Bellacosa Mainframe e o red team

☕ Um Café no Bellacosa Mainframe — Especial Red Team

SAVE FERRIS — Red Team para Quem Aprendeu que o Sistema Também Mata Aula

🎬 Ferris Bueller, engenharia social, computadores, confiança e a estranha arte de descobrir que o sistema acredita mais no banco de dados do que nos próprios olhos

Chicago, 1986.

Não existe ChatGPT.

Não existe LinkedIn.

Não existe Zero Trust.

Não existe SOC com 14 monitores mostrando mapas vermelhos enquanto alguém grita SEV-1.

Não existe MFA perguntando se você realmente é você.

Não existe aquele maravilhoso ritual moderno:

Digite sua senha.

Digite o código enviado ao celular.

Confirme no aplicativo.

Resolva o CAPTCHA.

Selecione todas as imagens contendo semáforos.

Sua sessão expirou.

Em algum lugar dos Estados Unidos, porém, existe algo muito mais perigoso.

Um adolescente inteligente.

Um computador.

Um telefone.

Muito tempo livre.

E uma instituição absolutamente convencida de que seus procedimentos funcionam.

Senhoras e senhores:

Ferris Bueller acaba de entrar no Red Team.

---

💾 Antes do Kali Linux havia Ferris Bueller

Quando pensamos em Red Team, é fácil imaginar uma sala escura.

Monitores.

Terminal Linux.

$ whoami
root

Um sujeito de capuz olhando para hexadecimal enquanto uma música eletrônica toca ao fundo.

Hollywood fez um belo estrago na nossa imaginação.

O verdadeiro atacante nem sempre começa procurando uma vulnerabilidade tecnológica.

Ele procura uma suposição.

Ferris Bueller é praticamente uma coleção ambulante delas.

A escola supõe que os alunos obedecerão.

Os pais supõem que o filho doente permanecerá na cama.

O restaurante supõe que alguém suficientemente convincente dizendo ser uma pessoa importante provavelmente seja essa pessoa.

O diretor supõe que perseguir Ferris resolverá o problema.

As pessoas supõem que aquilo que aparece no computador corresponde à realidade.

E Ferris?

Ferris pergunta silenciosamente:

“E se não corresponder?”

Bem-vindo ao Red Team.

---

🖥️ O computador da escola sabe quantas vezes Ferris faltou

Existe uma cena particularmente deliciosa para qualquer pessoa que passou a vida trabalhando com sistemas.

O registro escolar mostra as faltas de Ferris.

E então aquela informação começa a mudar.

A máquina registra uma realidade.

Ferris altera o registro.

A realidade administrativa muda junto.

Não importa que o corpo físico de Ferris tenha faltado.

Não importa que professores tenham visto sua cadeira vazia.

Não importa que alguém tenha contado suas ausências.

Para a burocracia, existe uma fonte oficial da verdade.

E a fonte oficial diz:

menos faltas.

Quarenta anos depois, continuamos cometendo exatamente o mesmo erro.

Só que agora chamamos isso de:

Single Source of Truth.

---

☕ “Mas está no sistema!”

Quem trabalha há algumas décadas com tecnologia conhece essa frase.

— O pagamento foi feito?

— Está no sistema.

— O cliente tem autorização?

— Está no sistema.

— O funcionário ainda trabalha aqui?

— Está no sistema.

— Esse usuário pode executar essa transação?

— Está no sistema.

— Esse processo realmente aconteceu?

— Está no sistema.

Maravilhoso.

Agora vem a pergunta desagradável do Red Team:

Quem pode alterar o sistema?

Essa pequena pergunta transforma uma tarde tranquila em uma reunião com Segurança, Auditoria, Compliance, Infraestrutura, Desenvolvimento e um gerente olhando para o teto.

Porque dados não são verdade.

Dados são representações da verdade.

E representações podem ser modificadas.

---

🔴 Red Team não pergunta apenas “é seguro?”

Essa talvez seja uma das diferenças fundamentais.

Uma organização olha para seu ambiente e pergunta:

“Estamos seguros?”

O Red Team pergunta:

“Como eu quebraria isso?”

Mas existe uma pergunta ainda melhor:

“O que vocês precisam acreditar para que isso funcione?”

Porque toda arquitetura possui pressupostos.

O usuário protegerá a senha.

O funcionário reconhecerá uma tentativa de fraude.

O administrador não abusará do privilégio.

O fornecedor protegerá sua integração.

O sistema legado receberá dados confiáveis.

A API será chamada apenas pelos sistemas autorizados.

O operador perceberá uma anomalia.

O backup funcionará.

O log não poderá ser alterado.

A IA reconhecerá uma instrução maliciosa.

Ferris Bueller olha para essa lista e sorri.

