Bellacosa Mainframe e o plano de ataque de ferris bueller 

☕ Um Café no Bellacosa Mainframe — Especial Red Team

Ferris Bueller Tinha um Plano de Ataque — Red Team Antes de Existir Red Team

🎬 Reconhecimento, criatividade adversarial e o princípio fundamental: não ataque a tecnologia; ataque as suposições de quem construiu o sistema

Chicago.

Década de 1980.

Computadores pessoais ainda tinham aquele ar de objeto mágico comprado por alguém que provavelmente também mantinha uma enciclopédia de 30 volumes na sala.

Não havia cloud.

Não havia SIEM.

Não havia EDR.

Não havia SOC 24x7.

Não havia dashboard piscando vermelho porque alguém da contabilidade tentou entrar no sistema às 03h17.

Não havia Zero Trust.

Também não havia LinkedIn dizendo exatamente onde você trabalha, qual tecnologia utiliza, qual certificação acabou de tirar, quem é seu gerente e qual projeto está colocando em produção na próxima terça-feira.

Mesmo assim, Ferris Bueller já havia entendido uma coisa que muita empresa ainda tenta aprender em 2026:

sistemas não são feitos apenas de computadores.

São feitos de pessoas.

Regras.

Rotinas.

Expectativas.

Horários.

Autoridade.

Confiança.

Telefonemas.

Burocracia.

E pequenas certezas que ninguém costuma questionar.

Ferris não precisava de um exploit de kernel.

Não precisava de malware.

Não precisava descobrir um buffer overflow.

Ele precisava apenas olhar para o mundo ao redor e perguntar:

“O que essas pessoas esperam que aconteça?”

E então fazer alguma coisa ligeiramente diferente.

Senhoras e senhores, bem-vindos ao primeiro episódio de:

SAVE FERRIS — Red Team para Quem Aprendeu que o Sistema Também Mata Aula

---

🔴 Antes de atacar, Ferris observa

Existe uma tendência quase infantil quando alguém começa a estudar segurança ofensiva.

A pessoa quer ferramentas.

Kali Linux.

Burp Suite.

Metasploit.

Nmap.

Hydra.

John the Ripper.

Wireshark.

E vinte abas abertas contendo comandos copiados de um tutorial.

Nada contra.

Ferramentas são importantes.

Mas Red Team começa antes.

Muito antes.

Começa com observação.

Ferris conhece o ambiente.

Ele conhece os pais.

Conhece a escola.

Conhece o diretor Rooney.

Conhece Cameron.

Conhece Sloane.

Conhece os horários.

Conhece os comportamentos esperados.

Sabe como um adolescente doente deveria parecer.

Sabe como adultos falam ao telefone.

Sabe quais histórias parecem plausíveis.

Sabe quem acredita em autoridade.

Sabe onde existe margem para improvisação.

Isso tem nome.

Reconhecimento.

---

🔎 Recon não é abrir o Nmap

Quando falamos em reconhecimento em segurança, muita gente imediatamente pensa:

nmap -sV -O target

Excelente.

Você descobriu portas.

Ferris descobriria pessoas.

A diferença não é pequena.

Imagine uma organização.

Você pode saber que ela possui:

443/tcp open
22/tcp open
8443/tcp open

Muito útil.

Mas imagine saber também:

que o administrador principal está de férias;

que a equipe está no meio de uma migração;

que existe uma manutenção emergencial naquela noite;

que o fornecedor externo costuma telefonar para o Service Desk;

que o diretor financeiro está viajando;

que funcionários recebem instruções urgentes pelo WhatsApp;

que um projeto específico utiliza credenciais técnicas compartilhadas.

Agora a superfície de ataque começa a parecer diferente.

Portas são tecnologia.

Contexto é poder.

---

☕ O primeiro exploit está na cabeça das pessoas

Uma vulnerabilidade tradicional costuma ser descrita assim:

Existe um comportamento inesperado no software que pode ser explorado.

Red Team amplia isso.

Também existe comportamento inesperado em organizações.

Um funcionário acredita que alguém falando com confiança deve saber o que está fazendo.

Um gerente acredita que um e-mail vindo de determinado endereço é confiável.

Um operador acredita que aquilo que aparece na tela corresponde à realidade.

Um administrador acredita que determinada conta nunca será usada indevidamente.

Um desenvolvedor acredita que uma API só será chamada pelo aplicativo oficial.

Essas crenças não aparecem no código.

Mas fazem parte do sistema.

Ferris é especialista nisso.

---

🧠 A primeira arma é a previsão

Ferris não controla tudo.

Ele prevê.

E previsão é extremamente poderosa.

