Red Team · 2026-05-13 · 18 min de leitura

Red Team Assessment: o guia completo do decisor

TL;DR

Red Team Assessment é uma simulação realista de ataque conduzida por especialistas que imitam táticas, técnicas e procedimentos (TTPs) de adversários reais para testar não apenas suas defesas técnicas, mas a capacidade do seu time de detectar e responder. Custa entre R$ 180 mil e R$ 700 mil no Brasil, leva de 8 a 16 semanas, e só faz sentido quando você já tem um SOC funcional, um programa de pentest maduro e um plano de resposta a incidentes ativo. Se nada disso existe, contrate pentest antes — Red Team em ambiente imaturo vira teatro caro.

Se você está lendo isto, provavelmente recebeu uma proposta de Red Team na mesa e está tentando entender se a fatura faz sentido, se sua empresa está pronta, e o que vai mudar no dia seguinte à entrega do relatório. Este guia foi escrito para o decisor — CISO, head de TI, diretor de risco, CFO que aprova budget de cibersegurança — não para o técnico que vai executar.

Em 2026, a contratação de Red Team no Brasil deixou de ser exótica. Bancos médios, fintechs reguladas pelo BCB, saúde com dado sensível e e-commerce de alto ticket já consideram Red Team uma prática esperada — e muitas vezes exigida em contratos enterprise. Mas a maioria das empresas que contrata, contrata mal: escopo errado, fornecedor errado, momento errado. O resultado é um relatório bonito que vira PowerPoint de board e morre na gaveta.

Vamos passar pelos cinco pontos que importam de verdade: o que é (sem o marketing), quando vale, quanto custa, como escolher fornecedor, e o que esperar de retorno mensurável.

1. O que é Red Team Assessment (sem o marketing)

Red Team Assessment é uma simulação adversarial controlada. Um time externo de especialistas em ofensiva tenta atingir objetivos específicos — exfiltrar uma base de dados, comprometer um servidor crítico, acessar um sistema interno restrito — usando o conjunto mais amplo possível de táticas que um adversário real usaria. Phishing, exploração técnica, engenharia social, acesso físico se contratado, persistência de longo prazo.

O ponto que muita gente erra: Red Team não é sobre achar vulnerabilidades. É sobre testar a cadeia inteira de defesa, detecção e resposta da sua empresa contra um adversário pensante. A pergunta que um Red Team responde não é "tenho vulnerabilidades no ambiente?" (essa é a pergunta do pentest). A pergunta é: "se um grupo organizado de atacantes me tivesse como alvo durante 2 meses, ele conseguiria atingir nossos ativos críticos antes do meu SOC detectar e do meu time responder?"

Essa diferença muda absolutamente tudo:

Quem ainda não distingue Red Team de Pentest deveria ler nosso comparativo Pentest vs Red Team antes de seguir adiante — boa parte das propostas ruins que circulam no mercado são pentest sendo vendido como Red Team.

2. Quando faz sentido contratar (e quando não faz)

Esse é o ponto mais importante deste artigo. Red Team é caro, demorado e politicamente sensível dentro de uma empresa. Em ambiente imaturo, ele não entrega valor — ao contrário, gera frustração ("o time não detectou nada, óbvio") e custo sem aprendizado.

Pré-requisitos para Red Team valer a pena

Antes de pensar em Red Team, sua empresa precisa ter:

  1. SOC ou MDR operacional há pelo menos 6 meses. Se você não tem capacidade de detecção, não há o que medir. O Red Team vai "vencer" no primeiro dia e o relatório vai ser inútil.
  2. Programa de pentest maduro. Pentest anual em todos os ativos críticos, com tratamento dos findings. Se as vulnerabilidades básicas não foram resolvidas, o Red Team vai gastar tempo explorando o óbvio — você está pagando preço de bordeaux para tomar suco de uva.
  3. Plano de resposta a incidentes (IR) documentado e exercitado. Sem isso, quando o Red Team for detectado, ninguém vai saber o que fazer e a operação vai parar.
  4. Patrocínio executivo claro. O CEO ou pelo menos um C-level precisa estar no White Cell. Sem isso, na primeira fricção interna o exercício acaba.

