É comum usar Red Team e Pentest como sinônimos. Mas são abordagens diferentes, com objetivos, custos e resultados distintos. Escolher errado significa gastar dinheiro no que não resolve o seu problema.
O Que é um Pentest?
Um pentest (penetration test) é uma avaliação técnica de segurança com escopo definido. Você define o que será testado, seja um sistema, uma rede ou uma aplicação, e a equipe testa sistematicamente as vulnerabilidades daquele escopo.
Características: escopo delimitado, duração de 1 a 4 semanas, relatório detalhado, e a empresa sabe que o teste está acontecendo.
Quando faz sentido: antes de lançar um sistema novo, para compliance (LGPD, PCI DSS, ISO 27001), após mudança na infraestrutura e como avaliação anual de segurança.
O Que é Red Team?
Um exercício de Red Team é uma operação adversarial com objetivo específico, não escopo técnico. Em vez de "teste todas as vulnerabilidades do sistema X", o objetivo é "tente acessar o servidor de dados financeiros", sem restrição de vetor.
A equipe pode usar qualquer técnica combinada antes nas regras do exercício: phishing, engenharia social, exploração física, ataques a fornecedores. Tudo que um atacante real faria.
Características: objetivo final (flag) em vez de escopo técnico, duração de semanas a meses, e a maioria dos colaboradores não sabe que o exercício está acontecendo.
Quando faz sentido: em empresas com maturidade de segurança avançada, quando os controles já estão implementados e você quer testá-los, e para avaliar o time de resposta a incidentes.
Comparação Direta
| Critério | Pentest | Red Team |
|---|---|---|
| Objetivo | Descobrir vulnerabilidades | Simular um atacante real |
| Escopo | Definido tecnicamente | Objetivo definido (flag) |
| Duração | 1 a 4 semanas | 1 a 6 meses |
| Conhecimento da equipe | A empresa sabe do teste | Só a gestão sabe |
| Principal entrega | Lista de vulnerabilidades com evidência e correção | Caminho de ataque e o que foi ou não detectado |
| Custo relativo | Menor | Significativamente maior |
O Que Cada Um Entrega
O relatório de pentest lista cada vulnerabilidade com severidade, evidência, passo a passo para reproduzir e recomendação de correção. É um documento para o time técnico corrigir e para o auditor ver que o teste foi feito. Um bom pentest termina com reteste, que confirma se as correções funcionaram.
O relatório de Red Team conta uma história: por onde a equipe entrou, como avançou, o que conseguiu alcançar e, principalmente, em quais momentos a defesa percebeu ou não percebeu o ataque. As ações costumam ser mapeadas no MITRE ATT&CK, e as recomendações falam mais de detecção e resposta do que de correção pontual. A pergunta que o Red Team responde é "se alguém tentasse, nós veríamos?".
Purple Team e Assumed Breach: os Meios-Termos
Purple Team é o exercício colaborativo: o time ofensivo executa técnicas de ataque enquanto o time de defesa acompanha em tempo real e ajusta alertas e regras de detecção na hora. Rende menos realismo e mais aprendizado por dia de trabalho, e é um bom passo intermediário para quem ainda não está pronto para um Red Team completo.
Assumed breach (violação presumida) parte de um ponto já dentro da rede, como o computador de um funcionário comum, em vez de gastar semanas tentando entrar. É útil para testar o que acontece depois que alguém passa do perímetro, que é onde muitas empresas descobrem que um usuário comum chega ao administrador do domínio.
Pré-requisitos para um Red Team Valer o Investimento
- Pentests anteriores com correções feitas. Se o básico ainda está aberto, o Red Team só vai confirmar o que um pentest acharia por menos.
- Logs centralizados e alguém olhando para eles, seja um SOC interno ou terceirizado. Sem monitoramento, não há detecção para medir. Vale testar isso antes: o texto SIEM e XDR não bastam mostra como.
- Plano de resposta a incidentes, para que o exercício avalie o processo e não o improviso.
- Regras de engajamento por escrito: objetivos, o que está fora dos limites, janelas de execução e um pequeno grupo de pessoas que sabe do exercício para evitar que uma reação real cause dano à operação.
O Que Escolher?
Comece pelo pentest se nunca fez um teste formal, precisa atender compliance, tem um sistema novo ou quer um inventário de vulnerabilidades. As exigências que mais aparecem em normas e contratos, como o requisito 11.4 do PCI DSS e o teste de intrusão anual das Resoluções CMN 5.274 e BCB 538, falam em teste de intrusão. Red Team costuma ser decisão de maturidade, não de conformidade.
Evolua para Red Team quando já fez vários pentests, tem um time de defesa e quer testar detecção e resposta.
Na prática, para a maioria das empresas que nunca testou o ambiente, um pentest bem executado já é um salto grande. Red Team faz sentido quando você já passou pela fase de fechar os buracos básicos.
Perguntas Frequentes
Red Team substitui o pentest?
Não. O Red Team persegue um objetivo e para quando chega lá, então não varre o ambiente atrás de todas as falhas. O pentest continua sendo o teste que dá cobertura de um escopo e que normas e auditores pedem.
Uma campanha de phishing simulado é um Red Team?
Não. A simulação de phishing mede o comportamento das pessoas diante de um e-mail. O Red Team pode usar phishing como porta de entrada, mas segue adiante: tenta ganhar acesso, escalar privilégio e chegar ao objetivo sem ser detectado.
A equipe de TI fica sabendo do Red Team?
Em geral, não. Só um pequeno grupo, normalmente a liderança de segurança e quem pode autorizar decisões durante o exercício, sabe que ele está em andamento. É isso que permite medir a reação real do time de defesa.