Hackers do Brasil › blue team
Central de blue team
Esta página organiza o material de defesa publicado pelo Hackers do Brasil. Em vez de repetir o guia técnico, ela mostra o caminho: o que ler primeiro, onde está o conteúdo detalhado, o que dá para praticar em laboratório e como decidir entre time interno e serviço terceirizado.
Por onde começar
- Entenda a função. Comece pelo guia completo de blue team, que descreve o que o time faz, quais fontes de telemetria importam e como a engenharia de detecção funciona na prática.
- Veja o outro lado. Regra que pega comportamento só existe se você souber o que o atacante faz. Red team e pentest explicam a técnica que você precisa detectar.
- Pratique com telemetria real. Evento de autenticação, processo em endpoint e consulta DNS já bastam para montar o primeiro caso de uso. Laboratório e trilhas ficam na plataforma.
O que cada material cobre
Papel do time, fontes de telemetria, ferramentas, engenharia de detecção e resposta a incidente.
Campanha de adversário simulada: o que a defesa precisa aguentar e onde ela costuma falhar.
Como o teste ofensivo é executado, para entender de onde vem o alerta que o SOC recebe.
Exposição de informação e reconhecimento: metade do trabalho de caça a ameaça começa aqui.
Como um comprometimento aparece no log e o que indica que a resposta chegou tarde.
PortSwigger, Hack The Box e Malwarebytes: para quem serve cada plataforma de estudo.
Time interno, MSSP ou híbrido
A pergunta que a maioria responde errado não é "qual ferramenta comprar", e sim "quem responde às três da manhã". Contratar MSSP resolve cobertura de horário e volume de alerta; não resolve conhecimento do seu ambiente. Manter time interno resolve contexto; não resolve madrugada nem féria.
O arranjo que costuma funcionar é híbrido e explícito: o provedor cobre monitoramento e triagem de primeiro nível com SLA escrito, e a empresa mantém alguém com poder de decisão para contenção, mais um responsável por engenharia de detecção. Sem esse dono interno, o serviço vira relatório mensal que ninguém lê.
Antes de assinar, peça três coisas: o caso de uso que será entregue no primeiro mês, a métrica de tempo até o alerta e o procedimento de escalonamento com nome e telefone. Proposta que não descreve isso está vendendo ferramenta, não operação.
- Quem acorda de madrugada, com nome e telefone
- Qual alerta chega ao cliente e em quanto tempo
- Quem é o dono da regra de detecção
- Como o reteste fecha o ciclo depois de um incidente
Comece pela telemetria que você já tem. Log de autenticação, inventário de ativos e alerta de alteração em plano de controle de nuvem cobrem boa parte dos incidentes reais — e não custam licença nova. Ferramenta só entra depois que existe pergunta a responder.
Dúvidas de quem está entrando na defesa
Preciso de SIEM licenciado para começar?
Não. Log de autenticação de domínio, evento de processo em endpoint e registro de DNS, reunidos em um indexador aberto, já ensinam o ciclo completo de detecção: hipótese, consulta, alerta e ajuste. SIEM comercial resolve escala e retenção, não a falta de caso de uso.
Blue team e DFIR são a mesma equipe?
Não necessariamente. DFIR é resposta a incidente e análise forense, normalmente acionada quando algo já aconteceu. Blue team é o escopo maior, que inclui prevenção por configuração, detecção contínua e resposta. Em empresa pequena, as duas funções ficam na mesma pessoa — o que muda é o processo, não o cargo.
Quanto tempo leva para montar um laboratório de detecção?
Um fim de semana resolve o básico: uma máquina virtual Windows com auditoria habilitada, uma Linux com auditd, os dois enviando log para o mesmo indexador. O que consome tempo é escrever o primeiro caso de uso e calibrar o falso positivo, não a instalação.