Se algum desses quatro itens não existe, contrate pentest antes. Não por dois ou três meses — por dois anos. Construa o programa de pentest e amadureça o SOC primeiro. O ROI vai ser radicalmente maior.

Quando Red Team é a coisa certa

3. Quanto custa um Red Team no Brasil em 2026

Vamos ao número. As três faixas mais comuns no mercado brasileiro:

Faixa entry (R$ 180 mil – R$ 280 mil)

Faixa enterprise (R$ 300 mil – R$ 500 mil)

Faixa Tier-1 / TIBER-style (R$ 550 mil – R$ 700 mil+)

Para um detalhamento por componente — escopo, headcount, tooling, complexidade — leia nosso artigo Quanto custa um Red Team no Brasil em 2026.

O que NÃO entra no preço (e às vezes deveria)

Cuidado com propostas que parecem baratas. Pergunte explicitamente se o valor inclui:

Sem esses itens, o "Red Team" que você comprou é um pentest profundo. Pode ter valor — mas não é o que está vendendo na capa.

4. Como escolher fornecedor (12 perguntas que separam profissionais de teatro)

Esta seção é a que mais salva budget. A maioria das empresas escolhe fornecedor de Red Team por três critérios ruins: indicação de outro CISO sem checagem, marca conhecida, ou menor preço. Os três são insuficientes.

Perguntas técnicas obrigatórias

  1. "Quem são os operadores que vão estar na minha conta? Vejo CVs?" Você está comprando pessoas, não logos. Peça nomes, certificações (OSCP/OSEP/CRTO/CRTL é o mínimo) e cases públicos (CVEs descobertas, talks, write-ups).
  2. "Qual o framework de TTPs vocês usam? Como vai mapear no relatório?" A resposta certa menciona MITRE ATT&CK explicitamente e mostra um sample de relatório anonimizado com TTPs mapeadas. Leia mais em Adversary Emulation e MITRE ATT&CK.
  3. "Vocês têm tooling próprio ou usam Cobalt Strike/Sliver/Mythic?" Mix saudável é: framework conhecido + customizações próprias para evasão. Quem só usa Cobalt Strike default vai ser detectado por qualquer EDR moderno em horas.
  4. "Como vocês simulam um grupo específico?" Se a resposta é genérica, eles não fazem adversary emulation real — fazem pentest extenso. Adversary emulation envolve estudar TTPs específicas de um grupo (APT29, FIN7, Lazarus etc.) e replicá-las.
  5. "Vocês fizeram quantos Red Teams nos últimos 24 meses? Quantos em empresas do meu porte/setor?" Volume importa para maturidade do processo. Mas peça referências verificáveis — não só logo.
  6. "Em quanto tempo conseguem aquecer infraestrutura OPSEC para meu cenário?" Resposta abaixo de 2 semanas é red flag. Quem leva esse tempo a sério precisa de domínios pré-existentes com histórico, IPs limpos, certificados envelhecidos.
  7. "Como tratam Initial Access se eu não autorizar phishing?" Times bons têm múltiplos vetores no playbook. Times ruins ficam travados.
  8. "Qual a política de vocês se um operador descobrir 0-day no ambiente?" Resposta correta: divulgação coordenada, sem usar fora do escopo, registro detalhado. Se não tem política, vão usar contra outro cliente depois.

Perguntas comerciais e contratuais

  1. "Quem assina o NDA? Quem pode ver o relatório?" Restrição máxima ao acesso ao relatório. Idealmente, 5 ou menos pessoas na sua empresa veem a versão completa.
  2. "Como funciona o seguro de responsabilidade civil? Em quanto?" Profissionais têm seguro de pelo menos R$ 5 milhões. Sem isso, você é o cofiador de qualquer dano acidental.
  3. "O contrato prevê 'safe harbor' para acessos não-intencionais a dados sensíveis?" Em operações longas, é normal o operador ver dados que não deveria. O contrato precisa lidar com isso (descarte, não-uso, log).
  4. "Em que momento vocês param se houver indício de comprometimento real (não-Red-Team)?" O contrato deve dizer claramente: ao detectar atividade adversária real, o Red Team congela, comunica White Cell, e ativa-se IR. Quem não pensa nisso vai dar trabalho.

Para um guia mais profundo sobre avaliação de propostas, veja Como avaliar um relatório de Red Team: 12 perguntas do decisor.

