CALDERA operation

caldera → operation Run

Lança uma operação autônoma no CALDERA, executando o perfil de adversário sobre os agentes implantados para validar a detecção do conjunto.

Use-o no laboratório de purple team quando quiser validar a detecção com uma operação completa: o CALDERA (do MITRE) implanta os agentes (sandcat) nos endpoints e a operação executa o perfil de adversário (a sequência de técnicas com suas variações) sobre eles — a equipe verifica o que foi detectado em cada passo. É a validação automatizada: a operação completa do adversário (o acesso, a execução, o movimento, a persistência) em uma passada, com a telemetria registrada por passo. No purple teaming, o CALDERA é o framework de operações: o perfil é escolhido, a operação é lançada e a cobertura é medida por técnica.

Não o use sem a implantação: o CALDERA precisa dos agentes nos endpoints e no servidor — sem o agente, não há operação. A operação com os perfis padrão (APT29, etc.) executa técnicas reais: o laboratório é o lugar. E atenção: a operação é automatizada — o controle do escopo (as técnicas do perfil, os hosts) é definido antes; um perfil amplo sobre muitos hosts gera ruído e carga. A verificação por passo requer a telemetria no SIEM. O CALDERA valida a detecção, não a prevenção: o passo executado sem alerta é um resultado válido. A limpeza dos agentes e dos artefatos ao terminar.