Construindo Infra de C2 com Sliver em Lab Isolado para Estudo Defensivo

Toda vez que um analista de SOC abre um ticket com beacon suspeito, existe uma chance real de que ninguem no time tenha visto um canal de command-and-control funcionando de verdade com os proprios olhos. Operadores de Red Team usam Sliver, Mythic e Havoc todo dia, mas a maioria dos defensores so conhece esses frameworks por screenshots em relatorios da Mandiant. Esse vacio e perigoso: nao se detecta de forma confiavel um comportamento que nunca se observou. Este guia monta um lab Sliver isolado e sem internet cujo unico proposito e gerar telemetria realista, controlada e documentada, para que uma Blue Team escreva e valide regras de deteccao contra indicadores que ela mesma produziu. Tudo abaixo acontece dentro de uma VLAN air-gapped e carrega zero risco legal, porque o lab nao fala com ninguem fora de 10.50.0.0/16.

O que e um C2 e por que Sliver para um lab defensivo

Um framework de command-and-control (C2) e o lado operador do post-exploitation: um servidor que recebe check-ins de implants (tambem chamados de beacons ou agents) em hosts comprometidos, mais um canal de tasking que empurra comandos de volta. Sliver, mantido pelo BishopFox, e escrito em Go e traz implants multiplataforma para Windows, Linux e macOS sobre mTLS, WireGuard, HTTP(S) e DNS. Para um lab defensivo ele vence as alternativas em tres eixos: diferente do Cobalt Strike e gratuito e seu codigo e auditavel, entao da pra ler exatamente o que um implant faz; diferente do Mythic exige bem menos infraestrutura. Essa auditabilidade importa porque voce tenta mapear comportamento para deteccoes, e uma caixa-preta nao ensina nada generalizavel.

Modelo de ameaca: por que defensores precisam rodar o tooling ofensivo

Engenharia de deteccao fracassa quando se apoia em teoria. Fabricantes publicam regras genericas, times importam, e o primeiro incidente real revela que a regra disparou em um campo que o operador nunca toca, ou perdeu o que importava. Rodar o tooling ofensivo voce mesmo fecha esse ciclo. Voce aprende os named pipes padrao do Sliver, seus padroes de process injection, as chamadas de API exatas por tras do execute-assembly e a cadencia de rede de um beacon mTLS. Voce tambem aprende suas chaves de evasao, entao quando uma regra para de disparar voce entende qual chave o adversario girou. O lab nao ataca ninguem; e uma fabrica de telemetria cujo output sao regras Sigma, IOCs e hipoteses de hunting em que voce confia porque gerou a verdade de terreno voce mesmo.

Arquitetura do lab: VLANs, pfSense e isolamento total de egress

A topologia e deliberadamente simples e estritamente segmentada. Uma VM Debian 12 atua como teamserver com 4 vCPU e 8 GB RAM. Ela fica na VLAN de C2 10.50.10.0/24. Os alvos vivem em uma VLAN de vitimas separada 10.50.20.0/24. Entre as duas ha um pfSense cujo ruleset so libera trafego entre essas duas sub-redes e aplica zero NAT pra fora: o lab nao tem rota pra internet, por design. Isso importa por duas razoes. Primeiro, um implant que nao alcanca um endereco real nao pode vazar pra um terceiro se voce cometer um erro. Segundo, forca voce a modelar a rede como uma empresa segmentada realmente e. Se voce ainda nao montou um lab base, Pentest Web do Zero: Montando um Lab Seguro com DVWA, Juice Shop e Burp Suite serve de fundacao solida pra reaproveitar aqui.

Instalando o teamserver, passo a passo

O caminho rapido e curl https://sliver.sh/install | sudo bash, mas em ambiente isolado voce nunca canaliza um script remoto pra root. Em vez disso, baixe o binario assinado do release numa maquina conectada, verifique com cosign verify-blob contra a chave publicada pelo BishopFox, calcule o SHA-256 e leve via pendrive dedicado. Na VM Debian, coloque o binario em /usr/local/bin/sliver-server, crie uma conta de servico non-root sliver e rode o server sob systemd com uma unit endurecida (NoNewPrivileges, ProtectSystem=strict, um WorkingDirectory privado). Suba o console com sliver-server e gere uma config de operador com new-operator --name analyst --lhost 10.50.10.5. Manter o perfil de operador restrito ao endereco da VLAN de C2 impede que um implant perdido alcance uma interface de gestao que nao deveria.

Gerando implants e ajustando perfis

Gere um primeiro implant com generate --mtls 10.50.10.5:8443 --os windows --arch amd64 --skip-symbols --save ./payloads. O flag --skip-symbols remove as tabelas de simbolo do Go, reduz o binario em cerca de 40% e freia o reverse engineering rapido, deixando o suficiente pra debug do seu proprio lab. Se voce solta esse implant nao-ofuscado numa VM Windows 11 21H2 com Defender real time on, ele tipicamente morre em uns 12 segundos. Isso nao e falha; e medicao. Voce agora tem um sinal limpo do que o Defender pega e uma baseline pra comparar quando adicionar evasao de proposito. Pra estudar a cadeia de entrega que precede o beacon, combine com Initial Access Simulado: Macros, LNK e ISO em Lab Windows 11 Isolado.