Se você sabe que uma pessoa provavelmente reagirá de determinada maneira, você pode preparar o próximo movimento.

Pense como um atacante.

Se eu enviar esta solicitação, quem receberá?

Se chegar fora do horário comercial, haverá menos supervisão?

Se eu aparentar urgência, alguém pulará uma etapa?

Se eu mencionar o nome do gerente correto, minha história ficará mais convincente?

Se eu souber o jargão interno, parecerá que pertenço ao ambiente?

Perceba.

Até agora não atacamos nenhum computador.

Mas já estamos construindo um ataque.

---

🎯 Red Team é pensamento adversarial

Talvez essa seja uma definição melhor que muitas definições acadêmicas.

Red Team é a capacidade de olhar para um sistema e perguntar:

“Como alguém que não compartilha nossas intenções usaria isto?”

O desenvolvedor cria uma função.

O usuário utiliza a função.

O atacante pergunta:

“O que acontece se eu usar essa função para outra coisa?”

O RH cria um processo para redefinição de senha.

O funcionário legítimo usa o processo.

O atacante pergunta:

“Quais informações preciso saber para parecer o funcionário?”

A empresa cria uma API.

O aplicativo usa a API.

O atacante pergunta:

“A API sabe que sou o aplicativo?”

Essa mudança de perspectiva é gigantesca.

---

🧱 O sistema perfeito imaginário

Toda arquitetura nasce com premissas.

Algumas são técnicas.

Outras sociais.

Imagine este desenho:

USER
  ↓
APPLICATION
  ↓
API
  ↓
DATABASE

Simples.

Seguro.

Bonito.

Arquitetura aprovada.

Ferris olha.

E pergunta:

Quem cria o usuário?

Quem redefine sua senha?

Quem administra a aplicação?

Quem configura a API?

Quem possui acesso ao banco?

Quem aprova mudanças?

Quem lê logs?

Quem pode desabilitar alertas?

Quem possui acesso de emergência?

Quem testa restore?

Quem trabalha no fornecedor?

Subitamente nosso belo desenho fica assim:

USER
 ↓
HELP DESK
 ↓
IDENTITY SYSTEM
 ↓
APPLICATION
 ↓
API
 ↓
SERVICE ACCOUNT
 ↓
DATABASE
 ↓
BACKUP
 ↓
ADMIN
 ↓
VENDOR
 ↓
CLOUD

Agora estamos chegando perto da realidade.

---

🧀 Ferris descobriu o queijo suíço

Nenhum controle precisa estar completamente quebrado.

Basta que pequenas falhas se alinhem.

Imagine:

O funcionário publica demais no LinkedIn.

A empresa utiliza perguntas previsíveis para recuperação de conta.

O Help Desk trabalha sob pressão.

Existe uma conta antiga com privilégio excessivo.

O SOC não monitora determinado horário.

Separadamente?

Talvez nada aconteça.

Juntos?

OSINT
  ↓
Pretexto
  ↓
Reset de senha
  ↓
Conta legítima
  ↓
Privilégio excessivo
  ↓
Sistema crítico

Nenhuma cena cinematográfica.

Nenhuma tela verde.

Nenhum crânio piscando.

Apenas pequenas permissões fazendo amizade umas com as outras.

---

📞 Ferris entende interfaces humanas

Nós adoramos pensar em APIs.

Mas pessoas também possuem interfaces.

E muito menos documentação.

Uma pessoa recebe uma solicitação.

Analisa contexto.

Interpreta autoridade.

Avalia urgência.

Decide.

Essa decisão pode virar autorização.

Por isso engenharia social funciona.

Não porque humanos sejam estúpidos.

Mas porque sistemas humanos foram desenhados para colaborar.

Se toda solicitação fosse tratada como ataque, organizações parariam.

Ferris explora exatamente isso.

Ele não encontra uma pessoa burra.

Encontra uma pessoa cumprindo o papel esperado.

---

🏫 A escola como sistema de informação

Olhe para a escola de Ferris como uma arquitetura corporativa.

Temos:

Alunos
Professores
Secretaria
Direção
Pais
Registros
Telefone
Computadores
Procedimentos
Autoridade

Isto é um sistema.

Ferris não precisa quebrar todas as partes.

Ele precisa compreender como elas interagem.

É exatamente isso que Red Team faz.

Não se trata apenas de:

“Consigo comprometer este servidor?”

A pergunta mais interessante é:

“Consigo atingir um objetivo usando qualquer combinação disponível?”

Essa mudança de linguagem é fundamental.

---

🎯 Objetivo, não ferramenta

Uma operação Red Team deveria começar com um objetivo.

Por exemplo:

Obter acesso a determinado ambiente.

