O que é uma Threat Emulation de infraestrutura

Além de aplicações web e APIs, você pode testar sua infraestrutura de forma contínua na plataforma: servidores e IPs expostos. Para isso, crie uma Threat Emulation do tipo Infrastructure e inclua os IPs que você quer testar.

Como funciona

O agente de IA da Strike analisa cada host separadamente:

1. Identifica a superfície exposta: quais portas, serviços e versões estão expostos, por exemplo SSH, SMTP, serviços web e painéis de administração, bancos de dados, compartilhamentos SMB/NFS ou Active Directory.

2. Planeja o que explorar: com base no que encontra, decide quais vulnerabilidades testar, por exemplo CVEs conhecidas, credenciais padrão, acessos anônimos ou configurações TLS fracas.

3. Valida com exploração real: confirma as descobertas com uma exploração real, e não apenas porque a versão de um serviço coincide com uma versão vulnerável.

4. Avança sobre o restante do escopo: reutiliza as credenciais que obtém para continuar avançando sobre os demais hosts e serviços.

Cada descoberta é reportada com descrição, passos de reprodução, impacto, remediação e severidade CVSS.

O que você pode testar

Nesta versão, uma Threat Emulation de infraestrutura aceita IPs estáticos (IPv4):

• IPs públicos expostos à internet: por exemplo servidores Windows e Linux, appliances de borda (VPN, firewalls, gateways), equipamentos de rede e serviços de aplicação expostos por IP.

• IPs privados da sua rede interna: desde que exista um acesso por VPN compatível e os IPs sejam alcançáveis por esse túnel.

Cada asset corresponde a um único IP, e uma Threat Emulation pode incluir todos os IPs de que você precisar.

Para orientar o ataque, o agente usa o contexto que você cadastra no asset: a função do host, o tipo de equipamento e a documentação técnica. Para mais detalhes, consulte O que incluir na Description de um asset e em Additional information.

Faixas de rede e domínios ainda não estão disponíveis como assets de infraestrutura. Se você precisar testá-los, entre em contato com seu CSM para fazer isso por meio de um Project.

Infraestrutura ou Web/API, não ambos

Ao criar uma Threat Emulation, você escolhe o que quer testar: Web/API ou Infrastructure. Essa escolha define quais assets você pode incluir:

• Uma Threat Emulation de infraestrutura aceita apenas IPs estáticos.

• Uma Threat Emulation de Web/API aceita apenas assets web e API, que podem ser combinados entre si como antes.

Se você precisar testar infraestrutura e aplicações web ou APIs, crie duas Threat Emulations separadas.

Consumo de créditos

Cada IP incluído na Threat Emulation consome 85 créditos por execução. O cálculo é:

IPs no escopo × 85 créditos × execuções por ano

• IPs no escopo: são contados todos os IPs que você incluiu na Threat Emulation.

• Execuções por ano: dependem da recorrência. Mensal equivale a 12 execuções por ano, trimestral a 4 e semestral a 2. Com a recorrência desativada, é uma única execução.

Exemplo: uma Threat Emulation com 3 IPs e recorrência trimestral consome 3 × 85 = 255 créditos por execução, ou seja, 1.020 créditos por ano.

Se você ativar Human hacking, cada execução soma uma human review, igual a Web/API. Enquanto você configura, o card de estimativa mostra o consumo total. Para mais detalhes, consulte Créditos: o que são e como são consumidos.

Antes da primeira execução

• Adicione os IPs da Strike ao seu firewall. Para mais detalhes, consulte Como autorizar os IPs da Strike.

• Se os IPs estiverem em uma rede privada, configure o acesso por VPN. Para mais detalhes, consulte Acesso à sua rede interna via VPN.

O Pre-flight Check não se aplica às Threat Emulations de infraestrutura. Se um IP não estiver acessível, o problema é detectado durante a execução. Por isso, é importante revisar a conectividade antes de confirmar.

Perguntas frequentes

Posso incluir IPs e aplicações web na mesma Threat Emulation?

Não. Uma Threat Emulation é de infraestrutura ou de Web/API. Se você precisar de ambas, crie duas Threat Emulations.

Posso testar uma faixa de IPs ou um domínio?

Ainda não como asset de infraestrutura. Por enquanto, você pode testá-los por meio de um Project. Entre em contato com seu CSM para coordenar.

Posso configurar uma Focused ou uma Change-based sobre infraestrutura?

Não. As Threat Emulations de infraestrutura são do tipo Full security.

Posso cadastrar credenciais SSH ou de Active Directory para um teste autenticado?

Ainda não. Por enquanto, as Threat Emulations de infraestrutura são executadas sem credenciais.

Posso solicitar um retest de uma vulnerabilidade de infraestrutura?

Por enquanto, o retest não está disponível para vulnerabilidades de infraestrutura.

Um IP que não responde consome créditos?

Sim. São contados todos os IPs incluídos na Threat Emulation, mesmo que algum não esteja acessível durante a execução. Se isso acontecer, entre em contato com seu CSM para revisar seu caso e definir como seguir.