Red Team e Blue Team são formas de organizar exercícios de segurança. O primeiro simula ações de um adversário dentro de um escopo autorizado; o segundo monitora, investiga e responde. O objetivo compartilhado é descobrir lacunas e melhorar a capacidade de proteção.
Este artigo explica o que cada papel faz, o que diferencia um exercício útil de uma demonstração técnica, e por que a colaboração entre as duas equipes produz mais aprendizado que a competição.
Antes: teste de invasão não é exercício de Red Team
Os termos são usados como sinônimos e não são. A diferença está no objetivo:
| Teste de invasão | Exercício de Red Team | |
|---|---|---|
| Pergunta | Quais falhas existem neste escopo? | A organização detectaria e responderia a este adversário? |
| Escopo | Sistemas definidos, amplo em cobertura | Objetivo definido, caminho livre |
| Defesa sabe? | Geralmente sim | Geralmente não — faz parte do teste |
| Sucesso | Lista de vulnerabilidades encontradas | Entender o que foi visto, o que não foi e por quê |
| Mede | Superfície técnica | Capacidade de detecção e resposta |
Um teste de invasão avalia sistemas. Um exercício de Red Team avalia a organização — incluindo pessoas, processos e telemetria. Fazer um chamando de outro gera expectativas erradas e relatórios que não respondem à pergunta que a liderança tinha.
O trabalho do Red Team
Um exercício começa com regras claras: sistemas permitidos, período, técnicas aceitas, contatos e critérios para interromper uma atividade. Essas regras não são burocracia — são o que separa um exercício profissional de um acesso indevido.
As regras de engajamento mínimas registram:
- quais sistemas e endereços estão dentro do escopo, e quais estão explicitamente fora;
- janela de execução e horários permitidos;
- técnicas aceitas e proibidas — por exemplo, se negação de serviço ou engenharia social com terceiros estão excluídas;
- limites de impacto: o que não pode ser alterado, apagado ou exfiltrado de verdade;
- contatos de emergência dos dois lados, disponíveis durante toda a janela;
- critério de parada imediata e quem tem autoridade para acioná-lo;
- como os dados coletados serão tratados e destruídos ao final.
Autorização por escrito de quem tem poder para concedê-la não é opcional. Sem ela, a mesma ação técnica deixa de ser exercício.
A equipe ofensiva tenta alcançar objetivos definidos — demonstrar uma cadeia de exposição, por exemplo — sem causar dano desnecessário. O valor está nas evidências e nas recomendações: uma demonstração técnica isolada diz pouco se não explicar a causa, o impacto e como verificar a correção.
O trabalho do Blue Team
A equipe defensiva observa sinais em registros, redes e endpoints, investiga alertas e coordena a resposta. Ela também fortalece configurações, melhora visibilidade e define procedimentos para incidentes.
Uma boa defesa não depende de detectar todo evento imediatamente. Depende de priorizar, entender o contexto e reduzir o tempo entre um sinal relevante e uma ação adequada. Detectar tudo é impossível; detectar o que importa e agir a tempo é o objetivo realista.
Vale notar a assimetria que define o trabalho: o Red Team precisa de um caminho que funcione, o Blue Team precisa cobrir todos. Por isso defesa se organiza em camadas — se cada etapa do adversário tem alguma chance de ser vista, a probabilidade de passar por todas sem ruído cai rápido.
Um vocabulário comum: o MITRE ATT&CK
O ATT&CK é uma base pública que cataloga o comportamento de adversários observado no mundo real, organizada em táticas — o objetivo do adversário naquele momento — e técnicas, as formas de alcançá-lo. A matriz Enterprise cobre desde reconhecimento e acesso inicial até movimentação lateral, comando e controle, exfiltração e impacto, além de domínios específicos para dispositivos móveis e sistemas de controle industrial.
Sua utilidade prática é servir de idioma comum entre as duas equipes. Em vez de “conseguimos pegar as credenciais”, o relato vira “usamos a técnica X da tática de acesso a credenciais” — e o Blue Team pode responder “temos coleta para isso, mas não temos regra”, que é uma conclusão acionável.
Esse vocabulário também revela lacunas de cobertura: mapear quais táticas a organização consegue detectar mostra as colunas vazias com honestidade desconfortável e produtiva.
Quando as equipes colaboram
Em exercícios conjuntos, as equipes comparam o que foi executado com o que foi visto. Para cada ação do Red Team, quatro respostas possíveis:
| Resultado | O que significa | O que corrigir |
|---|---|---|
| Gerou alerta investigado | Funcionou | Nada — documentar |
| Gerou evento, sem alerta | Falta regra de detecção | Escrever e testar a regra |
| Sem evento algum | Falta coleta de telemetria | Habilitar a fonte de dados |
| Alerta ignorado no ruído | Excesso de falsos positivos | Ajustar qualidade do sinal |
Essa tabela é o produto mais valioso de um exercício — mais que a narrativa do ataque. Cada linha aponta uma correção diferente: comprar telemetria, escrever detecção ou reduzir ruído são projetos distintos, com custos distintos.
A pergunta mais útil ao final não é “quem venceu?”, mas “o que ficou mais difícil para um atacante depois do exercício?”. Um exercício em que o Red Team não conseguiu nada pode significar defesa madura — ou escopo tímido. Um em que conseguiu tudo pode significar defesa frágil — ou regras de engajamento generosas demais. O resultado bruto diz pouco sem contexto.
Como estudar o tema
Comece por fundamentos de redes, identidade e registro de eventos. Entender a defesa melhora o trabalho ofensivo; entender técnicas ofensivas melhora a defesa. Quem só conhece um lado produz trabalho pior nos dois.
Um exercício de estudo que cabe em um laboratório próprio:
- Escolha uma técnica do ATT&CK, preferencialmente simples.
- Antes de executar, escreva sua hipótese: que evidência isso deveria deixar, e em qual fonte de dados?
- Execute no laboratório.
- Procure a evidência. Compare com a hipótese.
- Escreva o que encontrou, o que não encontrou e o que faltava coletar.
O passo 2 é o que transforma a atividade em aprendizado. Executar e observar ensina uma ferramenta; prever e verificar ensina o raciocínio que serve para qualquer ferramenta.
Uma sessão de colaboração entre as equipes — às vezes chamada de exercício Purple Team — é especialmente útil para estudantes: conecta uma técnica simulada a registros, hipóteses de detecção e documentação, sem transformar a atividade em competição ou demonstração de acesso indevido.
Próximo passo
Monte um laboratório isolado, escolha uma única técnica e percorra os cinco passos acima documentando cada um. Um caderno com dez técnicas estudadas desse jeito vale mais, em entrevista e na prática, que uma lista de trinta ferramentas instaladas.
Pratique apenas em ambientes próprios ou com autorização explícita e por escrito. Técnicas ofensivas fora de escopo autorizado não são estudo — são acesso indevido, com consequências legais reais.
