Red Team vs Blue Team: Uma Simulação Realista de Ataque e Defesa Cibernética

No mundo da segurança da informação, existe um duelo silencioso que acontece todos os dias. De um lado, o Red Team — profissionais que simulam ataques cibernéticos. Do outro, o Blue Team — responsáveis por defender e proteger os sistemas.

Essas simulações não são apenas "joguinhos" entre hackers éticos e analistas de segurança. Elas são fundamentais para testar, corrigir e fortalecer a segurança de uma organização antes que um invasor de verdade tente algo.

O que é Red Team?

O Red Team é como se fosse o “lado do mal” – só que do bem. São especialistas que pensam e agem como hackers para encontrar falhas em sistemas, redes, servidores e aplicações. Eles tentam invadir a infraestrutura da empresa sem causar danos reais, apenas para mostrar onde estão os pontos fracos.

O que é Blue Team?

O Blue Team é o “escudo”. São os defensores que analisam, monitoram e reagem aos ataques. Eles usam ferramentas como SIEM, antivírus, firewalls, e logs para detectar e responder rapidamente a qualquer comportamento suspeito.

Simulação  de Ataque

Sobre a Suits Cats

A Suits Cats é uma empresa de design de roupas sob demanda, que atua com forte presença digital. Sua infraestrutura de TI é híbrida (parte local, parte em nuvem), e os sistemas críticos são:

• Servidor de Arquivos (Windows Server 2019) – onde ficam os modelos de roupas, documentos financeiros e contratos.

• Servidor Web (Ubuntu 22.04 + Apache) – site institucional e área de login de clientes.

• Servidor de Autenticação (Active Directory) – gerenciamento de usuários internos.

• Estação de Trabalho de um Designer – Windows 10, com acesso a dados sensíveis e credenciais salvas em navegador.

• Firewall Perimetral FortiGate – controla o tráfego entre internet e rede interna.

Red Team em ação: Etapas do Ataque

1. Reconhecimento externo (passivo e ativo)

Objetivo:

Descobrir o que está exposto na internet e coletar informações públicas da Suits Cat.

Técnicas usadas:

• whois, nslookup, Google Dorking

• Shodan para procurar IPs públicos da empresa

• Nmap para escanear as portas abertas

Descoberta:

• IP do site principal: 201.88.45.120

• Apache 2.4.49 em execução (com histórico de vulnerabilidade)

• Página de login /painel usando autenticação por cookie

• Subdomínio oculto: intranet.suitscat.com

Exploiting do servidor Web (Apache)

O Red Team identificou que o Apache não estava atualizado. Utilizando a vulnerabilidade CVE-2021-41773 (path traversal), conseguiram explorar o sistema para acessar arquivos internos do servidor.

Comando real usado:

Resultado: acesso ao conteúdo do arquivo /etc/passwd.

Em seguida:

Subiram um web shell disfarçado em um arquivo .php, para obter controle remoto do servidor.

Acesso remoto e persistência

Com o shell no ar, usaram um payload reverso via netcat:

No servidor web:

Agora o Red Team tem acesso completo ao servidor web.

Descoberta de credenciais e movimentação lateral

No servidor web, encontraram um arquivo .env com credenciais salvas:

Usaram essas credenciais para acessar o banco de dados interno e encontraram um campo com credenciais de usuários internos, armazenadas sem criptografia. Entre elas:

Usaram essas credenciais no Active Directory da empresa e conseguiram login com sucesso. A Joana tinha acesso administrativo a pastas de rede.

Ataque ao Servidor de Arquivos

Com acesso via VPN (simulando o acesso da Joana), o Red Team mapeou a rede:

Acessaram a pasta \\fileserver01\Financeiro e encontraram:

• Planilhas de pagamento de fornecedores

• Relatórios mensais com valores de produção

• Cópias de contratos com estilistas parceiros

Fizeram download silencioso com robocopy:

6. Exfiltração de dados

Compactaram os arquivos e enviaram para um servidor externo:

7. Cobertura de rastros

• Deletaram logs do Apache

• Deletaram histórico de shell

• Alteraram o timestamp de arquivos acessados

Blue Team responde

1. Primeiros sinais

O time de defesa da Suits Cat recebeu um alerta do SIEM (Graylog) indicando:

• Acesso incomum ao servidor web

• Tentativas de leitura de arquivos sensíveis (/etc/passwd)

• Atividade fora do horário (03h15 da manhã)

Ação imediata

• Isolaram o servidor web da rede

• Revogaram as credenciais da Joana

• Desconectaram a VPN forçada usada no ataque

Investigação

• Analisaram logs e encontraram uso da vulnerabilidade CVE-2021-41773

• Identificaram exfiltração de 1,3 GB de dados do servidor de arquivos

• Verificaram que o firewall não bloqueou o tráfego de saída no protocolo SCP

Correções e melhorias

• Atualizaram Apache para a versão mais recente

• Habilitaram WAF (Web Application Firewall)

• Bloquearam portas de saída desnecessárias

• Adicionaram 2FA no Active Directory

• Criaram políticas de DLP (Data Loss Prevention)

Resumo da simulação