Como criar uma Threat Emulation

Uma Threat Emulation agrupa um ou mais assets e os testa como uma única unidade. Criá-la tem duas etapas: primeiro você define o escopo (o que será testado) e depois a configuração (como e quando será testado).

Passo 1: Criar a Threat Emulation

1. Acesse Threat Emulations na barra lateral.

2. Clique em + New threat emulation. Se você ainda não tem nenhuma, clique em + Create threat emulation.

3. Escreva um título em Title. Use um nome que faça sentido para o seu negócio, por exemplo "Home banking" ou "Fluxo de pagamentos".

4. Clique em Start scoping.

Você pode alterar o título depois: passe o cursor sobre o título e clique no ícone de edição.

Passo 2: Definir o escopo

Na etapa Scoping você escolhe quais assets incluir na Threat Emulation. Você pode combinar assets novos e assets que já tem no seu inventário.

• Adicionar um asset novo: escreva um entry point (um domínio ou um path, por exemplo status.example.com ou /checkout) e clique em +.

• Adicionar assets do seu inventário: clique em Browse inventory e selecione os assets que deseja incluir.

Paths a testar por asset

Para cada asset você define quantos paths testar em Paths to test. Um path é uma página, endpoint ou rota de API do asset.

• O valor padrão é 40 paths.

• Se o asset tiver credenciais configuradas, você pode ajustar o valor. O mínimo é 5.

• Se o asset não tiver credenciais (modo blackbox), o valor fica fixo em 40.

O testing é interrompido ao atingir o limite de paths que você definiu em cada asset. Se a superfície real for maior, o restante não é testado nessa execução.

A quantidade de paths impacta o consumo de créditos. Para mais detalhes, consulte Créditos: o que são e como são consumidos.

Credenciais

Para configurar credenciais em um asset, clique em Set up na linha do asset. Com credenciais, o agente de IA da Strike também pode testar o que está atrás do login.

Se pelo menos um asset não tiver credenciais, a plataforma mostra um aviso antes de você continuar. Você pode escolher Add credentials para adicioná-las ou Keep testing in blackbox para seguir sem elas. No modo blackbox, só é testado o que é publicamente acessível.

Antes de testar

No painel Before we test, revise duas coisas:

• Requires VPN / jump host: ative se os seus assets estiverem em uma rede privada. Escolha o tipo de protocolo e envie o arquivo de configuração. Para mais detalhes, consulte Acesso à sua rede interna por meio de VPN.

• Allowlist these IPs: adicione os IPs da Strike ao seu firewall ou WAF para que o testing funcione corretamente. Para mais detalhes, consulte Como autorizar os IPs da Strike.

Quando terminar, clique em Continue to configuration.

Passo 3: Configurar o testing

Na etapa Test configuration você escolhe o tipo de testing e o configura.

Full security

• Depth: escolha Medium (uma passada completa sobre toda a superfície) ou Deep (inclui cadeias de exploração, lógica de negócio e abuso de autenticação).

• Recurrence: ative para que o teste seja executado automaticamente a cada mês, trimestre ou semestre (Monthly, Quarterly ou Semiannual). Se deixar desativado, ele é executado uma única vez.

• Human hacking: ative para que um especialista em segurança teste manualmente os assets no escopo, junto com o agente de IA da Strike.

• Schedule start: ative para escolher a data e a hora de início do testing. Se deixar desativado, o testing começa ao confirmar.

• Additional information: opcional. Conte-nos qualquer detalhe importante sobre como funciona o seu escopo, por exemplo fluxos críticos, comportamentos especiais ou requisitos de autenticação. Para mais ideias, consulte O que incluir no contexto.

Focused

• Depth: igual ao Full security.

• Goal: descreva o fluxo, a funcionalidade ou a área de vulnerabilidade em que o teste deve se concentrar. Por exemplo: "Testar o fluxo de recuperação de senha e o tratamento de expiração de sessão".

• Additional information: opcional.

Change-based

• Repositories: selecione os repositórios a monitorar. As mudanças nesses repositórios disparam um teste, mas não modificam o escopo. Você precisa ter o GitHub conectado no nível da organização; se não estiver, clique em Connect GitHub.

• Test trigger: escolha Per pull request (é executado quando é feito o merge de um pull request na branch principal) ou Per release (é executado quando um novo release é publicado).

• Additional information: opcional.

Para mais detalhes, consulte Como configurar o Change-Based Testing.

Restrições

Em Full security e Focused você pode definir regras que se aplicam a toda a Threat Emulation. São opcionais:

• Exclude tests: escolha os tipos de teste intrusivos que você não quer que sejam executados, por exemplo Denial of Service (DoS) & Stress Testing ou Destructive Payloads.

• Schedule restrictions: bloqueie faixas de horário em que não é possível testar. Você pode definir um ou mais períodos por dia, ou bloquear o dia inteiro, e escolher o fuso horário.

• Rate limit: defina a quantidade máxima de requests por minuto que o testing pode enviar.

Estimativa de créditos

Enquanto você configura, o card de estimativa mostra quantos créditos a Threat Emulation vai consumir e é recalculado a cada mudança. Em How it is calculated você pode ver o detalhe do cálculo.

O card também indica se o consumo cabe no seu plano:

• Healthy: cabe com folga.

• Low margin: cabe, mas sobra pouca margem.

• Over budget: seus créditos não são suficientes para todas as execuções programadas. Adicione créditos ou reduza o escopo.

Configurar a Threat Emulation não consome créditos. Eles só são consumidos quando cada execução começa.

Passo 4: Revisar e confirmar

1. Clique em Review & confirm (em Change-based, Confirm & enable).

2. Revise o resumo: escopo, tipo de testing, quando é executado e o custo estimado.

3. Clique em Confirm and run.

Se nesse momento houver uma restrição de horário ativa, a Threat Emulation fica em espera até a próxima faixa habilitada.

Perguntas frequentes

Posso incluir assets que já tenho no inventário?

Sim. Clique em Browse inventory na etapa Scoping. Você pode combiná-los com assets novos na mesma Threat Emulation.

O que acontece se o meu asset tiver mais paths do que o limite que defini?

O testing é interrompido ao atingir o limite. Os paths restantes não são testados nessa execução.

Por que não consigo alterar o limite de paths de um asset?

Porque o asset não tem credenciais configuradas. No modo blackbox, o limite fica fixo em 40. Configure credenciais com Set up para poder ajustá-lo.

Posso executar um Full security uma única vez?

Sim. Deixe o switch Recurrence desativado.