---

📞 Cameron, precisamos de você

Um dos aspectos mais interessantes de Curtindo a Vida Adoidado é que Ferris raramente depende de uma única técnica.

Ele combina recursos.

Computador.

Telefone.

Conhecimento das pessoas.

Improvisação.

Timing.

Cameron.

Sloane.

Expectativas sociais.

Autoridade.

Confusão.

Isso é muito mais próximo de uma operação adversarial real do que a imagem do hacker apertando freneticamente um teclado.

Imagine uma organização com cinco controles.

Firewall
   ↓
MFA
   ↓
EDR
   ↓
SIEM
   ↓
SOC

Parece formidável.

Agora imagine:

Atacante
   ↓
Funcionário
   ↓
Processo legítimo
   ↓
Credencial legítima
   ↓
Sistema legítimo

Houston...

Temos um problema.

O atacante não atravessou o firewall.

O firewall deixou o usuário autorizado entrar.

---

🌭 Abe Froman, o Rei da Salsicha de Chicago

E então chegamos a uma das minhas partes favoritas.

Ferris precisa de uma identidade.

Surge:

Abe Froman.

O Sausage King of Chicago.

É absurdo.

É maravilhoso.

E funciona porque identidade é uma construção social antes de ser uma construção tecnológica.

Você não precisa necessariamente demonstrar quem é.

Às vezes basta convencer alguém de que deveria ser aquela pessoa.

Esse princípio continua vivo em 2026.

Mudaram apenas as ferramentas.

Hoje temos:

Identity
↓
Authentication
↓
Authorization
↓
Privilege
↓
Action

E segurança moderna tenta impedir que uma coisa seja confundida com a seguinte.

Conhecer meu nome não prova que você sou eu.

Possuir minha senha não deveria necessariamente provar que você sou eu.

Conseguir autenticar-se não deveria significar que pode acessar tudo.

Ter acesso não deveria significar poder alterar qualquer coisa.

E poder alterar alguma coisa não deveria significar fazê-lo sem deixar evidências.

É por isso que Red Team adora identidades.

Porque organizações são construídas sobre confiança.

---

🔎 OSINT: Ferris conhece o ambiente

Existe outra característica fundamental.

Ferris presta atenção.

Ele conhece pessoas.

Conhece comportamentos.

Conhece horários.

Conhece relações.

Conhece expectativas.

Conhece a linguagem necessária para representar determinado papel.

Em segurança moderna chamamos parte disso de OSINT — Open Source Intelligence.

E existe uma quantidade quase obscena de informação disponível publicamente.

Uma organização publica que está contratando:

“Especialista em Kubernetes, AWS, Terraform, Jenkins e GitLab.”

Interessante.

Outra pessoa escreve:

“Orgulhoso de concluir nossa migração para determinada plataforma!”

Interessante.

Um administrador publica uma captura de tela comemorando uma certificação.

Interessante.

Um desenvolvedor deixa um projeto antigo no GitHub.

Interessante.

Um executivo anuncia uma viagem.

Interessante.

Uma empresa publica seu organograma.

Interessante.

Separadamente, quase nada disso parece perigoso.

Junto?

Ferris começa a montar o quebra-cabeça.

---

🧀 O queijo suíço de Ferris Bueller

É aqui que Red Team fica realmente fascinante.

Raramente existe uma vulnerabilidade cinematográfica:

APERTE ESTE BOTÃO E O BANCO EXPLODE.

Na vida real encontramos pequenas imperfeições.

Uma informação pública demais.

Uma permissão um pouco excessiva.

Uma conta antiga.

Um processo manual.

Uma senha reutilizada.

Uma API esquecida.

Um funcionário excessivamente prestativo.

Um fornecedor com acesso.

Um endpoint sem monitoramento adequado.

Uma exceção criada três anos atrás durante uma emergência.

Cada uma isoladamente parece tolerável.

Mas alinhe os buracos.

OSINT
  ↓
Engenharia Social
  ↓
Credencial
  ↓
Acesso
  ↓
Escalada
  ↓
Movimento Lateral
  ↓
Sistema Crítico

Parabéns.

Você acaba de transformar pequenas imperfeições em uma cadeia de ataque.

Ferris não precisa encontrar um buraco gigantesco.

Ele precisa encontrar buracos alinhados.

---

🚗 A Ferrari do Cameron é nosso ambiente de produção

Agora precisamos falar daquela Ferrari.

O pai de Cameron possui uma joia.

Uma máquina preciosa.

Protegida não necessariamente por controles técnicos sofisticados, mas por algo profundamente humano:

ninguém ousaria tocar nela.

Excelente estratégia.

Até aparecer Ferris Bueller.

Em tecnologia também fazemos isso.

— Ninguém mexe nesse dataset.

— Por quê?

— É produção.

