Definicja Red Team
Red team to zespół, który w ramach ćwiczenia bezpieczeństwa wciela się w rolę realnego przeciwnika i dąży do osiągnięcia konkretnego celu operacyjnego - na przykład dostępu do danych klientów, przejęcia kontrolera domeny albo wyprowadzenia środków z systemu finansowego - dowolną drogą, jaką obrałby faktyczny atakujący. Ćwiczenie sprawdza nie tylko istnienie luk technicznych, ale zdolność całej organizacji, w tym zespołu blue team, do wykrycia ataku i zareagowania na niego, zanim dojdzie do realnej szkody.
Nazwa wywodzi się z terminologii ćwiczeń wojskowych, gdzie strona czerwona odgrywała przeciwnika w grze wojennej, a strona niebieska broniła własnych sił. W cyberbezpieczeństwie ten podział kolorów przyjął się jako standardowy skrót myślowy: czerwony atakuje, niebieski broni, a fioletowy - opisany osobno w haśle purple team - określa tryb, w którym obie strony pracują razem, nie osobny zespół.
Kryterium odróżniającym red team od pojedynczego testu podatności jest cel, nie narzędzie. Zespół nie dostaje listy systemów do sprawdzenia punkt po punkcie - dostaje zadanie do wykonania, a wybór drogi dojścia do niego należy do niego samego, tak jak u realnego przeciwnika.
Jak to działa
Ćwiczenie red team przebiega w kilku wyraźnie oddzielonych etapach, rozciągniętych zwykle na tygodnie lub miesiące - bo naśladuje cierpliwość realnego przeciwnika, a nie presję czasową audytu.
Rozpoznanie zbiera informacje o organizacji z ogólnodostępnych źródeł - technika znana jako OSINT - oraz z samej infrastruktury, zanim padnie pierwsza próba dostępu. Ten etap coraz częściej zasila się też danymi threat intelligence (CTI) o taktykach realnych grup przestępczych, żeby scenariusz odzwierciedlał aktualne zagrożenia, a nie podręcznikowy przypadek sprzed lat. Wstępny dostęp najczęściej wykorzystuje phishing, znalezioną lukę albo inną drogę wejścia zgodną z realnym scenariuszem, jaki zespół ustalił z zamawiającym przed startem.
Po uzyskaniu przyczółka zespół buduje trwały dostęp i podnosi uprawnienia, przemieszczając się bocznie w sieci w stronę celu. Ostatni etap techniczny to realizacja celu - osiągnięcie ustalonego wcześniej rezultatu, na przykład eksfiltracji wybranego zbioru danych albo wykazania możliwości przejęcia systemu krytycznego.
Zamyka ćwiczenie rozbiór (debrief), w którym red team i blue team wspólnie omawiają, co zostało wykryte, co przeoczono i dlaczego. Ten sam mechanizm wymiany informacji, prowadzony jednak na bieżąco w trakcie ćwiczenia zamiast dopiero po nim, opisuje osobno hasło purple team. Przez cały czas trwania klasycznego ćwiczenia obrońcy nie wiedzą, że test trwa - to założenie odróżnia red teaming od trybu purple i zostaje rozwinięte w kolejnej sekcji.
Struktura i klasyfikacja
Trzy formy ofensywnego testowania bezpieczeństwa różni przede wszystkim to, jak blisko realnego ataku znajduje się symulacja - nie sama technika, bo te same narzędzia bywają wspólne dla wszystkich trzech.
| Forma | Zakres | Wiedza obrońców | Cel |
|---|---|---|---|
| Pentest | Ustalona lista systemów | Zwykle pełna, za zgodą | Znaleźć jak najwięcej podatności w zakresie |
| Red team | Cel biznesowy, dowolna droga | Brak wiedzy o trwającym teście | Sprawdzić wykrycie i reakcję całej obrony |
| Bug bounty | Systemy dopuszczone programem | Brak wiedzy o konkretnym badaczu | Ciągłe zgłaszanie luk przez niezależnych badaczy |
Bug bounty nie ma ustalonego okna czasowego - dowolna liczba niezależnych badaczy szuka luk w sposób ciągły, a wynagrodzenie zależy od wagi znalezionej podatności. Realizm jest wysoki, bo badacze działają jak prawdziwi, zewnętrzni napastnicy, ale zakres testowanych systemów bywa węższy niż w pentescie, bo obejmuje tylko to, co program jawnie dopuszcza.
