No mercado de cibersegurança, poucos termos são tão mal utilizados quanto wargame. Ele é vendido como pentest, confundido com Red Team e, com frequência, comprado sem que o cliente saiba exatamente o que está medindo. A confusão não é trivial: ela muda quem é avaliado, qual é o critério de sucesso e o que a diretoria recebe no relatório final.
Este artigo separa os conceitos e explica por que, em um wargame bem desenhado, o troféu não é do atacante — é do defensor.
O espectro dos exercícios ofensivos
Em vez de tratar cada serviço como uma caixa isolada, é mais útil enxergá-los em um espectro — do mais focado em "encontrar falhas" ao mais focado em "testar quem defende":
| Tipo | Pergunta que responde | Quem consome o resultado |
|---|---|---|
| Pentest | Quais vulnerabilidades existem e até onde consigo ir explorando? | Times de infraestrutura e aplicação |
| Red Team | Um adversário real atingiria um objetivo crítico sem ser detectado? | Liderança de segurança |
| Purple Team | Red e Blue juntos: o que detectamos, o que não, e como corrigir agora? | Engenharia de detecção |
| Wargame / Adversary Emulation | Diante de um cenário adversarial realista, quão bem a organização detecta, decide e responde? | Toda a operação de segurança e a gestão |
O pentest responde uma pergunta sobre vulnerabilidade. O wargame responde uma pergunta sobre capacidade defensiva. São objetivos diferentes, e tratá-los como equivalentes é a origem de quase toda frustração com esse tipo de contratação.
No pentest, o placar é do atacante
Em um pentest, o sucesso é definido pelo avanço do testador: escalar privilégio, encadear vulnerabilidades, alcançar o objetivo. Quanto mais fundo ele chega — e, muitas vezes, mais silenciosamente —, mais valioso é o resultado. O foco está em provar que o caminho existe.
Isso é essencial, mas responde a uma pergunta limitada: "é possível?". Quase sempre, a resposta é sim. Todo ambiente suficientemente complexo tem caminhos exploráveis. Saber disso raramente é o gargalo de uma operação madura.
No wargame, o placar é do defensor
Em um wargame, o Red Team também executa de verdade: escala privilégios, move-se lateralmente, coleta e exfiltra dados. A cadeia de ataque é real. A diferença está em três decisões de desenho que reposicionam completamente o exercício.
1. A métrica principal é a reação, não o avanço
O avanço do Red Team deixa de ser o objetivo e passa a ser o estímulo. O que está sob avaliação é a resposta a esse estímulo: o SOC percebeu? Em quanto tempo? Classificou corretamente? Escalou para quem devia? Conteve? É por isso que os entregáveis de um wargame giram em torno de métricas de defesa:
- MTTD (Mean Time to Detect) — tempo até a detecção
- MTTA (Mean Time to Acknowledge) — tempo até o reconhecimento do alerta
- MTTC (Mean Time to Contain) — tempo até a contenção
- MTTR (Mean Time to Respond) — tempo total de resposta
- Cobertura MITRE ATT&CK — quais técnicas foram detectadas, parcialmente detectadas ou passaram despercebidas
2. Assumed breach: presume-se que o atacante já entrou
Em vez de gastar semanas tentando arrombar a porta da frente (reconhecimento e acesso inicial), muitos wargames presumem a violação: começam com o adversário já dentro do ambiente — um insider, uma estação comprometida, uma credencial vazada. A lógica é estatística e madura: em um horizonte longo, o atacante vai conseguir entrar. O dinheiro do teste rende mais medindo o que acontece depois da porta arrombada — porque é exatamente aí que a maioria das organizações é cega.
3. TTPs representativos e observáveis — não furtividade máxima
Um Red Team clássico busca ser o mais silencioso possível para provar que passa despercebido. Em um wargame, isso seria contraproducente: se o atacante for invisível e nada for detectado, você não aprende nada sobre a maturidade dos seus controles — aprende apenas que o Red Team é bom em se esconder.
Em um wargame, cada técnica é executada de forma limpa e observável o suficiente para dar ao time de defesa a chance de detectar. A furtividade excessiva mascara a realidade que se quer medir.
O que permanece secreto para o Blue Team são os horários exatos, os vetores e as técnicas específicas — o chamado modelo semi-blind. O time sabe que algo virá; não sabe o quê nem quando. Se soubesse o cronograma, mediria teatro, não capacidade real.
Por que "o Red Team exfiltrou" não é um fracasso
Esse é o ponto que mais gera desconforto na diretoria — e o mais importante de comunicar antes do exercício. Em um wargame, o sucesso técnico do atacante não é a nota final: é um dado de entrada. A pergunta que importa não é "eles conseguiram?", e sim:
- Em quanto tempo a atividade foi detectada?
- O alerta foi corretamente priorizado ou se perdeu no ruído?
- Houve escalonamento e comunicação claros entre as equipes?
- Os playbooks existentes funcionaram sob pressão?
- Onde estão os pontos cegos de telemetria e cobertura?
Um exercício em que o Red Team avança e o Blue Team detecta, classifica e contém rapidamente é um ótimo resultado. Um exercício em que nada é detectado é o alerta mais valioso que uma organização pode receber — antes que um adversário real o faça.
Um padrão consolidado no setor financeiro
Esse modelo não é uma invenção de fornecedor. Reguladores de infraestrutura crítica formalizaram frameworks inteiros com exatamente esse DNA:
- TIBER-EU — Threat Intelligence-Based Ethical Red Teaming (Banco Central Europeu)
- CBEST — Bank of England
- iCAST / AASE — Hong Kong e Singapura
Todos compartilham os mesmos pilares: cenário baseado em ameaça real, execução ofensiva legítima, uma White Cell controlando o exercício e um Blue Team mantido semi-cego. O objetivo central, em todos, é validar a capacidade de detecção e resposta — não catalogar vulnerabilidades.
Como escolher o exercício certo
A regra prática é simples:
- Se você precisa saber onde estão as falhas de um sistema ou aplicação: pentest.
- Se você precisa saber se um adversário determinado atingiria seu objetivo mais crítico sem ser pego: Red Team.
- Se você precisa evoluir sua engenharia de detecção de forma colaborativa e imediata: Purple Team.
- Se você precisa medir e comprovar, com métricas objetivas, quão bem sua operação detecta, decide e responde sob pressão: wargame.
Maturidade de segurança não se prova com a ausência de vulnerabilidades — isso é inatingível. Prova-se com a velocidade e a qualidade da resposta quando o inevitável acontece.
Como a Antisec conduz
Na Antisec, desenhamos e executamos exercícios ao longo de todo esse espectro — de pentest e Red Team a wargames de emulação adversarial baseados em MITRE ATT&CK, com governança de White Cell, modelo semi-blind e métricas objetivas de detecção e resposta. Nosso time de Blue Team complementa o ciclo transformando cada achado em melhoria concreta de engenharia de detecção, e nossos serviços de DevSecOps e vCISO garantem que as lições aprendidas virem postura de segurança sustentável.
Se a sua organização quer parar de perguntar "é possível nos invadir?" e começar a responder "quão bem reagimos quando nos atacam?", vamos conversar.