Não:

Usar phishing.

Phishing é técnica.

Talvez funcione.

Talvez não.

O objetivo permanece.

Então podemos tentar:

credenciais vazadas;

engenharia social;

exposição externa;

misconfiguração;

cadeia de fornecedores;

processos de recuperação;

acesso físico;

tokens;

integrações;

privilégios excessivos.

O atacante real não recebe KPI dizendo:

“Utilizar obrigatoriamente Metasploit em 37% da operação.”

Ele quer chegar ao objetivo.

Ferris também.

---

🚪 O atacante procura a porta que vocês esqueceram

Empresas costumam proteger aquilo que consideram importante.

Servidor principal?

Protegido.

Banco de dados?

Protegido.

Firewall?

Protegido.

Ferris pergunta:

“O que vocês não perceberam que também é uma porta?”

Uma impressora.

Um fornecedor.

Uma aplicação antiga.

Uma conta esquecida.

Uma VPN temporária.

Um endpoint de teste.

Uma integração criada durante pandemia.

Um funcionário terceirizado.

Um sistema legado.

Uma API mobile.

Um pipeline CI/CD.

Um chatbot.

Agora começamos a entender por que superfície de ataque cresce tão rápido.

---

🦖 E quando o alvo é mainframe?

Agora entramos no Bellacosa Mainframe propriamente dito.

Quando alguém pensa em atacar mainframe, frequentemente imagina:

HACKER
 ↓
3270
 ↓
TSO
 ↓
RACF
 ↓
z/OS

Talvez.

Mas Ferris provavelmente escolheria outra rota.

Ele perguntaria:

Quem conversa com o mainframe?

Talvez:

Mobile App
   ↓
API Gateway
   ↓
z/OS Connect
   ↓
CICS
   ↓
COBOL
   ↓
Db2

Ou:

Cloud
 ↓
MQ
 ↓
Mainframe

Ou:

Git
 ↓
Pipeline
 ↓
Build
 ↓
Deploy
 ↓
z/OS

O ambiente principal pode possuir controles extraordinários.

Mas o atacante pode preferir comprometer a confiança ao redor dele.

É mais Ferris.

Menos Hulk.

---

🔐 Não ataque RACF se alguém já tem permissão

Essa frase merece moldura.

Imagine que Ferris deseja acessar um dataset.

Ele pode tentar quebrar RACF.

Difícil.

Ou encontrar uma conta legítima que já possui acesso.

Muito mais interessante.

Por isso identidade é tão importante.

O atacante não quer necessariamente destruir o controle de segurança.

Muitas vezes quer ser confundido com alguém autorizado.

Quando isso acontece, o sistema funciona perfeitamente.

E esse é o problema.

---

🤖 Ferris Bueller em 2026 seria assustador

O Ferris de 1986 trabalhava artesanalmente.

Observação manual.

Telefone.

Computador.

Improviso.

Conhecimento social.

O Ferris moderno teria ferramentas capazes de acelerar partes desse processo.

Análise de grandes volumes de informação.

Correlação de dados públicos.

Geração de mensagens.

Automação.

Agentes.

Reconhecimento de padrões.

Isso não elimina a necessidade de criatividade adversarial.

Amplifica.

A pessoa ainda precisa fazer a pergunta certa.

IA pode encontrar cem informações.

Ferris precisa perceber quais três formam uma história convincente.

---

🧠 O verdadeiro ativo do Red Team

Não é ferramenta.

É imaginação disciplinada.

Veja a combinação aparentemente banal:

Informação pública
+
comportamento previsível
+
processo legítimo
+
credencial válida
+
privilégio acumulado

Pode não existir CVE para isso.

Pode não existir patch.

Pode não existir assinatura no antivírus.

Mas existe risco.

E esse tipo de coisa é exatamente onde Red Team brilha.

---

🚨 “Mas nosso sistema nunca foi invadido”

Uma frase adorável.

Também perigosíssima.

Não ter evidência de invasão não significa necessariamente que seu sistema é seguro.

Pode significar:

ninguém tentou;

ninguém percebeu;

ninguém registrou;

ninguém correlacionou;

o atacante desistiu;

o atacante passou despercebido.

Ferris poderia passar o dia inteiro fora da escola.

Se ninguém verificasse corretamente, o sistema permaneceria convencido de que tudo estava normal.

---

👨‍💼 Rooney sofre de um problema clássico

Rooney sabe que Ferris está fazendo alguma coisa.

Mas concentra-se em Ferris como pessoa.

Isso pode virar uma forma de tunnel vision.

Em segurança, acontece algo semelhante.

A equipe possui uma hipótese.

Procura evidências dessa hipótese.