Poza umiejscowieniem na tej osi zespoły red team różnią się też pochodzeniem i zakresem wiedzy udostępnionej z góry:
- Zespół zewnętrzny albo wewnętrzny - firma może zlecić ćwiczenie zewnętrznemu dostawcy albo utrzymywać własny, stały zespół ofensywny, co wymaga budżetu i kompetencji trudnych do utrzymania poza organizacjami o dużej skali.
- Scenariusz "white card" - wąskie grono kierownictwa i CISO wie o trwającym ćwiczeniu z góry, żeby uniknąć eskalacji do realnych procedur kryzysowych w razie wykrycia śladów ataku, ale reszta blue teamu nadal działa bez tej wiedzy.
- Zakres wiedzy startowej - część ćwiczeń zaczyna od zera, część od założonego wcześniejszego skompromitowania jednego konta (assume breach), by skrócić czas potrzebny na dotarcie do interesującej fazy testu.
W szerszym kontekście
Red team nie działa w oderwaniu od reszty programu bezpieczeństwa organizacji. Jego naturalnym adresatem jest blue team obsługujący SOC - to właśnie jego zdolność wykrycia i reakcji ćwiczenie ma zmierzyć, nie samą podatność techniczną.
Gdy obie strony celowo dzielą się wiedzą w trakcie ćwiczenia zamiast czekać na końcowy raport, mówimy już nie o osobnym, trzecim zespole, tylko o trybie pracy zwanym purple team - hasło to opisuje szczegółowo, na czym polega ta zmiana rytmu i kiedy ma sens sięgnąć po nią zamiast klasycznego red teamingu.
Ślady, jakie red team zostawia w trakcie ćwiczenia - próby dostępu, ruch boczny, komunikacja z serwerem dowodzenia - mają tę samą naturę co wskaźniki ataku (IoA) i wskaźniki kompromitacji (IoC), które blue team próbuje wychwycić w SIEM. Dobrze przeprowadzone ćwiczenie generuje realistyczny zestaw takich śladów, zamiast sztucznego szumu łatwego do odróżnienia od prawdziwego ataku.
Zastosowanie w praktyce
Red teaming ma sens dopiero wtedy, gdy podstawowa higiena bezpieczeństwa jest już opanowana - regularne zarządzanie podatnościami i przynajmniej jeden zakończony pentest za sobą. Uruchomienie pełnego ćwiczenia bez tego fundamentu zwykle kończy się listą tych samych, podstawowych luk, które tańszy pentest wykryłby szybciej i taniej.
W praktyce red teaming pełni kilka konkretnych ról w dojrzałym programie bezpieczeństwa:
- Weryfikacja realnej gotowości - jedyny sposób sprawdzenia, czy SOC faktycznie wykryje i powstrzyma atak, a nie tylko posiada odpowiednie narzędzia na papierze.
- Test procedur kryzysowych - poza samą detekcją sprawdza, czy eskalacja, komunikacja wewnętrzna i decyzje zarządu w trakcie realnego incydentu działają tak, jak zakładają procedury.
- Materiał wejściowy do ćwiczeń purple - luki w detekcji ujawnione podczas red teamingu stają się punktem wyjścia do sesji purple team, które domykają je szybciej niż kolejny pełny cykl.
- Dowód należytej staranności - w sektorach regulowanych udokumentowane ćwiczenie ofensywne wspiera wykazanie zgodności z wymaganiami dotyczącymi testowania odporności.
Firmy oferujące tego typu ćwiczenia znajdziesz w kategorii Testy Penetracyjne i Audyty.
