Hugo Frauches
ENPTVamos conversar

EXPERIÊNCIA DE CAMPO

Segurança feita em campo.

Mais de onze anos em cibersegurança, de um integrador de segurança a CTO. Desde 2019 lidero a prática de segurança onde trabalho: primeiro o time ofensivo, depois o SOC 24x7 e as operações de Blue Team e Red Team, e hoje como CTO. Este é o trabalho por trás desse caminho, sem nomes de clientes.

ÁREAS DE ATUAÇÃO

Seis frentes, uma operação.

Ataque, defesa, resposta e governança funcionaram como uma prática só, para que o que se aprendia de um lado chegasse aos outros.

01

Segurança ofensiva

Testes de intrusão e exercícios de red team, de avaliações pontuais a programas recorrentes com retestes.

  • Infraestrutura externa e interna, Active Directory, redes sem fio e nuvem
  • Aplicações web, APIs e aplicativos móveis
  • Red team por objetivo, combinando intrusão, spear phishing, vishing e movimentação lateral
  • Redes industriais e operacionais no escopo quando o negócio pedia

02

SOC e MDR 24x7

Um centro de operações de segurança compartilhado, 24 horas por dia, com pessoas dedicadas a cada cliente.

  • SIEM/XDR, análise de comportamento, automação e EDR gerenciado
  • Um líder técnico e analistas dedicados por contrato, mais plantão
  • Relatórios mensais com incidentes por severidade, falsos positivos, MTTA e MTTR
  • Ambientes de até cerca de 6.500 ativos monitorados em um único cliente

03

Operação de vulnerabilidades

Gestão contínua de vulnerabilidades em TI, aplicações web, sistemas industriais e superfície de ataque externa.

  • Priorização por risco: severidade, exploração conhecida, exposição na internet e criticidade para o negócio
  • Planos de correção combinados com os times donos de cada ativo
  • Uma visão de risco consolidada, alimentada por vários scanners e ferramentas
  • Gestão de patches e verificação de cada correção

04

Resposta a incidentes e forense

Atendimento emergencial do primeiro contato ao relatório final, para públicos técnicos e executivos.

  • Ransomware, invasão de servidores, fraude financeira e comprometimento de e-mail corporativo
  • Skimming de cartão no checkout, vazamento de dados e investigações internas
  • Contenção, caça a ameaças, erradicação e retorno controlado à operação
  • Relatórios para diretoria, advogados, polícia e a ANPD

05

Inteligência de ameaças e exposição

Enxergar a organização como um atacante enxerga, antes que ele o faça.

  • Monitoramento de deep e dark web, credenciais vazadas e logs de infostealers
  • Ratings externos de segurança e programas de superfície de ataque
  • Alertas de ameaças para clientes, cerca de 70 entre 2020 e 2025
  • Inteligência sobre o grupo atacante durante incidentes ativos

06

Governança, privacidade e arquitetura

Os programas e controles que mantêm o resultado depois do teste ou do incidente.

  • Programas de adequação à LGPD e DPO as a service
  • Políticas de segurança, planos de continuidade de negócio e análises de risco
  • Implantação de EDR, firewalls e WAF, DLP, MFA e gestão de acessos privilegiados
  • Dono dos procedimentos de segurança do sistema de gestão ISO 27001 e 27701 da própria empresa

Meu papel

  1. De 2019 a 2022 gerenciei o time ofensivo: definia escopos, planejava e conduzia testes de intrusão, avaliações e engenharia social, e apoiava a pré-venda.
  2. Como Head of Security, a partir de 2022, estruturei as operações de Blue Team e Red Team dos contratos de longo prazo e passei a ser o ponto de escalonamento executivo dos clientes.
  3. Como CTO, desde 2023, comando a operação de segurança, lidero as respostas a incidentes e a comunicação com a diretoria dos clientes, e levo o que aprendemos em campo para os produtos de IA.

CASOS SELECIONADOS

Oito atendimentos, anonimizados.

Cada caso é descrito só pelo setor e pelo porte. Detalhes que pudessem identificar uma organização, um ativo ou uma pessoa ficaram de fora de propósito.

