Red Team para empresas: simulação de ataque real contra a sua defesa
Red Team é um exercício de segurança ofensiva em que especialistas simulam um adversário real — com objetivo definido, múltiplos vetores (rede, aplicação, pessoas, físico) e TTPs mapeadas ao MITRE ATT&CK — para medir se a empresa consegue prevenir, detectar e responder a um ataque. Diferente do pentest, o alvo não é a vulnerabilidade: é a resiliência da defesa.
O que é Red Team?
Um serviço de Red Team é uma operação adversarial orientada a objetivos, conduzida sob sigilo e sem roteiro pré-definido, em que a Berghem opera como um atacante real contra pessoas, processos e tecnologia da sua organização. Em vez de enumerar o máximo de vulnerabilidades, o Red Team escolhe um alvo de negócio — dados de clientes, ambiente de pagamentos, propriedade intelectual — e demonstra o caminho completo até ele, combinando vetores técnicos, humanos e físicos.
O objetivo não é apenas invadir, e sim medir a capacidade de prevenção, detecção e resposta do seu Blue Team e do seu SOC. Cada tática, técnica e procedimento (TTP) é mapeada ao MITRE ATT&CK e, ao final, você recebe a linha do tempo do ataque, a matriz do que o SOC viu ou não viu e recomendações priorizadas para fechar as lacunas. É a diferença entre supor que os controles funcionam e comprovar, com evidência, como eles se comportam diante de um adversário persistente que dispõe de tempo, criatividade e objetivos claros.
Para instituições financeiras, contratar Red Team reforça a resiliência cibernética exigida pelo BACEN e produz evidências úteis para auditoria e para o programa de gestão de incidentes.
O que está incluído
Red Team vs Pentest vs EHT: qual a diferença?
As três abordagens são complementares e respondem a perguntas diferentes. O pentest busca amplitude técnica em um escopo delimitado; o EHT (Ethical Hacking Test) da Berghem parte de um objetivo adversarial e encadeia falhas até o impacto no negócio; o Red Team simula o adversário completo e mede a resiliência da defesa.
| Critério | Pentest | EHT | Red Team |
|---|---|---|---|
| Pergunta que responde | Onde estou vulnerável? | Que caminho um atacante seguiria até o meu negócio? | Minha defesa funciona sob ataque real? |
| Escopo | Ativo ou sistema delimitado (aplicação, rede, API, cloud) | Escopo definido, com cadeia de ataque a partir de um objetivo adversarial | Organização inteira: rede, aplicação, pessoas e físico |
| Vetores | Técnicos | Técnicos, encadeados até o impacto | Múltiplos: técnico, humano e físico |
| Equipe de defesa | Ciente do teste | Ciente do teste | Sem aviso — apenas o patrocinador sabe |
| Duração | Janela curta e definida | Janela definida por tier (Silver, Gold, Diamond) | Pontual (janela definida) ou contínuo (RTaaS) |
| Resultado | Lista priorizada de vulnerabilidades | Cadeias de ataque com impacto de negócio e remediação | Medida de prevenção, detecção e resposta + matriz de detecção do SOC |
| Quando usar | Cobertura técnica e conformidade recorrente | Validar se falhas encadeadas alcançam o negócio | Testar a resiliência da defesa contra um adversário real |
O EHT é o teste de invasão da Berghem, estruturado a partir do objetivo do atacante — conheça o serviço de Ethical Hacking Test (EHT) e o pilar completo de Segurança Ofensiva, que reúne pentest, EHT e Red Team.
Como funciona um exercício de Red Team?
Seguimos o ciclo de vida de um ataque real em seis fases, alinhadas ao MITRE ATT&CK — das regras de engajamento ao debrief com o Blue Team — com um canal seguro com o patrocinador durante toda a operação.
Regras de engajamento e objetivos
Definimos com o patrocinador os objetivos de negócio do exercício — acesso a dados de clientes, ao ambiente de pagamentos, a um processo crítico —, os limites, as salvaguardas, o canal seguro de comunicação e os critérios de sucesso. Nada começa sem regras de engajamento (RoE) assinadas.
Reconhecimento e OSINT
Coleta de inteligência de fontes abertas sobre a organização: domínios, serviços expostos, credenciais vazadas, fornecedores, pessoas-chave e rotinas que um adversário exploraria. É a fase que transforma a empresa em um alvo mapeado.
Acesso inicial: phishing, vishing e exploração
Obtenção do primeiro ponto de apoio por phishing e vishing dirigidos, exploração de serviços expostos, credenciais vazadas ou acesso físico — ou início direto em cenário Assumed Breach, partindo de um host já comprometido.
Persistência e movimentação lateral
Escalonamento de privilégios, coleta de credenciais, movimentação lateral entre sistemas e estabelecimento de persistência, sempre buscando permanecer abaixo do radar dos controles de detecção e resposta.
Ações sobre o objetivo
Demonstração controlada do impacto ao alcançar o objetivo acordado — com evidências, sem causar indisponibilidade e com validação prévia de qualquer ação sensível junto ao patrocinador.
Debrief e Purple Team
Replay TTP a TTP com o Blue Team e o SOC: o que foi visto, o que passou despercebido e por quê. Cada lacuna vira um caso de uso de detecção, e o exercício pode evoluir para um ciclo Purple Team colaborativo.
TTPs e MITRE ATT&CK a partir de Threat Intelligence: como escolhemos o adversário?
Um Red Team só é realista se o adversário simulado for plausível para o seu setor. Por isso partimos de Threat Intelligence: identificamos os grupos e campanhas que atacam empresas como a sua no Brasil e na América Latina, extraímos suas táticas, técnicas e procedimentos (TTPs) e as mapeamos ao MITRE ATT&CK antes de planejar a operação — em vez de aplicar um checklist genérico desconectado do seu contexto de risco.
