O que é Red Team? Simulação de adversário

Red Team é a simulação de um adversário real, de ponta a ponta, para testar não apenas as vulnerabilidades de uma organização, mas sua capacidade de detectar e responder a um ataque. Diferente do pentest, o foco não é um alvo definido, e sim objetivos adversariais — dados, acessos, processos críticos — alcançados pelo caminho que o atacante escolher.

O termo nasceu no meio militar, onde uma equipe "vermelha" assume o papel do inimigo para desafiar as defesas da equipe "azul". Na segurança da informação, a ideia é a mesma: um grupo autorizado age como um atacante genuíno — com tempo, criatividade e objetivos claros — enquanto o time de defesa opera normalmente, muitas vezes sem saber que o exercício está em curso. O que se mede, no fim, não é só o que estava vulnerável, mas quanto a organização enxergou, quão rápido reagiu e até onde o adversário chegou antes de ser contido.

O que é um Red Team e o que ele testa?

Um exercício de Red Team é uma operação ofensiva autorizada, orientada a objetivos, que reproduz o comportamento de um adversário realista contra uma organização inteira — pessoas, processos e tecnologia. Em vez de perguntar "esta aplicação tem falhas?", ele pergunta "se um atacante decidido quisesse roubar os dados de clientes ou interromper o processo X, ele conseguiria, e nós perceberíamos?".

Isso muda o que está em teste. Um Red Team avalia três dimensões que um teste técnico convencional não alcança:

• A superfície completa. Não apenas um sistema, mas a combinação de aplicações, rede, cloud, endpoints, identidade e o fator humano. O caminho de ataque pode começar em um e-mail de phishing e terminar em um servidor de banco de dados.
• A detecção. Cada movimento do time ofensivo é uma oportunidade de gerar um alerta. O exercício mede quais ações foram registradas, quais dispararam investigação e quais passaram despercebidas.
• A resposta. Quando (e se) a defesa detecta a invasão, o exercício observa o tempo de reação, a qualidade da contenção e a coordenação entre times.

O produto de um Red Team não é uma lista de vulnerabilidades — é uma narrativa de ataque com evidência em cada etapa, cruzada com o que a defesa viu e o que deixou de ver. É essa leitura combinada, ataque contra defesa, que dá ao exercício seu valor único.

Qual a diferença entre Red Team, pentest e Blue Team?

Essa é a confusão mais comum na hora de contratar. Os três termos descrevem funções distintas, e escolher o exercício errado desperdiça orçamento e deixa lacunas.

O pentest avalia um alvo definido — uma aplicação, uma API, uma rede — em busca do maior número possível de vulnerabilidades exploráveis dentro daquele escopo. O Red Team persegue um objetivo adversarial atravessando qualquer superfície necessária, priorizando furtividade e realismo sobre cobertura. O Blue Team é a defesa: o time que monitora, detecta e responde, seja interno (SOC, resposta a incidentes) ou terceirizado. A tabela abaixo resume:

Nenhum substitui os outros. O pentest é a base: não faz sentido rodar um Red Team se as vulnerabilidades óbvias ainda não foram tratadas. Quando a higiene técnica está madura e a organização quer saber se sobreviveria a um ataque real, o Red Team é o próximo passo. E o Blue Team é a contraparte permanente que o exercício vem justamente colocar à prova.

Quais são as fases de um exercício de Red Team?

Um Red Team profissional segue um ciclo estruturado, apoiado em frameworks reconhecidos — principalmente o MITRE ATT&CK, que fornece o vocabulário de táticas e técnicas para planejar e documentar cada movimento. As fases, na ordem em que executamos:

1. Definição de objetivos e regras de engajamento. Antes de qualquer ação, define-se o que representa "vitória" (por exemplo, acesso a um conjunto de dados específico), os limites operacionais, as janelas de teste e os contatos de emergência. É a etapa que garante autorização, segurança e um critério objetivo de sucesso.
2. Reconhecimento. Coleta de informações sobre a organização, passiva (fontes abertas, funcionários, tecnologia exposta) e ativa (mapeamento de superfícies e serviços). O objetivo é encontrar o ponto de entrada mais realista.
3. Acesso inicial. Obtenção do primeiro ponto de apoio — phishing, exploração de um serviço exposto, abuso de credenciais vazadas ou engenharia social. Aqui já se começa a testar a detecção.
4. Estabelecimento e persistência. Manutenção do acesso de forma furtiva, garantindo que o time ofensivo sobreviva a reinicializações e a possíveis tentativas de contenção.
5. Escalação de privilégios e movimentação lateral. A partir do acesso inicial, o time expande alcance: obtém credenciais mais poderosas, alcança outros sistemas e se aproxima do objetivo.
6. Ações sobre o objetivo. Execução do que define o sucesso do exercício — acesso ao dado alvo, demonstração de interrupção de um processo crítico ou exfiltração controlada, sempre com evidência e sem causar dano real.
7. Relatório e debrief conjunto. Documentação da narrativa completa do ataque, cruzada com a linha do tempo da defesa, e uma sessão conjunta (Red e Blue) para transformar cada etapa em melhoria concreta de detecção e resposta.

O debrief final é o que separa um Red Team útil de um exercício de vaidade. Não basta provar que a invasão foi possível; o valor está em mostrar, técnica por técnica do MITRE ATT&CK, onde a defesa poderia ter visto e não viu — e como fechar cada uma dessas lacunas.

O que é Purple Team e quando ele faz mais sentido?

Purple Team não é um terceiro time — é um modo de trabalho em que Red Team e Blue Team operam de forma colaborativa e transparente, em vez de adversarial. O time ofensivo executa uma técnica específica; o time defensivo observa em tempo real se ela gerou telemetria, alerta e resposta; juntos, ajustam a detecção e repetem. O ciclo se repete técnica por técnica.