— Existe controle impedindo?

— Não.

— Auditoria?

— Mais ou menos.

— Aprovação dupla?

— Não.

— Então por que ninguém mexe?

— Porque todo mundo sabe que não pode.

Ferris lentamente coloca os óculos escuros.

SAVE FERRIS.

---

🔐 Least Privilege: Cameron não deveria ter acesso à Ferrari

Aqui entra um dos conceitos mais importantes da segurança:

Least Privilege.

Você deve possuir apenas o acesso necessário para executar sua função.

Nada além.

Porque permissões acumulam-se.

Funcionários mudam de departamento.

Projetos terminam.

Contas permanecem.

Autorizações antigas sobrevivem.

Service accounts ganham poderes.

Exceções temporárias tornam-se permanentes.

E quinze anos depois alguém pergunta:

— Por que USER123 possui acesso administrativo?

Silêncio.

Um veterano olha para o horizonte.

— Acho que foi por causa daquela migração de 2011.

Ratchet Effect.

Privilégio entra.

Privilégio raramente sai.

---

🦖 E no mainframe?

Agora Ferris chegou ao meu território.

Se ele entrar no z/OS, as coisas ficam interessantes.

Porque o mainframe possui mecanismos extraordinariamente maduros de segurança.

RACF.

SAF.

Perfis.

Grupos.

Auditoria.

Segregação.

Controles de datasets.

Recursos protegidos.

Mas existe uma pergunta que sempre deve ser feita:

Como o mundo exterior chega até o mainframe?

Porque hoje não estamos falando apenas de alguém sentado num terminal 3270.

Temos:

Internet
   ↓
Aplicação
   ↓
API Gateway
   ↓
z/OS Connect
   ↓
CICS
   ↓
COBOL
   ↓
Db2

Ou:

Cloud
 ↓
MQ
 ↓
Mainframe

Ou:

CI/CD
 ↓
Pipeline
 ↓
Credencial técnica
 ↓
Deploy
 ↓
Produção

O z/OS pode estar magnificamente protegido.

Ferris talvez nem tente atacá-lo diretamente.

Ele procura quem já possui autorização para conversar com ele.

Esse é o detalhe que muda tudo.

---

🤖 FerrisGPT entrou na escola

E chegamos a 2026.

O Ferris original precisava improvisar.

Pesquisar.

Telefonar.

Interpretar personagens.

Preparar histórias.

Coordenar pessoas.

Hoje podemos automatizar partes dessa preparação com IA.

LLMs podem ajudar a analisar grandes volumes de informação, organizar dados públicos, produzir textos convincentes, correlacionar documentos e operar como componentes de sistemas agentes.

Isso aumenta brutalmente a escala possível de certas operações.

O problema deixa de ser apenas:

“Existe alguém inteligente o suficiente para tentar?”

E passa a incluir:

“Quanto dessa inteligência operacional pode ser automatizada?”

Ao mesmo tempo surge uma superfície completamente nova.

Prompt injection.

Data poisoning.

Excesso de autonomia.

Agentes com privilégios demais.

Credenciais disponíveis no contexto.

Ferramentas conectadas.

RAG contaminado.

Confiança excessiva na resposta do modelo.

Ferris olha para um agente com acesso a e-mail, arquivos, APIs e banco de dados.

Ferris sorri.

O Blue Team começa a suar.

---

🛡️ E aqui precisamos colocar Rooney na história

Todo Ferris precisa de um Rooney.

O diretor sabe que alguma coisa está errada.

Ele suspeita.

Investiga.

Persegue.

Insiste.

E progressivamente torna-se tão obcecado pela própria hipótese que começa a cometer erros.

Isso também é segurança.

Analistas não são máquinas.

SOC não é máquina.

Red Team não é máquina.

Gestores não são máquinas.

Todos carregamos vieses.

Confirmation Bias.

Anchoring Bias.

Plan Continuation Bias.

Sunk Cost Fallacy.

Outcome Bias.

Automation Bias.

Você pode possuir todas as ferramentas corretas e ainda interpretar os sinais incorretamente.

Pior:

pode encontrar evidências que contradizem sua hipótese e decidir que elas apenas demonstram como o atacante é sofisticado.

Rooney acaba de entrar no SOC.

---

🚨 ALERTA CRÍTICO!

Imagine Rooney trabalhando num SIEM.

03:14:07 LOGIN FAILURE
03:14:11 LOGIN FAILURE
03:14:16 LOGIN SUCCESS
03:17:44 DATABASE QUERY
03:19:02 PRIVILEGE CHANGE

Rooney:

É O FERRIS!

Analista:

— Senhor, o usuário está de férias.

Rooney:

EXATAMENTE O QUE FERRIS QUER QUE VOCÊ PENSE!

