red-team

Visão geral do skill red-team

Para que serve o skill red-team

O skill red-team é um skill de planejamento para simulação adversária autorizada, criado para estruturar planos de engajamento de red team, caminhos de ataque, sequências de técnicas MITRE ATT&CK, análise de choke points, notas de risco de OPSEC e direcionamento a crown jewels. Ele é mais indicado para times de segurança, consultorias, líderes de purple team e agentes de IA que precisam de um framework de planejamento repetível, em vez de um prompt improvisado de segurança ofensiva.

Ele não é um scanner de vulnerabilidades, um gerador de exploits nem um playbook de resposta a incidentes. Sua função real é ajudar você a raciocinar sobre como um adversário simulado e autorizado poderia sair de um nível de acesso definido em direção a ativos de alto valor, quais técnicas criam maior risco operacional e onde os defensores podem validar controles.

Usuários e tipos de engajamento mais adequados

Use este skill red-team quando você já tiver autorização por escrito, um ambiente com escopo definido, técnicas MITRE ATT&CK conhecidas ou candidatas e a necessidade de produzir artefatos de planejamento. Ele se encaixa bem em:

• Exercícios internos de red team com Rules of Engagement assinadas
• Análise de caminhos de ataque para crown jewels, como AD, bancos de dados, cloud storage ou sistemas de pagamento
• Planejamento de purple team em que os defensores precisam de telemetria esperada e choke points
• Discussões executivas de risco em que os caminhos de ataque precisam de pontuação de esforço e risco de detecção

Ele é menos útil se você precisa apenas de um checklist básico, descoberta de vulnerabilidades sem autenticação, desenvolvimento de malware ou triagem emergencial.

O que diferencia este skill

O diferencial útil está na estrutura de planejamento. O repositório inclui SKILL.md, um documento de metodologia de apoio em references/attack-path-methodology.md e um script auxiliar em scripts/engagement_planner.py. Juntos, eles se concentram em:

• Montagem de fases da kill chain a partir de técnicas selecionadas
• Pontuação de esforço usando risco de detecção e pré-requisitos
• Identificação de choke points ao longo dos caminhos de ataque
• Avaliação de risco de OPSEC
• Planejamento de caminhos até crown jewels

Isso dá ao skill red-team um formato operacional mais claro do que um prompt genérico do tipo “crie um plano de red team”.

Como usar o skill red-team

Instalação do red-team e ordem de leitura do repositório

Instale o skill em um ambiente Claude skills com:

npx skills add alirezarezvani/claude-skills --skill red-team

Depois da instalação, leia os arquivos nesta ordem:

1. SKILL.md — fluxo de trabalho principal, limites, anti-patterns e lógica de engajamento
2. scripts/engagement_planner.py — mostra as entradas esperadas e o modelo de saída
3. references/attack-path-methodology.md — explica grafos de caminhos de ataque, pontuação de esforço e análise de choke points

O script é especialmente útil antes de escrever o prompt, porque revela o schema prático de entrada: --techniques, --access-level, --crown-jewels, --authorized e --json.

Entradas de que o skill red-team precisa

Para usar o red-team de forma confiável, forneça mais do que um alvo vago. Boas entradas incluem:

• Status de autorização e resumo das RoE
• Objetivo do engajamento, como validação de detecção ou simulação de acesso a crown jewels
• Nível de acesso inicial: external, internal ou credentialed
• Sistemas, unidades de negócio, contas cloud ou segmentos de rede dentro do escopo
• Sistemas fora do escopo e ações proibidas
• Técnicas MITRE ATT&CK candidatas, por exemplo T1078, T1059, T1003
• Crown jewels, como “Domain Controller,” “S3 Data Lake” ou “PCI database”
• Premissas de detecção, logging e EDR
• Formato de saída exigido: plano, tabela de caminhos de ataque, registro de risco de OPSEC ou JSON

Um prompt fraco pede “um plano de red team”. Um prompt mais forte fornece restrições que o skill consegue pontuar e sequenciar.

Padrão de prompt para usar melhor o red-team

Use o skill pedindo que o agente aplique a metodologia do repositório, não apenas que a resuma. Exemplo:

Use the red-team skill to create an authorized engagement plan. We have signed RoE for a production-safe simulation against the corporate Windows domain. Starting access level is credentialed. In scope: AD, endpoint fleet, internal file shares. Out of scope: destructive actions, persistence beyond test window, password spraying, and production data exfiltration. Candidate techniques: T1078, T1059.001, T1003.001, T1550.002. Crown jewels: Domain Controller and HR file share. Prioritize attack paths by effort score and detection risk, identify choke points, list OPSEC risks, and suggest defender validation points.