5. Métricas e o que esperar como retorno

"Como vou justificar isso pro CFO?" — esta é a pergunta que define se o Red Team vira investimento recorrente ou exercício único. As métricas que importam para o board:

Métricas operacionais (defensáveis em qualquer auditoria)

Para entender como o board lê esses números, leia MTTD e MTTR: as métricas que o board exige.

Métricas estratégicas (para o CFO/CEO)

6. Erros mais caros que vejo decisores cometerem

Erro 1: Contratar Red Team para "checkbox" de auditoria

Se a única razão é uma linha no relatório anual, contrate pentest profundo, custa metade e dá a mesma evidência para a maioria das auditorias. Red Team é caro porque o valor está no exercício, não no certificado.

Erro 2: Contratar fornecedor que faz também o pentest e gerencia o SOC

Conflito de interesse insolúvel. Quem cuida da defesa não pode atacar — vai inconscientemente evitar mostrar suas próprias falhas operacionais. Red Team precisa de fornecedor independente.

Erro 3: Não definir objetivos claros

"Tentem nos hackear" é um pedido de pentest. Red Team começa com 3-5 objetivos específicos e mensuráveis: "obter acesso ao sistema de pagamentos com privilégio admin", "exfiltrar a base de dados de cartões sem detecção", "acesso ao Active Directory Tier 0". Sem objetivos, não há critério de sucesso.

Erro 4: Esconder do Blue Team que vai ter Red Team no ano

Surpresa serve para teste único de detecção. Mas se o Blue Team nunca soube que iria acontecer, eles não tiveram tempo de melhorar runbooks, ajustar tooling, treinar pessoal. O segundo exercício deveria ser anunciado em janela (não data) para que o time tenha tempo de se preparar — assim o que você mede é a melhoria, não o susto.

Erro 5: Tratar o relatório como "achados"

Relatório de Red Team não vira ticket no Jira do mesmo jeito que vira o relatório de pentest. Cada finding precisa virar projeto de detecção, projeto de hardening, ou projeto de processo. Quem trata como bug list desperdiça 80% do valor.

7. O dia depois: o que você faz com o relatório

Esta é a parte que ninguém te conta na hora da venda. O relatório chega, são 80-150 páginas, e agora?

  1. Hot wash em 48 horas com TI, Segurança, SOC e White Cell. Sem cobranças. Foco em "o que aprendemos".
  2. Tradução em projetos: Cada finding gera 1 de 3 tipos de projeto — detecção (regra nova no SIEM), hardening (config segura), processo (runbook ou treinamento). Nada vira "ticket de bug" puro.
  3. Plano de remediação com datas e donos, revisado pelo CISO mensalmente.
  4. Re-teste em 6 meses: pentest focado nas correções, custo 10-15% do Red Team original.
  5. Próximo Red Team em 12-18 meses, com cenário diferente — não repita o mesmo playbook.

Quem segue esse fluxo extrai 5x mais valor que quem só lê o relatório e arquiva. É a diferença entre R$ 300 mil bem investidos e R$ 300 mil que viraram custo afundado.

Conclusão para o decisor

Red Team Assessment é uma das ferramentas mais poderosas para validar que seu programa de segurança funciona — quando a empresa está madura o suficiente para extrair valor dele. Se você tem SOC funcional, pentest anual fluindo, IR exercitado e patrocínio executivo, Red Team é o próximo passo natural e tem retorno mensurável em redução de tempo de detecção, melhoria de cobertura de TTPs, e — mais importante — preparo real para crise.

Se você ainda não tem essa base, Red Team vira teatro caro. Construa a base primeiro. O investimento de R$ 60 mil/ano em pentest sólido durante dois anos rende mais que um Red Team de R$ 400 mil em ambiente despreparado.

Antes de assinar qualquer proposta, faça as 12 perguntas da seção 4. As respostas vão te dizer mais sobre o fornecedor que qualquer pitch comercial.

Leitura relacionada

Quanto custa um Red Team no Brasil em 2026
2026-05-18 · 11 min
Red Team vs Pentest vs BAS: qual contratar e quando
2026-05-22 · 10 min
Pentest vs Red Team: qual a diferença e quando usar cada um
2026-05-11 · 7 min