Operação de vulnerabilidades

Correção em escala industrial

Contexto
Um grupo industrial multinacional, com sete unidades de negócio e achados espalhados por muitos times responsáveis. Cerca de três anos de serviço contínuo.
O que fizemos
Varredura contínua de cerca de 50 mil ativos, por volta de 16 testes de intrusão por ano e um processo de correção com 24 grupos solucionadores.
Resultado
Uma cadência de correção constante: cerca de 70 planos de correção e 135 reuniões de acompanhamento por trimestre.

Operação de vulnerabilidades

Uma visão de risco para TI, TO e nuvem

Contexto
Uma empresa de energia com ambientes corporativo, industrial e em nuvem, cada um com suas próprias ferramentas.
O que fizemos
Um centro global de operação de vulnerabilidades que conecta cerca de dez ferramentas e prioriza o risco por severidade, exploração conhecida, exposição na internet e criticidade para o negócio, com a gestão de patches como pilar próprio.
Resultado
Uma visão única e priorizada do risco em TI, TO e nuvem.

Red team

Red team por objetivo em infraestrutura crítica

Contexto
Uma operadora de infraestrutura crítica que queria testar pessoas, processos e tecnologia de uma vez, incluindo a rede operacional.
O que fizemos
Intrusão externa, phishing por e-mail e por voz, movimentação lateral, testes de aplicações web e APIs e a rede operacional no escopo.
Resultado
Um relatório único sobre pessoas, processos e tecnologia, com prioridades de correção para a diretoria.

Resposta a incidentes

Ransomware em uma planta industrial

Contexto
Uma planta industrial parada por ransomware.
O que fizemos
Forense em 43 servidores e cerca de 10 GB de logs, com apoio à diretoria durante toda a crise.
Resultado
O cliente ficou conosco no longo prazo: gestão de vulnerabilidades, monitoramento de risco interno e detecção e resposta gerenciadas.

Resposta a incidentes

Rootkit de kernel em sistemas acadêmicos

Contexto
Uma instituição pública de ensino com servidores Linux acadêmicos e administrativos comprometidos no nível do kernel.
O que fizemos
Contenção servidor a servidor, uma campanha em massa de caça e erradicação, endurecimento do firewall com prevenção de intrusão e inspeção SSL, e um plano de reconstrução limpa.
Resultado
Um relatório final detalhado, estruturado segundo o NIST SP 800-61.

Resposta a incidentes

Skimming de cartão no checkout

Contexto
Uma operação de e-commerce cuja página de pagamento havia sido alterada por atacantes.
O que fizemos
Forense do checkout, análise de causa-raiz e entregas separadas para diretoria, advogados e polícia.
Resultado
Um relatório de causa-raiz assinado, que embasou a comunicação à ANPD.

SOC / MDR

Operação de segurança para o setor público

Contexto
Uma prefeitura, contratada por licitação, e órgãos do Judiciário.
O que fizemos
SOC gerenciado com gestão de vulnerabilidades, EDR, SIEM/XDR com sensores de rede, resposta a incidentes e backup.
Resultado
Monitoramento contínuo de ambientes com até cerca de 6.500 ativos.

Segurança de IA

Testar e investigar com IA no processo

Contexto
Uma plataforma de IA generativa de um órgão de governo e uma empresa de bens de consumo investigando um incidente na loja online.
O que fizemos
Teste de intrusão gray-box da plataforma de IA e investigação dos logs da loja com apoio de IA.
Resultado
Um escopo de teste que incluiu a própria camada de IA e orientação para a comunicação à ANPD após o incidente.

POR DENTRO DE UMA INVESTIGAÇÃO

Rastreando um grupo atacante, passo a passo.

Depois de um ataque a sites públicos, liderei a investigação do grupo responsável, dos servidores comprometidos à estrutura por trás da marca, e o relatório foi para a polícia. Aqui estão as técnicas, sem o caso: sem grupo, pessoas, empresas, lugares ou datas.

