TLPT Threat-Led Penetration Testing.

O que é realmente o teste de intrusão orientado pela ameaça

O teste de intrusão orientado pela ameaça é um exercício controlado de red team conduzido contra uma organização em plena produção, impulsionado por inteligência de ameaças real e supervisionado por uma autoridade financeira. O Digital Operational Resilience Act, DORA, torna-o uma obrigação periódica para as entidades financeiras que um regulador considera suficientemente significativas para o justificar, e o exercício assenta no TIBER-EU, o referencial que o Banco Central Europeu publicou para o Threat Intelligence-Based Ethical Red Teaming.

A palavra determinante é orientado: o teste não é uma lista genérica de vulnerabilidades, mas uma campanha moldada por quem atacaria de forma realista esta empresa e como. Um fornecedor de inteligência de ameaças traça o perfil da entidade, identifica adversários plausíveis e os seus métodos, e entrega ao red team um conjunto de cenários. O red team tenta então comprometer funções críticas em produção usando esses cenários, exatamente como faria um atacante real.

Duas propriedades separam o TLPT do teste de intrusão comum. Primeiro, visa o parque em produção real e as pessoas e processos que o rodeiam, não uma cópia nem um segmento delimitado, razão pela qual é conduzido sob regras rígidas e por uma pequena equipa de controlo de confiança. Segundo, é supervisionado. A autoridade nacional competente e, quando pertinente, uma equipa TIBER dedicada estão envolvidas no trabalho, validando o âmbito, acreditando os testadores e supervisionando como o exercício é conduzido. É essa supervisão que torna o resultado credível para um regulador e não apenas para a empresa que o encomendou.

Como decorre um trabalho de TLPT

Um TLPT é um programa de vários meses, não uma avaliação de uma semana, e desenrola-se em fases definidas que o referencial TIBER-EU estabelece. Na fase de preparação, a entidade, a equipa de controlo e a autoridade acordam o âmbito, confirmam quais as funções críticas em jogo e contratam fornecedores acreditados de inteligência de ameaças e de red team.

Na fase de teste, o fornecedor de inteligência produz um relatório de alvos sobre a entidade, e o red team usa-o para executar cenários de ataque realistas contra as funções em produção, frequentemente ao longo de muitas semanas, tentando alcançar objetivos definidos sem ser detido. Na fase de encerramento, o red team, o blue team e a equipa de controlo reúnem-se para reconstituir o que aconteceu, acordar as conclusões e construir um plano de remediação.

O detalhe crucial é que quase ninguém dentro da organização sabe que o teste está a decorrer. Os defensores, o centro de operações de segurança e os respondedores a incidentes não são avisados, porque todo o propósito é ver como se comportam perante uma intrusão real em vez de um exercício planeado. Apenas uma minúscula equipa de controlo está a par. É isto que faz do TLPT a medida mais honesta de resiliência operacional que um CISO encomendará, e a que mais fiavelmente expõe a lacuna entre o que se crê que o SOC faz e o que ele realmente deteta sob pressão.

TLPT, TIBER-EU e teste de intrusão comum

Convém manter clara a relação entre os termos. O TIBER-EU é o referencial, a metodologia e as fases. O TLPT é a obrigação regulamentar ao abrigo do DORA que adota e referencia esse referencial para as entidades financeiras dentro do âmbito. Um teste de intrusão padrão continua a ser uma atividade valiosa e muito mais frequente, mas responde a uma pergunta mais estreita: existem fraquezas exploráveis neste sistema? Um TLPT responde a uma mais difícil: se um adversário realista atacasse hoje as nossas funções mais importantes, dar-nos-íamos sequer conta, e conseguiríamos responder? Os dois são complementares, e uma organização que espera um TLPT não deixa de realizar testes comuns: usa-os para fechar as lacunas óbvias de modo que o exercício orientado pela ameaça possa sondar as subtis.

O que os profissionais fazem realmente para se prepararem raramente passa por comprar mais uma ferramenta. Constroem um inventário rigoroso das funções críticas e dos sistemas que as suportam, para que o âmbito possa ser acordado com honestidade. Asseguram-se de que os casos de uso de deteção estão afinados e de que o SOC ensaiou o escalonamento contra cenários realistas em vez de exercícios de mesa. Confirmam a estrutura da equipa de controlo e as aprovações jurídicas e de risco necessárias para conduzir com segurança uma intrusão contra a produção. E tratam as conclusões como entrada para a resiliência operacional e o planeamento da continuidade, porque ao abrigo do DORA a remediação não é um relatório privado: é prova sobre a qual o regulador espera que se atue.