Um Red Team Assessment é uma simulação de ataque conduzida sem aviso ao time de defesa, que mede até onde um adversário consegue chegar dentro da empresa e se alguém percebe enquanto ele avança. O resultado é uma leitura do risco residual: o que um atacante conseguiria fazer hoje, com o que já está exposto.
Essa diferença pesa na contratação. Quem espera uma lista de vulnerabilidades costuma se frustrar, porque o produto de um Red Team é uma cadeia de ataque com evidência e uma avaliação da resposta da defesa.
Qual a diferença entre Red Team e pentest?
O pentest parte de um escopo de sistemas e verifica se eles têm falhas exploráveis. O Red Team parte de um objetivo de negócio, como chegar ao ambiente de pagamentos, acessar a base de clientes ou obter controle do domínio, e deixa o caminho em aberto.
A outra diferença está em quem sabe do exercício. No pentest, o time de TI acompanha o teste. No Red Team, apenas duas ou três pessoas sabem, para que a detecção seja medida em condições reais. Uma auditoria confirma que a ferramenta de detecção existe; o Red Team verifica se ela gerou alguma reação. A comparação completa está no artigo sobre pentest, Red Team e Purple Team.
Quanto tempo leva um Red Team?
Duas modalidades cobrem a maior parte dos casos: quatro ou oito semanas. A movimentação lateral é cumulativa, porque cada acesso novo abre caminhos que antes não existiam. Por isso, mais tempo resulta em mais profundidade. Prazos menores podem atender objetivos mais restritos; a proposta deve explicitar quais cenários, limites e atividades cabem na janela contratada.
O que os testes mostram sobre as empresas brasileiras
O Panorama do Risco Cibernético 2026, estudo da Vultus com 132 organizações de 11 setores avaliadas em Red Team Assessments, registrou KillChain Score médio de 8,28 numa escala de 0 a 10. Uma vez obtido o acesso inicial, a cadeia tende a avançar até níveis altos de impacto.
Os dados globais apontam na mesma direção. O relatório M-Trends 2026, do Google Cloud, mostra que o tempo mediano de permanência de um invasor antes de ser detectado subiu de 11 para 14 dias em 2025, e que o intervalo entre o acesso inicial e a entrega desse acesso a um segundo grupo caiu para 22 segundos.
A entrada costuma acontecer por identidade. Em 38,1% das simulações havia ambiente em nuvem sem autenticação multifator, e em 35,7% a tentativa de senhas previsíveis em escala funcionou. Para entender como essas etapas se encadeiam, veja o que é cyber kill chain.
Detecção: quando o alerta existe e ninguém age
Considere uma indústria fictícia com SOC terceirizado e ferramenta de detecção em todas as estações. A credencial de VPN de um fornecedor de manutenção circula num pacote de dados roubados e permite um acesso com aparência legítima. No segundo dia, o SOC gera um alerta de comportamento anômalo, que o analista classifica como falso positivo por se tratar de um fornecedor conhecido.
A fase de testes de detecção existe para registrar esse tipo de situação: a ferramenta registrou o evento e a operação não reagiu. O relatório mostra a cadeia, o tempo até a detecção e as correções em cada ponto, como segundo fator para acessos de terceiros, revisão de privilégios de contas de serviço e ajuste do playbook de triagem.
As fases de um Red Team Assessment
Na metodologia da Vultus, o exercício segue oito fases. A profundidade varia com o prazo, mas a sequência se mantém:
- Definição de escopo: limites de execução, janelas, pontos de contato para risco crítico e cenários-objetivo.
- Reconhecimento: serviços e ativos expostos, credenciais vazadas e dados sensíveis disponíveis publicamente.
- Exploração: evasão de defesas, obtenção de credenciais e escalação de privilégios, com testes manuais.
- Análise e priorização: novos ativos alcançados, alternativas de movimentação lateral e definição das cadeias de ataque.
- Execução das kill chains: persistência, exfiltração controlada e evidência de cada passo.
- Testes de detecção: tempo de resposta, alcance da detecção e eficiência das ações de defesa.
- Relatório executivo: indicadores de impacto e probabilidade, comparados a referências de mercado.
- Reteste e governança: confirmação das correções e acompanhamento da evolução.
Quando um Red Team faz sentido
O exercício traz mais valor quando a empresa já tem controles implementados e quer saber se eles funcionam sob pressão. Sem gestão de vulnerabilidades, inventário de ativos ou política de acessos, o Red Team tende a confirmar o que já se suspeitava. Nesse estágio, uma avaliação de maturidade costuma ser o primeiro passo.
Em setores com exigência regulatória de teste de intrusão independente, vale verificar o que a norma pede antes de definir o escopo, porque requisitos de periodicidade e cobertura podem não ser atendidos por um exercício de objetivo aberto.
Red Team com reteste e acompanhamento
No Red Team da Vultus, o reteste e três meses de acompanhamento fazem parte da entrega, para confirmar que as correções fecharam o caminho demonstrado. Conheça o Red Team Assessment da Vultus e veja como o pentest autônomo com IA complementa o exercício com validação recorrente.