  1. 01

    Preservar antes do adversário

    • Copiar o ferramental e as páginas públicas do atacante assim que são encontrados. Neste caso, eles foram apagados horas depois.
    • Calcular o SHA-256 de cada artefato e manter um caderno de evidências com quadro de conferência.
    • Usar acervos públicos da web como prova independente, de terceiro, do que uma página mostrava e quando.

  2. 02

    Reconstruir o ataque pela evidência primária

    • Primeiro os logs e os sistemas de arquivos dos servidores, depois os relatórios de inteligência. Quando divergiam, valia a evidência primária.
    • Linha do tempo e cadeia de ataque do reconhecimento ao impacto, incluindo a etapa que falhou: uma tentativa contra o repositório central de um fornecedor de software, que alcançaria todos os clientes dele.
    • Padrões de caça extraídos dos arquivos do atacante para varrer toda a base de clientes, o que revelou também um comprometimento anterior que nunca tinha sido erradicado.

  3. 03

    Ler os erros do adversário

    • Forense do histórico de código: metadados de commits, segredos incluídos e removidos minutos depois e artefatos de compilação que revelaram usuários, caminhos e versões.
    • Um resultado de varredura enviado por engano provou que os alvos foram escolhidos meses antes do ataque.
    • Análise estática do ferramental do próprio grupo, para comparar o que ele anunciava com o que de fato aconteceu.

  4. 04

    Pivotar com cuidado

    • Pivôs de infraestrutura entre endereços, provedores de hospedagem e registros de domínio. Um domínio de pagamentos registrado na véspera do ataque ligou a intrusão ao dinheiro.
    • Indicadores históricos marcados como históricos, para que um endereço reatribuído não leve ao bloqueio de um terceiro inocente.
    • Inteligência passiva em redes sociais: só metadados públicos, sem seguir, sem abrir conteúdo efêmero e sem interagir. Convites idênticos e identidade visual serviram de pivô, e nomes de usuário estáveis valeram mais que nomes de exibição.
    • Nenhum ingresso em canais fechados sem cobertura jurídica.
    • Sinais independentes, como idioma, marcas regionais e o escopo dos alvos, convergindo para a provável base do grupo e para a jurisdição certa.

  5. 05

    Atribuir com disciplina e encaminhar

    • Cada afirmação classificada como fato apurado, indicação forte, inferência ou não estabelecido.
    • Atribuição técnica (ferramental, marca, infraestrutura) separada da atribuição social (identidades).
    • Identidade digital não é pessoa: bases comerciais de dados foram tratadas como pista, não como prova, e a presunção de inocência ficou registrada por escrito.
    • Uma lista priorizada de pedidos de ofício para as autoridades, começando pela preservação de dados, porque o atacante estava apagando a infraestrutura.
    • Uma edição dedicada à polícia, com recomendação de tarja em imagens de pessoas.

A investigação transformou uma marca em uma lista curta de pedidos de ofício bem delimitados, sem afirmar nenhuma autoria que a evidência não pudesse provar.

Setores

  • Indústria, siderurgia e mineração
  • Energia e utilities
  • Setor público e Judiciário
  • Serviços financeiros e fintechs
  • Saúde
  • Tecnologia e software
  • Educação
  • Logística, portos e transporte
  • Cooperativas
  • Varejo e e-commerce
  • Construção e mercado imobiliário

Alcance

A maior parte do trabalho foi no Brasil. Também houve atendimentos para organizações da Europa, da América do Norte e da América Latina.

Como conduzo operações de segurança

  • O escopo começa pela pergunta do negócio, não pela lista de ativos.
  • Cada cliente tem responsáveis nomeados, matriz de responsabilidades e um ritmo fixo semanal, mensal e trimestral.
  • Os relatórios são versionados e revisados antes de chegar ao cliente.
  • Métricas como MTTA, MTTR e avanço das correções vão para a diretoria, não só para o time técnico.

Todos os atendimentos aconteceram na Intelliway, de 2019 em diante, sob a minha liderança. Clientes, ativos e empresas não são identificados, e os números foram arredondados para baixo. Trabalhos que a empresa entregou antes da minha chegada não entram.

Ver os produtos de IA →