: 3 = objetivo sobre a detecção, pelo SOC, de um intruso realista num exercício com escopo definido; 2 = objetivo vago; 1 = "rodar ferramentas"; 0 = nada.
EX029 — Lista de documentos. Nomeie cinco campos que um acordo assinado precisa conter antes de os testes começarem.
Mostrar critérios de avaliação
Rubrica: 3 = cinco entre escopo/exclusões/métodos/janela/contato de emergência/tratamento de dados/público do relatório/partes; 2 = três; 1 = um; 0 = nada.
EX030 — Objetivo purple. Numa frase, o que torna um exercício "purple" em vez de uma disputa puramente competitiva entre red e blue?
Mostrar critérios de avaliação
Rubrica: 3 = colaboração estruturada voltada a melhorar a detecção/resposta, e não apenas a marcar uma invasão; 2 = menciona colaboração; 1 = mais ferramentas; 0 = nada.

Síntese

Comece pela decisão, escreva a permissão, conheça os papéis e mantenha este currículo do lado defensivo da linha.

Continue estudando — capítulo 10 de 30

← Capítulo 09 (rascunho) · Índice de capítulos do curso · Capítulo 11 (rascunho) →