Ignora caminhos alternativos.

Um Red Team serve justamente para bagunçar essas certezas.

Talvez o ataque não venha de onde imaginávamos.

Talvez o controle mais caro não seja relevante.

Talvez o problema esteja naquele processo humilde que ninguém revisa desde 2009.

---

🧩 O exploit é a combinação

Aqui está o coração deste artigo.

Ferris não é perigoso porque possui uma ferramenta excepcional.

Ele é perigoso porque combina coisas comuns.

Telefone.

Computador.

Conhecimento.

Pessoas.

Rotina.

Autoridade.

Timing.

Individualmente, nenhuma é suficiente.

Juntas, produzem o efeito.

Em segurança chamamos isso de attack chain.

Ou, dependendo do contexto, attack path.

O atacante percorre pequenos passos.

Reconhecimento.

Acesso inicial.

Execução.

Persistência.

Escalada.

Movimento.

Objetivo.

O cinema gosta do clique mágico.

A realidade gosta de encadeamento.

---

☕ A pergunta Bellacosa

Se eu estivesse numa War Room avaliando segurança de qualquer ambiente, eu faria uma pergunta simples:

“Quais suposições precisam permanecer verdadeiras para este sistema continuar seguro?”

Depois listaria.

Usuários não compartilham senha.

Administradores revisam privilégios.

Logs permanecem íntegros.

Backups funcionam.

Fornecedores não são comprometidos.

APIs validam identidade corretamente.

Credenciais técnicas não vazam.

Funcionários reconhecem tentativas de fraude.

IA não executa instruções maliciosas.

Ótimo.

Agora o Red Team começa a trabalhar.

Uma por uma.

---

🔴 Segurança é testar certezas

Blue Team constrói controles.

Red Team testa controles.

Mas o melhor trabalho acontece quando testamos também certezas.

Você acredita que ninguém consegue alterar determinado dado?

Teste.

Acredita que o SOC detectará um comportamento?

Teste.

Acredita que MFA bloqueará um atacante?

Teste.

Acredita que um funcionário nunca liberaria determinada informação?

Teste de forma autorizada e segura.

Acredita que o mainframe está isolado?

Mapeie integrações.

Acredita que um agente de IA não pode executar determinada ação?

Valide.

Segurança baseada em esperança é apenas esperança usando crachá corporativo.

---

🎬 Ferris Bueller, Red Teamer acidental

Ferris não estudou MITRE ATT&CK.

Não possui OSCP.

Não abriu Kali Linux.

Não rodou Cobalt Strike.

Mas demonstra algo anterior a todas essas ferramentas:

pensamento adversarial.

Ele observa regras.

Entende expectativas.

Identifica fragilidades.

Combina recursos.

Prevê reações.

Adapta o plano.

E busca resultado.

Quase quarenta anos depois, essa mentalidade continua no centro de qualquer bom Red Team.

Porque o melhor atacante talvez não seja quem conhece mais comandos.

Pode ser quem olha para um ambiente complexo e percebe:

“Vocês estão protegendo a coisa errada.”

---

☕ Epílogo: o sistema também mata aula

Talvez seja por isso que Ferris continue tão divertido.

Ele percebe que instituições possuem regras.

Mas também percebe que regras dependem de modelos mentais.

A escola acredita conhecer seus alunos.

Os pais acreditam conhecer o filho.

O diretor acredita conhecer o comportamento de Ferris.

O sistema acredita conhecer o número de faltas.

Ferris testa cada uma dessas certezas.

Isso é Red Team.

Não destruir o sistema.

Não atacar por atacar.

Mas descobrir:

onde termina a realidade e começa a confiança na representação da realidade.

Em mainframe.

Em cloud.

Em redes.

Em IA.

Em pessoas.

Em 1986.

Em 2026.

A tecnologia muda.

A pergunta permanece.

“E se alguém decidir usar isso de um jeito que você nunca imaginou?”

Se sua arquitetura não possui resposta, talvez Ferris já esteja alguns passos à frente.

Enquanto Rooney procura por ele no corredor.

Enquanto Cameron atende o telefone.

Enquanto Sloane espera.

Enquanto o computador da escola continua tranquilamente executando suas rotinas.

E enquanto seu SOC exibe, orgulhosamente:

SECURITY STATUS: GREEN
ACTIVE INCIDENTS: 0

Ferris olha para a câmera.

Sorri.

E desaparece pela porta.

☕ SAVE FERRIS.

No próximo café:

Nove Faltas? CTRL+Z — Quando o Banco de Dados Decide o que é Verdade

Porque se o sistema diz que Ferris esteve na escola...

quem somos nós para discutir com o computador?