Red team, purple team e emulação de adversário

Como se diferenciam

• Teste de intrusão: cobertura ampla de fraquezas em um escopo definido, em geral anunciado aos defensores, com tempo limitado e uma lista de achados.
• Red team: baseado em objetivos (por exemplo, chegar ao banco de dados de clientes ou assumir o provedor de identidade), encoberto, mais longo e voltado para a organização inteira: pessoas, processos e tecnologia.
• Purple team: red e blue trabalham juntos às claras. O lado red executa uma técnica, o lado blue verifica se ela foi detectada e as lacunas são corrigidas na hora. A forma mais rápida de melhorar a detecção.
• Emulação de adversário: um exercício red ou purple que reproduz o comportamento documentado de um agente de ameaça específico e relevante para você.

Executando um exercício

• Escolha o adversário e o cenário com base em threat intelligence: quem ataca o seu setor e quais técnicas usa.
• Defina objetivos e critérios de sucesso, um pequeno grupo de controle que sabe do exercício (o white cell) e as regras: ações proibidas, paradas de segurança e um processo de deconfliction para que um incidente real nunca seja confundido com o exercício.
• Emule as técnicas em ordem, usando seus identificadores ATT&CK, e registre para cada uma: o que foi feito, quando e qual telemetria deveria gerar.
• Faça o debrief com abertura: quais etapas foram prevenidas, detectadas, alertadas, investigadas e contidas, e quanto tempo levou cada uma.
• Transforme as lacunas em trabalho: novas detecções, hardening e mudanças nos playbooks, e depois reteste.

Um log de purple team

attack_id,technique,executed_at_utc,expected_telemetry,detected,alert_fired,time_to_detect,action
T1059.001,execução de PowerShell,2026-11-05T10:02Z,process_creation + script block log,sim,sim,2m,ajustar severidade do alerta
T1003,tentativa de credential dumping,2026-11-05T10:20Z,acesso ao LSASS,parcial,não,n/d,adicionar regra de EDR + detecção Sigma
T1021.001,movimento lateral via Remote Desktop,2026-11-05T10:45Z,logon type 10 + nova origem,não,não,n/d,habilitar logging no jump host; escrever detecção

Princípios

• O objetivo é uma defesa mais forte. Um red team que nunca compartilha suas técnicas com o blue team está desperdiçando o exercício.
• Realismo com segurança: emule o comportamento sem causar dano e mantenha controles para interromper o exercício instantaneamente.
• Use frameworks públicos e procedimentos de teste benignos para a emulação, não malware customizado, a menos que o escopo e a base legal o cubram explicitamente.
• As regras legais e éticas do primeiro tópico se aplicam aqui com ainda mais força: autorização, escopo, tratamento mínimo de dados e relatório honesto.
• Meça a melhoria ao longo do tempo: cobertura de detecção, tempo para detectar, tempo para conter.