Analista:

— O IP pertence à nossa VPN corporativa.

Rooney:

ELE É BOM!

Analista:

— O acesso foi aprovado pelo gerente.

Rooney:

ELE É MUITO BOM!

Nesse momento alguém deveria retirar Rooney da War Room.

---

🚗 Coloque a Ferrari em marcha a ré

Talvez nenhuma cena seja tão maravilhosa para um veterano de TI quanto a tentativa de desfazer a quilometragem da Ferrari.

A lógica parece perfeita.

O carro rodou para frente.

A quilometragem aumentou.

Então:

vamos rodar para trás.

Quem nunca viu raciocínio semelhante em produção?

— Podemos voltar?

— Temos backup.

— Testado?

Silêncio.

— Temos backup.

— Quando foi o último restore?

Silêncio ainda maior.

Backup não é restore.

Restore não é rollback.

Rollback não elimina necessariamente logs.

Rollback não apaga consequências.

Rollback não desfaz uma mensagem enviada.

Rollback não recupera confiança.

E colocar a Ferrari em marcha a ré certamente não garante que ela permaneça na garagem.

Produção não possui:

CTRL+Z emocional.

---

🔵 Então para que serve o Red Team?

Aqui está a parte mais importante.

Red Team não deveria existir para alguém aparecer numa reunião dizendo:

“HAHA! ENGANEI VOCÊS!”

Isso é infantil.

O objetivo não é humilhar o Blue Team.

Não é provar que alguém é hacker.

Não é colecionar shells.

Não é imprimir root numa camiseta.

O objetivo é descobrir alguma coisa que a organização não sabia sobre si mesma.

Talvez um controle não funcione.

Talvez funcione tecnicamente, mas possa ser contornado por processo.

Talvez uma detecção não exista.

Talvez o SOC veja o evento, mas não compreenda seu significado.

Talvez existam privilégios excessivos.

Talvez pessoas confiem demais numa determinada informação.

Talvez a arquitetura tenha criado uma cadeia inesperada.

Red Team produz conhecimento adversarial.

Hipótese
   ↓
Reconhecimento
   ↓
Simulação
   ↓
Evidência
   ↓
Detecção
   ↓
Correção
   ↓
Reteste

O ataque é apenas o instrumento.

Aprendizado é o produto.

---

☕ O Bellacosa Mainframe encontra Ferris Bueller

Talvez seja por isso que, quase quarenta anos depois, aquela cena do computador continue tão divertida.

A tecnologia envelheceu.

A tela envelheceu.

O computador envelheceu.

A interface envelheceu.

Mas a vulnerabilidade fundamental continua assustadoramente moderna:

alguém confiou no sistema sem perguntar suficientemente quem poderia alterar aquilo em que o sistema acreditava.

Essa pergunta atravessa décadas.

Mainframe.

Client/server.

Internet.

Cloud.

Mobile.

APIs.

IA.

Agentes.

Mudamos as interfaces.

Mudamos os protocolos.

Mudamos as linguagens.

Mudamos os nomes.

Mas continuamos construindo máquinas sobre camadas de confiança humana.

E sempre haverá algum Ferris perguntando:

“O que acontece se eu fizer isto?”

---

🎬 SAVE FERRIS

Esta será nossa viagem.

Nos próximos artigos, Ferris Bueller deixará de ser apenas o adolescente que queria matar aula.

Vamos transformá-lo em nosso Red Teamer acidental.

Vamos desmontar o computador da escola.

Conhecer Abe Froman.

Usar OSINT.

Telefonar para Cameron.

Perseguir Ferris com Rooney.

Proteger a Ferrari.

Tentar fazer rollback.

Entrar no mainframe.

Conversar com RACF.

Encontrar APIs.

Soltar FerrisGPT.

E descobrir que segurança talvez tenha muito menos a ver com construir uma muralha perfeita e muito mais com compreender como alguém inteligente tentaria contorná-la.

Porque existe uma diferença enorme entre:

“O sistema funciona.”

e:

“O sistema continua funcionando quando alguém deliberadamente tenta fazê-lo funcionar de uma maneira que jamais imaginamos.”

Essa segunda pergunta?

Essa é a pergunta do Red Team.

E como Ferris nos ensinou:

A vida passa muito rápido.

Os sistemas também.

E se você não parar de vez em quando para olhar para eles como um atacante...

pode descobrir tarde demais que Ferris já alterou o número de faltas, pegou Cameron, buscou Sloane, virou Abe Froman, saiu dirigindo a Ferrari...

...e o seu SIEM continua dizendo:

STATUS: GREEN
THREATS DETECTED: 0
ALL SYSTEMS OPERATIONAL

☕ Bem-vindo ao Red Team.

SAVE FERRIS.

E, por favor, alguém coloque MFA naquela Ferrari.