Test penetracyjny szuka podatności w uzgodnionym zakresie i kończy się ich listą wraz z dowodem wykorzystania. Ćwiczenie red team sprawdza, czy organizacja wykryje i zatrzyma przeciwnika realizującego cel, więc jego wynikiem jest ocena zdolności obrony, a nie katalog błędów technicznych.
Na skróty
Czego dowiesz się z artykułu:
- Czym różnią się cel, zakres i postać dowodu w obu formatach
- Kiedy ćwiczenie red team jest przedwczesne i marnuje budżet
- Jaką rolę pełni katalog technik przeciwnika w planowaniu ćwiczenia
- Czym jest test oparty na zagrożeniach i kogo dotyczy z mocy przepisów
Dla kogo jest ten artykuł:
- Osoby zamawiające usługi bezpieczeństwa ofensywnego
- Kierownicy zespołów bezpieczeństwa i administratorzy infrastruktury
- Odpowiedzialni za zgodność w sektorze finansowym i podmiotach regulowanych
Czas czytania: 7 minut
Cel, zakres i dowód: osie różnicy
Test penetracyjny ma zakres podany z góry: adresy, aplikacje, segment sieci, czasem konta testowe. Zespół testujący ma wykryć w tym zakresie jak najwięcej podatności i wykazać, co da się z nimi zrobić. Sukcesem jest pokrycie zakresu, a dowodem lista znalezisk z opisem kroków odtworzenia.
Ćwiczenie red team odwraca te wielkości. Zakres techniczny jest szeroki albo nieokreślony, natomiast cel jest wąski i biznesowy: dotarcie do określonych danych, uzyskanie uprawnień w określonym systemie, wykonanie operacji finansowej. Sukcesem nie jest liczba podatności, lecz odpowiedź na pytanie, czy obrona zauważyła działanie i w którym momencie. Dowodem jest harmonogram działań zestawiony z tym, co zarejestrowały i zgłosiły zespoły obronne.
Z tego wynika trzecia różnica, najczęściej pomijana przy zamawianiu: liczba osób w organizacji, które wiedzą o ćwiczeniu. Test penetracyjny bywa jawny dla zespołu utrzymania, bo jego celem nie jest zaskoczenie. Ćwiczenie red team traci sens, gdy obrona zna termin — i właśnie dlatego wymaga pisemnego mandatu od kogoś, kto może je autoryzować wbrew niewiedzy własnych zespołów.
Kiedy ćwiczenie red team jest przedwczesne
Ćwiczenie sprawdza zdolność wykrycia i reakcji. Jeśli organizacja nie zbiera logów z punktów końcowych, nie ma dyżuru ani procedury eskalacji, odpowiedź jest znana przed rozpoczęciem: nikt nie zauważy. Wydatek na symulację przeciwnika kupuje wtedy potwierdzenie stanu, który dało się ustalić przeglądem konfiguracji.
Kolejność, która zwykle się opłaca, wygląda tak: najpierw przegląd konfiguracji i zarządzanie podatnościami, potem testy penetracyjne wybranych obszarów, następnie budowa monitorowania i reakcji, a ćwiczenie red team dopiero wtedy, gdy obrona ma czym reagować. Odwrócenie tej kolejności nie jest błędem metody, lecz błędem wyceny: płacimy za najdroższy format, żeby dowiedzieć się rzeczy najtańszej do ustalenia.
Wyjątek, w którym wczesne ćwiczenie ma sens, jest wąski: gdy organizacja twierdzi, że monitorowanie działa, a nikt tego nie sprawdził. Wtedy ćwiczenie jest testem deklaracji, nie testem zdolności.
Jak katalog technik przeciwnika porządkuje ćwiczenie
Baza wiedzy attack.mitre.org opisuje taktyki i techniki stosowane przez realnych napastników, uporządkowane w macierz etapów działania. W planowaniu ćwiczenia służy do dwóch rzeczy: wyboru zestawu technik, które symulowany przeciwnik faktycznie stosuje, oraz zapisania wyniku w języku, który obrona potrafi przełożyć na reguły detekcji.
Materiały attack.mitre.org dotyczące planów emulacji przeciwnika idą dalej i opisują gotowe scenariusze odwzorowujące konkretne grupy. Wartość takiego planu polega na tym, że ćwiczenie przestaje zależeć od pomysłowości wykonawcy, a zaczyna od profilu zagrożenia właściwego dla branży zamawiającego — bank i zakład produkcyjny mają różnych przeciwników i różne ścieżki ataku.