Esse prompt funciona porque fornece autorização, escopo, nível de acesso, técnicas, crown jewels e expectativas de saída.

Usando o script engagement planner

O script auxiliar pode ser executado localmente a partir do diretório do skill se você quiser uma saída estruturada antes de escrever um plano narrativo:

python3 scripts/engagement_planner.py --techniques T1059,T1078,T1003 --access-level external --authorized --json

Use --list-techniques para inspecionar os IDs de técnicas compatíveis. Trate o script como um apoio de planejamento, não como autoridade completa para um engajamento. A lista de técnicas embutida é limitada; portanto, quando necessário, mapeie seu catálogo ATT&CK real e as restrições do ambiente de volta para o prompt do skill.

FAQ do skill red-team

O red-team serve para Penetration Testing?

O red-team pode apoiar trabalhos de red-team para Penetration Testing, mas é mais estreito e mais estratégico do que um checklist padrão de pentest. Testes de penetração costumam enfatizar encontrar e validar vulnerabilidades. Este skill enfatiza simulação adversária: sequenciar técnicas, modelar caminhos de ataque, identificar choke points e testar controles de detecção e resposta.

Iniciantes podem usar este skill red-team?

Iniciantes podem usá-lo para aprender planejamento estruturado de engajamentos, mas não devem tratá-lo como autorização ou permissão operacional. O skill pressupõe que você entende RoE, limites de escopo, terminologia MITRE ATT&CK, níveis de acesso e por que OPSEC importa em um exercício legítimo de segurança. Se esses conceitos não forem familiares, use-o com a revisão de um profissional sênior de segurança.

Quais são os principais bloqueios de adoção?

Os maiores bloqueios são falta de autorização, escopo vago e contexto incompleto do ambiente. O skill não consegue planejar de forma responsável em torno de “uma rede corporativa” sem nível de acesso, técnicas permitidas, ações proibidas, crown jewels e premissas de detecção. Outro bloqueio é esperar que o script incluído cubra todas as técnicas ATT&CK; ele é um planejador prático, não uma base ATT&CK completa.

Quando eu não devo usá-lo?

Não use este skill para mirar alvos sem autorização, desenvolvimento de exploits, instruções de malware, roubo de credenciais, persistência fora de um teste aprovado ou atividade live-fire sem RoE assinadas. Também evite usá-lo quando a tarefa for resposta a incidentes, coleta de evidências de compliance ou simples varredura de vulnerabilidades; esses casos exigem fluxos de trabalho diferentes.

Como melhorar o skill red-team

Melhore as saídas do red-team com restrições mais fortes

A forma mais rápida de melhorar os resultados do red-team é deixar as restrições explícitas. Inclua janela de tempo, limites de impacto ao negócio, ferramentas permitidas, técnicas bloqueadas, cobertura de logging e o que significa “sucesso”. Por exemplo, “simular acesso ao compartilhamento de arquivos de RH sem exfiltração de dados” gera um planejamento mais seguro e acionável do que “chegar aos dados de RH”.

Modos de falha comuns para observar

Fique atento a planos genéricos demais, que pulam premissas de RoE, priorizam em excesso técnicas chamativas ou ignoram risco de detecção. Outro problema comum é uma kill chain linear, sem alternativas. Peça múltiplos caminhos, pontuações de esforço, pontos prováveis de detecção e choke points em que os defensores possam medir a efetividade dos controles.

Itere depois do primeiro plano

Depois da primeira saída, faça pedidos de acompanhamento bem direcionados:

• “Re-rank paths assuming EDR detects PowerShell heavily.”
• “Remove techniques outside credentialed-access scope.”
• “Convert this into a purple-team exercise table.”
• “Add expected telemetry for each phase.”
• “Identify the minimum safe simulation steps for executives.”

Essas iterações transformam o guia de red-team em um plano específico para o seu ambiente, em vez de um template estático.

Estenda o skill para o seu ambiente

Para equipes maduras, personalize as entradas do skill com seus próprios mapeamentos ATT&CK, modelo de criticidade de ativos, premissas de visibilidade do EDR, caminhos de identidade em cloud e biblioteca de técnicas aprovadas. Você também pode adaptar engagement_planner.py para incluir restrições internas de técnicas, pontuações de detecção e definições de crown jewels. Quanto mais o skill refletir seus controles e RoE reais, mais útil será a análise de caminhos de ataque.