O nosso serviço de Threat Intelligence alimenta esse plano de emulação, e o mesmo mapeamento é reutilizado no debrief: cada técnica executada corresponde a uma detecção existente ou a uma lacuna concreta no SOC.
Para ameaças a sistemas de IA, estendemos o mapeamento ao MITRE ATLAS e à Promptware Kill Chain.
Quais modelos de Red Team existem?
Adaptamos o formato ao seu nível de maturidade e ao objetivo — de uma operação pontual a um programa contínuo. Organizações que estão começando costumam preferir o Assumed Breach; times já maduros extraem mais valor de uma campanha completa ou do modelo contínuo.
Red Team pontual (4–8 semanas)
Operação completa com início, meio e fim: reconhecimento, acesso inicial, movimentação lateral e ações sobre o objetivo, seguidas de debrief. Indicada para medir a resiliência da defesa em um ciclo fechado.
Assumed Breach
Parte do princípio de que o perímetro já foi rompido: iniciamos de um host ou credencial internos para avaliar quão longe um atacante chegaria e com que rapidez seria detectado e contido. Reduz tempo e concentra o exercício em detecção e resposta.
Red Team contínuo (RTaaS)
Red Team as a Service: campanhas recorrentes ao longo do ano, com objetivos rotativos e TTPs atualizadas conforme a Threat Intelligence, para acompanhar a evolução do SOC e as mudanças no ambiente.
Red Team para IA
Simulação adversarial contra sistemas de IA e LLM — prompt injection, jailbreak, vazamento de dados e abuso de agentes. Complementa o Red Team corporativo quando a IA já faz parte dos processos críticos.
Entregáveis: o que você recebe ao final do exercício?
Não entregamos um relatório genérico de falhas: entregamos a medida real da sua capacidade de prevenir, detectar e responder a um ataque, com um plano para melhorá-la.
Relatório executivo
Narrativa do ataque para a liderança: objetivo, caminho percorrido, impacto demonstrado e a medida real de prevenção, detecção e resposta da organização.
Timeline do ataque
Linha do tempo completa, TTP a TTP, mapeada ao MITRE ATT&CK, com as evidências de cada etapa — do reconhecimento à ação sobre o objetivo.
Matriz de detecção do SOC (viu / não viu)
Para cada técnica executada: se o SOC viu, quando viu e o que fez — ou por que não viu. É o insumo direto para novos casos de uso no SIEM, no EDR e nos playbooks de resposta.
Plano de remediação
Recomendações priorizadas por risco, cobrindo controles técnicos, processos e pessoas — prontas para dirigir investimentos de segurança e sustentar exigências de auditoria.
Reteste
Reexecução das técnicas que passaram despercebidas para comprovar que as correções e as novas detecções funcionam na prática.
Quando contratar um Red Team?
O Red Team entrega mais valor quando a organização já corrige as falhas encontradas em pentest, tem um SOC ou serviço de monitoramento em operação e quer saber se essa estrutura funciona sob ataque real. Se ainda não há pentest recorrente, comece pelo EHT; se há, o Red Team é o próximo passo natural. Além da maturidade, três gatilhos de conformidade costumam motivar a contratação:
Veja como o Red Team se encaixa nas exigências do BACEN para instituições financeiras.
Por que contratar Red Team com a Berghem?
Operadores experientes, adversário emulado a partir de inteligência real e um debrief que transforma cada detecção perdida em melhoria concreta.
Operadores experientes
Nossa equipe combina certificações ofensivas reconhecidas com experiência prática em ambientes financeiros, industriais e de tecnologia no Brasil e na América Latina, operando dentro de regras de engajamento rígidas e éticas.
Adversário emulado, não genérico
Modelamos o exercício a partir de inteligência de ameaças relevante para o seu setor, emulando grupos e TTPs com maior probabilidade de atacar a sua organização — em vez de um checklist genérico desconectado do seu contexto de risco.
Replay com o Blue Team
Ao final, conduzimos uma sessão de replay TTP a TTP com a sua equipe de defesa, transformando cada detecção perdida em um caso de uso concreto de melhoria no SIEM, no EDR e nos playbooks de resposta.
Relatório acionável
Você recebe a linha do tempo do ataque, o mapeamento MITRE ATT&CK das TTPs, a matriz de detecção do SOC, evidências e um plano de remediação priorizado por risco — pronto para dirigir investimentos e sustentar exigências de auditoria.
Quais serviços complementam o Red Team?
O Red Team combina disciplinas que também oferecemos de forma independente. Explore os serviços que sustentam e complementam o exercício:
Segurança Ofensiva
O pilar que reúne pentest, EHT e Red Team.
Pentest (EHT)
Teste de invasão orientado ao objetivo do atacante.
Engenharia Social
Phishing, vishing e vetores humanos usados no Red Team.
Threat Intelligence
Inteligência de ameaças que alimenta as TTPs do exercício.
Resposta a Incidentes
Contenção e recuperação após a detecção do adversário.
Red Team para IA
Simulação adversarial contra sistemas de IA e LLM.
Serviços Financeiros
Red Team e conformidade para instituições reguladas pelo BACEN.
Perguntas frequentes sobre Red Team
O que é Red Team?
Qual a diferença entre Red Team e pentest?
O que é um cenário Assumed Breach?
Quanto custa contratar um Red Team no Brasil?
Red Team ajuda a atender exigências regulatórias?
Pronto para testar sua defesa contra um ataque real?
Em uma conversa de 30 minutos definimos os objetivos, o modelo e as regras de engajamento do seu exercício de Red Team — do Assumed Breach ao programa contínuo. Solicite uma proposta com o seu cenário.
Solicitar proposta de Red Team