Projeto 5 — Segurança Ofensiva e Emulação de Adversários

Parte de um arco de SOC de home-lab com 5 projetos: construir → detectar e enriquecer → investigar → monitorar e caçar → atacar e verificar de forma cruzada.

Este projeto adiciona a metade que faltava do panorama dos Projetos 1–4: tudo antes disso era blue team (construindo detecções, investigando incidentes, caçando através de dados de rede). Este me coloca no lado do atacante — reconhecimento, exploração e pós-exploração contra uma vulnerabilidade real e documentada — e então volta para o SOC existente para medir o que ele realmente capturou.

Resumo

Cadeia de Ataque em Resumo

Recon (Nmap)  →  Exploit (Metasploit: vsftpd backdoor)  →  Root shell (Meterpreter)
     →  Dump /etc/shadow  →  Crack hash (John)  →  Verify via SSH login
     →  Cross-check against Wazuh / Suricata / Zeek

Principais Descobertas

1. Um CVE de 2011 ainda fornece uma cadeia de ataque completa e realista hoje — do reconhecimento inicial ao acesso root e à exposição de credenciais, sem nenhum hardening moderno se interpondo em um host sem patch.
2. O acesso root não encerra a história — ele inicia uma nova. O root me permitiu extrair hashes de senha, quebrar um instantaneamente (msfadmin:msfadmin) e provar que funcionava como um segundo caminho independente para o sistema via SSH puro — o que significa que corrigir apenas o bug do FTP não protegeria totalmente este host.
3. O alvo tinha zero visibilidade SOC baseada em host. Nenhum agente Wazuh estava instalado no Metasploitable, então o exploit, o shell root e o acesso a credenciais eram completamente invisíveis para o monitoramento baseado em host — uma ilustração direta de "você não pode detectar o que não monitora".
4. O monitoramento baseado em rede (Zeek) era a única camada de visibilidade disponível — e fazê-lo funcionar revelou uma cadeia real de 4 a 5 bugs separados e distintos, desde uma interface de rede errada até um caminho de configuração obsoleto e um agente que precisava de uma reinicialização completa em vez de uma suave. Detalhamento completo em docs/04-blue-team-cross-check.md.
5. O Suricata (baseado em assinaturas) corretamente permaneceu em silêncio diante de um login SSH com credenciais válidas — uma constatação legítima sobre os limites da detecção baseada em assinaturas, não uma lacuna.

Documentação

• docs/01-reconnaissance.md — varredura com Nmap, identificação de vulnerabilidades
• docs/02-exploitation.md — seleção de módulo do Metasploit e exploração
• docs/03-post-exploitation.md — extração de credenciais, quebra, verificação
• docs/04-blue-team-cross-check.md — análise de lacunas de detecção do SOC e a cadeia real de depuração por trás dela

Ambiente de Laboratório

• Kali — host físico e máquina de ataque (Nmap, Metasploit, John the Ripper, Suricata, Zeek)
• Metasploitable2 — VM alvo deliberadamente vulnerável
• Rede — Adaptador Host-only do VirtualBox (192.168.56.x), a mesma rede introduzida no Projeto 4 para que o Kali (o host) pudesse alcançar e monitorar diretamente o tráfego de/para o alvo
• SOC existente (Projetos 1–4) — Wazuh SIEM, Suricata IDS, Zeek NSM, usado aqui puramente como o lado "blue team" deste engajamento

Capturas de Tela

Veja screenshots/, organizadas por fase.