To także odpowiedź na pytanie, co zostaje po ćwiczeniu. Raport zapisany wyłącznie jako opowieść o przebiegu jest trudny do wykorzystania. Raport odwzorowany na techniki z katalogu wskazuje konkretne luki w detekcji i daje się zamienić w zadania dla zespołu obronnego.
Test oparty na zagrożeniach i obowiązek regulacyjny
W sektorze finansowym część tej dyskusji jest już rozstrzygnięta przepisem. Rozporządzenie (UE) 2022/2554, znane jako DORA i opublikowane w eur-lex.europa.eu, wprowadza zaawansowane testy oparte na zagrożeniach dla wskazanych podmiotów finansowych, opisane w art. 26 i art. 27, wraz z wymaganiami wobec wykonawców takich testów oraz obowiązkiem objęcia nimi krytycznych funkcji w środowisku produkcyjnym.
Praktyczna konsekwencja dla zamawiającego jest podwójna. Po pierwsze, taki test nie jest zwykłym pentestem i nie da się go rozliczyć raportem z narzędzia skanującego. Po drugie, wymaga przygotowania organizacyjnego: uzgodnień z nadzorem, wywiadu o zagrożeniach dla własnego profilu i ścisłej kontroli ryzyka samego testu, bo prowadzony jest na działających systemach.
Dla podmiotów nieobjętych obowiązkiem ta konstrukcja pozostaje przydatnym wzorcem. Nazwane etapy, wywiad o zagrożeniach, pisemne reguły zaangażowania i kontrola ryzyka testu są dobrą praktyką niezależnie od tego, czy przepis ich wymaga.
Czytaj także
- Purple Team vs Red Team vs Blue Team — czym się różnią? — podział ról w ćwiczeniu i miejsce formatu współpracującego
- Pentest — co to jest? Metodologia, narzędzia i koszt — przebieg testu penetracyjnego i sposób czytania raportu
- Bezpieczeństwo aplikacji webowych — OWASP Top 10 w praktyce — zakres aplikacyjny, który zwykle testuje się osobno
Rozwijaj kompetencje
Temat rozwijają szkolenia Adversary Simulation z Atomic Red Team i MITRE ATT&CK oraz Testy penetracyjne — metodologia, rekonesans, eksploatacja podatności i raportowanie. Pierwsze pracuje na symulacji technik przeciwnika, drugie na metodyce testu i raporcie. Skontaktuj się z nami, żeby dopasować zakres do dojrzałości Twojej obrony.
Najczęściej zadawane pytania (FAQ)
Czym w praktyce różni się test penetracyjny od ćwiczenia red team?
Punktem odniesienia dla sukcesu. Test penetracyjny rozlicza się pokryciem zakresu i listą podatności, ćwiczenie red team — osiągnięciem celu i reakcją obrony na drodze do niego. Różni je także jawność: test bywa zapowiedziany, ćwiczenie traci wartość, gdy obrona zna termin.
Od czego zależy cena takiego zlecenia?
Od zakresu, czasu trwania i wymaganego poziomu ukrycia działań. Test penetracyjny wycenia się zwykle liczbą dni na uzgodniony zakres. Ćwiczenie red team jest droższe, bo obejmuje rozpoznanie, przygotowanie infrastruktury i działanie rozłożone w czasie, a także kontrolę ryzyka wobec systemów produkcyjnych.
Czym jest purple team i czy zastępuje któryś z tych formatów?
Nie zastępuje, lecz zmienia tryb pracy. Purple team to układ, w którym zespół ofensywny i obronny pracują razem w czasie rzeczywistym: atak jest wykonywany jawnie, a obrona od razu buduje i sprawdza reguły detekcji. Jest tańszy od pełnego ćwiczenia i skuteczniejszy, gdy celem jest podniesienie wykrywalności, a nie sprawdzenie organizacji.
Czy test oparty na zagrożeniach to to samo co red teaming?
Metodycznie jest bliski, ale jest formatem regulowanym: ma przepisane etapy, wymagania wobec wykonawcy, udział nadzoru i obowiązkowy zakres krytycznych funkcji. Ćwiczenie red team zamawiane dobrowolnie może być węższe i mniej sformalizowane, natomiast podmiot objęty obowiązkiem nie wykaże zgodności samym ćwiczeniem bez tej formalnej obudowy.