Do check-in do beacon as regras de deteccao

O retorno educativo comeca no momento em que o beacon conecta. Cada comando do operador produz uma pegada distinta: getsystem toca duplicacao de token, execute-assembly spawna um processo sacrificial e carrega o CLR, sideload mapeia uma DLL unbacked. Instrumente os hosts vitima com Sysmon usando a config do SwiftOnSecurity, envie eventos com um Elastic Agent pra um cluster local e correlacione contra regras Sigma. Em tres sprints focados um time pequeno consegue mapear dezenas de deteccoes novas, dos nomes de named pipe padrao do Sliver ate spawns de rundll32 sem command line. Todo o pipeline de virar um IOC em regra sustentavel esta documentado em Threat Hunting com Sigma e Elastic: Do Indicador a Regra de Deteccao, que se encaixa direto nos eventos que este lab emite.

Movimentacao lateral dentro de um mini Active Directory

Movimentacao lateral e onde o lab se paga. Suba um mini-AD com dois domain controllers, quatro workstations e um file server, espelhando a topologia de um cliente medio. Com o implant Sliver inicial num host de baixo privilegio, use Rubeus pra Kerberoasting e depois pivote por um tunel WireGuard pra atingir o domain controller sem nunca encostar diretamente nele do teamserver. As tecnicas em Active Directory Pentest: Kerberoasting Passo a Passo em Lab GOAD e Pivoting com Chisel e Ligolo-ng: Redes Segmentadas em Lab de Pentest sao a mesma logica com ferramenta diferente. Cada salto deixa rastro: 4624 type 3, tickets 4769 com RC4 fraco, conexoes WMI anomalas. Cada um vira material de treino com uma amostra known-good e uma known-bad.

Endurecendo as deteccoes e fechando o ciclo

Um lab sem ciclo de feedback e uma demo. Depois de cada rodada, trate cada deteccao que voce escreveu como uma hipotese e tente evadi-la. Ligue as features de evasao do Sliver uma por uma (reshaping de trafego, jitter, transports alternativos) e observe quais regras sobrevivem. Regras que so casam um string padrao sao frageis; regras ancoradas em comportamento (uma regiao de memoria unbacked executando, uma cadeia pai-filho que nunca deveria ocorrer) sobrevivem ao tuning. Versione suas regras Sigma no git, marque cada uma com a tecnica ATT&CK que cobre e registre o perfil exato de implant que gerou os eventos-fonte pra que um colega reproduza o sinal. Essa reprodutibilidade e a diferenca entre uma regra em que voce confia em producao e uma que voce torce pra funcionar.

Armadilhas e OPSEC do lab

OPSEC do lab importa mais do que se assume. Mesmo air-gapped, snapshots de VM com implants ativos ja vazaram pra repos publicos quando alguem subiu por acidente. A regra e simples: VMs do lab vivem em datastore criptografado LUKS, snapshots nunca saem do host, e qualquer artefato que precise sair (regra Sigma, IOC, video demo) passa antes por revisao manual. Isso conversa com a disciplina de OPSEC para Pesquisadores de Seguranca: Modelo de Ameaca Pessoal e Higiene de Metadados: Limpando EXIF, PDF e Office antes de Publicar. O erro classico autoinfligido e publicar um PDF de relatorio cujos metadados entregam ao adversario o username, hostname e o caminho do arquivo no laptop pessoal do pesquisador.

Checklist de deploy

Antes de declarar o lab pronto, confirme cada item: pfSense impoe regras so entre sub-redes com zero NAT de saida; o binario do teamserver foi verificado com cosign e roda sob uma unit systemd non-root endurecida; as configs de operador estao restritas a VLAN de C2; os alvos Windows rodam Sysmon (config SwiftOnSecurity) enviando pra um cluster Elastic local; o mini-AD espelha uma topologia realista; cada regra Sigma esta versionada com tag ATT&CK e perfil-fonte reproduzivel; os snapshots vivem em LUKS e nunca saem do host; e cada artefato exportado passou por revisao de metadados. Se alguma linha ficar sem marcar, a telemetria que voce junta ainda nao e verdade de terreno confiavel.

FAQ: E legal rodar um framework de C2 num lab?

Sim, desde que o servidor de C2 e cada implant permanecam dentro de infraestrutura que voce possui e controla, sem rota pra sistemas de terceiros. A exposicao legal do tooling ofensivo vem de tocar maquinas que voce nao esta autorizado a tocar. Uma VLAN air-gapped com zero NAT de saida elimina essa exposicao por completo: o implant literalmente nao tem pra onde ir. Mantenha escopo escrito pro lab, rotule as VMs e nunca anexe uma credencial de producao real nem dados reais de um cliente ao ambiente.

FAQ: Sliver, Mythic ou Cobalt Strike pra um lab defensivo?

Pra um lab defensivo de telemetria, Sliver costuma ser o melhor ponto de partida: gratuito, open source e auditavel, entao voce rastreia cada comportamento ate a fonte e generaliza suas deteccoes. Mythic brilha quando voce quer modelar um ecossistema diverso de agents mas custa mais montagem. Cobalt Strike representa uma grande fatia das intrusoes reais, entao times maduros acabam adicionando pra ampliar cobertura, mas seu licenciamento e natureza fechada o tornam uma ma primeira ferramenta de aprendizado. Comece com Sliver, entenda os fundamentos, depois expanda.

Conclusao

Se voce defende uma organizacao e nunca viu um Sliver beacon em uma tela que voce mesmo controla, sua deteccao e teorica. Reserve um dia inteiro, monte o lab com pfSense mais Debian mais dois alvos Windows, gere um implant nao-ofuscado, deixe rodar comandos por trinta minutos e abra o Sysmon. Voce vai sair com mais material de hunting concreto que varios cursos pagos somados, e com zero risco legal porque tudo acontece dentro da VLAN 10.50.0.0/16 que nao fala com ninguem la fora. O ponto nao e virar atacante; e tornar sua defesa empirica em vez de aspiracional.