A diferença de intenção é a chave:

• Red Team mede a defesa como ela está hoje, sem avisar, priorizando realismo. Responde: "seríamos pegos?".
• Purple Team melhora a defesa deliberadamente, com os dois lados na mesma sala, priorizando aprendizado. Responde: "como fazemos para sermos pegos da próxima vez?".

Na prática, um Purple Team costuma fazer mais sentido para organizações que ainda estão amadurecendo a capacidade de detecção — o retorno em cobertura é rápido e mensurável. O Red Team puro rende mais quando a defesa já tem processos consolidados e a pergunta relevante deixou de ser "temos controles?" e passou a ser "eles funcionam contra um adversário decidido?". Muitos programas alternam os dois: Purple para construir a detecção, Red para validá-la sob condições realistas.

Quando sua empresa precisa de um Red Team?

Há dois gatilhos, que costumam se sobrepor: maturidade de segurança e exigência regulatória ou de negócio.

Do lado da maturidade, um Red Team faz sentido quando a organização já tem um programa de segurança em funcionamento — pentests recorrentes, um SOC ou serviço de detecção, processos de resposta a incidentes — e quer validar se tudo isso resiste a um ataque real. Rodar um Red Team antes disso é caro e pouco informativo: o exercício encontraria as mesmas falhas óbvias que um pentest apontaria por uma fração do custo.

Do lado regulatório e de negócio, a simulação de adversário aparece cada vez mais como expectativa em setores críticos. Instituições financeiras operam sob as resoluções do BACEN e do CMN sobre segurança cibernética, incluindo a 4.893, que reforçam a necessidade de testes sobre ambientes críticos — o que se estende a integrações de Open Finance e a ambientes de pagamento. Frameworks de conformidade como a adequação à ISO 27001 tratam o teste da capacidade defensiva como parte da avaliação de controles, e a adequação à LGPD demanda medidas técnicas que um exercício adversarial ajuda a evidenciar. Contrate um Red Team, então, quando:

• Sua organização já passou por pentests e quer medir detecção e resposta, não apenas vulnerabilidades.
• Há uma exigência de auditoria, due diligence ou regulatória que pede prova de capacidade defensiva.
• Ocorreu um incidente e a liderança quer saber, de forma independente, se as correções realmente fecharam o caminho.
• O negócio depende de processos críticos cuja interrupção teria impacto material — e ninguém testou, na prática, o que aconteceria sob ataque.

Para organizações que já operam sistemas de IA em produção, a lógica se estende a uma nova superfície: modelos, agentes e pipelines de RAG têm classes próprias de falha e exigem cenários adversariais específicos — assunto que tratamos em segurança de agentes de IA e na governança segundo a ISO 42001.

Como a Berghem executa um Red Team

Na Berghem, o exercício de Red Team começa pelo objetivo adversarial, nunca por uma lista de alvos. Definimos, junto com a liderança, o que um atacante realmente buscaria naquele contexto — dados de clientes, credenciais privilegiadas, o controle de um processo crítico — e trabalhamos para trás, encadeando as técnicas necessárias para chegar lá pelo caminho mais realista, e não pelo mais conveniente.

O que isso significa na prática:

• Realismo sobre volume. Preferimos demonstrar um caminho de ataque completo e furtivo a produzir uma lista de achados isolados. O que importa é se o objetivo foi alcançado e se a defesa percebeu.
• Detecção como métrica de primeira classe. Cada técnica executada é cruzada com o MITRE ATT&CK e comparada com o que a telemetria da organização registrou. As lacunas de detecção são um resultado tão importante quanto as vulnerabilidades.
• Análise humana conduzindo a operação. Ferramentas aceleram partes do trabalho; a estratégia, a furtividade e o encadeamento são conduzidos por especialistas.
• Debrief que vira melhoria. O engajamento termina com uma sessão conjunta entre nosso time e a sua defesa, transformando a narrativa de ataque em ajustes concretos de detecção e resposta.

Somos uma empresa de segurança da informação em São Paulo e conduzimos exercícios de Red Team, além de testes de invasão em aplicações, APIs, redes, ambientes de cloud e sistemas de IA. Quando a maturidade ainda não pede um adversário completo, o pentest costuma ser o ponto de partida certo — e o Red Team, o passo seguinte quando a pergunta deixa de ser "temos falhas?" e passa a ser "sobreviveríamos a um ataque de verdade?".

A Berghem é uma empresa de pentest brasileira, sediada em São Paulo, que executa testes de invasão manuais orientados por objetivo adversarial.

Perguntas frequentes

Qual a diferença entre Red Team e pentest?

O pentest avalia um alvo definido em busca do máximo de vulnerabilidades exploráveis naquele escopo. O Red Team persegue um objetivo adversarial atravessando qualquer superfície necessária, de forma furtiva, e mede também a detecção e a resposta da organização. O pentest mede falhas; o Red Team mede a defesa.

Minha empresa precisa de pentest antes de um Red Team?

Na maioria dos casos, sim. Um Red Team rende quando a higiene de segurança já está madura — pentests recorrentes, detecção e resposta em funcionamento. Antes disso, o exercício só encontraria as mesmas falhas óbvias que um pentest aponta por uma fração do custo. O pentest constrói a base; o Red Team a valida.

Quanto tempo dura um exercício de Red Team?

Depende do objetivo e do escopo, mas um Red Team é sempre mais longo que um pentest, porque prioriza furtividade e realismo em vez de cobertura rápida. Reconhecimento, acesso inicial e movimentação lateral levam tempo porque replicam o ritmo de um adversário real. O prazo entra nas regras de engajamento.