ARCA Console — Avaliação de Resiliência e Ciberataques Avançados

Cadeia de Ataque (PEP Planner Graph)

Succeeded

Review

Failed

Approval

🎯 Ativo Comprometido 1 Host

172.17.0.2 ROOT

Linux 2.6.24 (metasploitable.local)

21/ftp 445/smb 1524/root 8180/http 22/ssh 3306/mysql

Credenciais no Cofre (vault://)

                  vault://lab-12/mysql-root
                

                  vault://lab-12/tomcat-mgr
                

📜 OPLOG Stream tail -f

14:32:10 perceptor OK world-state v22

14:31:55 initial-acc OK samba root pwn

14:31:20 exfil APPR circuit-breaker

14:30:45 recon BLOCK gateway out-of-scope

Catálogo & Histórico de Operações de Red Team

Métricas de eficácia, tempo até comprometimento (MTTD/MTTR) e rastreabilidade dos 3 níveis de engajamento.

Exercícios Totais

12

100% sucesso em RCE

MTT-Root (Tempo Médio)

01h 18m

Média das operações

Taxa de Evasão (Blue Team)

91.7%

Apenas 8.3% detectados

Credenciais Cofradas

38

0 vazamentos

Identificador	Nível Metodológico	Alvo / Escopo	Resultado Obtido	Detecção CSIRT	Status
[LAB]2026-12	Nível 3 · Full Engagement	172.17.0.2 (Metasploitable2)	ROOT TOTAL (100%)	0 / 10	● LIVE
[LAB]2026-11	Nível 1 · Custom Scenario	172.17.0.2:3000 (Juice Shop)	DB EXFILTRADO	1 / 8	CONCLUÍDO
[FE]2026-01	Nível 3 · Full Engagement	Rede Corporativa / Domínio	DOMAIN ADMIN	2 / 15	CONCLUÍDO
[AB]2026-01	Nível 2 · Assumed Breach	10.0.20.0/24 (VPC Privada)	KERBEROAST RCE	1 / 6	CONCLUÍDO

Infraestrutura de Command & Control (AWS VPC us-east-1)

Topologia de 4 camadas: Route 53 ➔ CloudFront (Path Filter) ➔ ALB (Host & Header Validation) ➔ EC2.

NAT Gateway: 98.95.83.227

Havoc Teamserver 10.0.10.6:8443

Recepção de beacons, envio de comandos e tarefas C2. Acesso seguro via EIC endpoint.

Domínio: docs.sdasystems.org.im Header Obrigatório: X-IATec-Auth User-Agent: Chrome/120

BeEF & Extension Receptor 10.0.20.65:3000/8080

Hook de browsers corporativos e canal de exfiltração via extensão Chrome maliciosa.

Domínio Hook: api.sdasystems.org.im Domínio Exfil: metrics.sdasystems.org.im Header Token: X-Client-Token

Evilginx3 Phishing Proxy 10.0.2.26:443

Proxy reverso com bypass de MFA via NLB TCP Passthrough direto sem TLS termination.

Domínio Lures: login.sdasystems.org.im Certificados: Let's Encrypt Dinâmico Captura: Cookies & Session Tokens

Regras de Engajamento & Guardrails de Escopo (RoE)

Fronteiras operacionais aprovadas e mecanismos de deconflito em tempo real com o CSIRT.

Subnets Autorizadas (In-Scope)

172.17.0.0/16 (Laboratório Docker)

✓ Validação de Escopo: APROVADO

Alvos Estritamente Proibidos (Fail-Closed)

172.17.0.1, hospital.*, novotempo.*, rede-educacao.*

🛡️ Guardrail Ativo: Bloqueio automático sem bypass

Protocolo de Deconflito (CSIRT / SOC)

Canal de emergência estabelecido via #redteam-deconfliction no Teams/Telegram. Em caso de incidente real ou alerta de severidade crítica na rede, o código de identificação do engajamento [LAB]2026-12 deve ser fornecido para verificação imediata no OPLOG forense.

Curadoria de Skills & Auto-Evolução

Skills rascunhadas automaticamente após explorações bem-sucedidas no alvo.

auto-draft-samba-usermap.md MITRE T1190

Destilada automaticamente pelo motor após execução confirmada no nó n-acc-samba.

Manifesto de Limpeza & Higiene Forense (Fase 3: Culminação)

Reversão completa de artefatos, chaves e credenciais para deixar o alvo intacto.

ID Artefato	Tipo	Alvo	Descrição	Comando de Reversão	Status
`art-01`	Arquivo	172.17.0.2	Script /tmp/exploit.py	rm -f /tmp/exploit.py	⏳ PENDENTE
`art-02`	Chave SSH	172.17.0.2	Chave em authorized_keys	sed -i '/ARCA/d' ...	⏳ PENDENTE

Relatórios de Missão & Pirâmide da Dor (Fase 4: Relatório)

Documentação cronológica da narrativa do ataque e categorização técnica por dificuldade.

Pirâmide da Dor do Adversário (Pyramid of Pain)

🔴 TTPs (Táticas/Procedimentos): T1190 (Samba RCE), T1548.001 (SUID Nmap), T1003.008 (/etc/shadow)
🟠 Ferramentas Ofensivas: port-scanner (nmap), shell-exec (sandbox Tier1), service-probe
🟡 Artefatos de Rede: Portas 21/ftp, 445/smb, 1524/root, 8180/tomcat
🟢 Hostnames: metasploitable.localdomain
🔵 IPs de Origem / Alvos: 172.17.0.2 (alvo), 172.17.0.10 (runner efêmero)
⚪ Hashes de Provas Forenses: SHA-256 de /etc/shadow e dumps SQL extraídos
            