Najczęstsze nieporozumienia
Nieprawda. Różnicę wyznaczają cztery niezależne cechy: zakres (ustalona lista systemów kontra cel biznesowy), cel (szerokość podatności kontra głębokość i skuteczność obrony), czas trwania (krótki, zamknięty termin kontra ćwiczenie rozciągnięte w czasie) i wiedza obrońców (zwykle pełna kontra żadna). Rozróżnienie ma znaczenie praktyczne przy wyborze usługi - organizacja bez wcześniejszych testów zaczyna od pentestu, nie od razu od red teamingu.
Nieprawda, i to jedno z najczęściej mylonych pojęć w tym obszarze. Purple team to tryb współpracy tych samych dwóch zespołów, nie nowa grupa ludzi - pełne uzasadnienie i przykład, jak to wygląda w praktyce, opisuje osobne hasło.
Nieprawda. Ćwiczenie zawsze odbywa się na podstawie pisemnej zgody (rules of engagement) uzgodnionej z zamawiającym przed startem, obejmującej dozwolony zakres celów, granice eskalacji i procedurę na wypadek nieprzewidzianych skutków. Brak takiej zgody zmienia działanie z ćwiczenia bezpieczeństwa w przestępstwo, niezależnie od intencji wykonawcy.
Zbyt duże uproszczenie. Długość ćwiczenia wynika z realizmu scenariusza, nie jest samodzielnym miernikiem jakości. Krótkie, dobrze zaprojektowane ćwiczenie z jasnym celem biznesowym dostarcza więcej wartości niż rozciągnięte w czasie działanie bez sprecyzowanego celu końcowego.
FAQ
Czym różni się red team od pentestu?
Cztery cechy rozstrzygają tę różnicę: zakres (cel biznesowy zamiast ustalonej listy systemów), cel (głębokość i skuteczność obrony zamiast szerokości podatności), czas trwania (ćwiczenie rozciągnięte w czasie zamiast krótkiego, zamkniętego terminu) i wiedza obrońców (brak zamiast pełnej, zwykle za zgodą). Pentest mierzy, ile luk da się znaleźć w ustalonym zakresie - red team mierzy, czy organizacja jako całość wykryje i powstrzyma realny atak.
Czy blue team wie, że trwa ćwiczenie red team?
W klasycznym modelu nie - to właśnie brak wiedzy o trwającym teście sprawia, że reakcja obrońców jest wiarygodnym pomiarem realnej gotowości. Wyjątkiem jest scenariusz "white card", w którym wąskie grono kierownictwa wie o ćwiczeniu z góry, żeby uniknąć niepotrzebnej eskalacji do procedur kryzysowych, gdy ktoś zauważy ślady ataku.
Czym jest purple team i czy to trzeci zespół?
Nie - purple team to tryb pracy, w którym red team i blue team wymieniają się informacjami na bieżąco w trakcie ćwiczenia, zamiast czekać na raport końcowy. Żadna firma nie zatrudnia purple teamu jako osobnej, trzeciej grupy specjalistów.
Od czego zacząć, zanim zamówi się ćwiczenie red team?
Od podstawowej higieny bezpieczeństwa - regularnego zarządzania podatnościami i przynajmniej jednego zakończonego pentestu. Bez tego fundamentu red teaming najczęściej odkrywa te same, podstawowe luki, które szybciej i taniej wykryłby zwykły test penetracyjny.
Powiązane pojęcia
- Blue Team - zespół broniący, który staje się przedmiotem testu w ćwiczeniu red team.
- Purple Team - tryb współpracy, w którym red team i blue team dzielą się wiedzą na bieżąco.
- Pentest - węższy test o ustalonym zakresie, punkt wyjścia przed pełnym red teamingiem.
- SOC - operacyjne centrum, którego zdolność wykrycia i reakcji ćwiczenie red team sprawdza.
- CTI - źródło danych o taktykach realnych przeciwników zasilające scenariusz ćwiczenia.
Testy Penetracyjne i Audyty
Znajdziesz tu firmy prowadzące ćwiczenia red team i pentesty.