Red Teaming

Red teaming je komplexní test bezpečnosti organizace, který simuluje reálný útok na organizaci. Jeho cílem je co nejvěrněji simulovat sofistikovaný útok na celou organizaci, nejen na její specifickou část, jako je tomu v případě penetračních testů. Proto jsou součástí red teaming cvičení různé druhy kybernetických útoků, sociální inženýrství, nebo pokusy o fyzický průnik, aby byla otestována připravenost nejen technologií, ale i lidí a procesů.

Red team využívá stejné techniky jako skuteční útočníci (scénáře mapujeme na rámec MITRE ATT&CK) a snaží se dosáhnout předem definovaných cílů, například získání přístupu k citlivým datům nebo kompromitace kritických systémů.

Red team cvičení je vždy pečlivě připravené tak, aby neohrozilo běžný provoz společnosti. Ještě před jeho zahájením společně definujeme rozsah testování, pravidla i situace, kterým se chceme vyhnout. Pokud některé techniky představují vyšší riziko, provádějí se pouze po předchozí dohodě.

Smyslem red teamingu není způsobit výpadek systémů, ale co nejvěrněji ověřit, jak by organizace reagovala na skutečný útok. Bezpečnost i kontinuita provozu proto mají vždy přednost.

Red teaming doporučujeme organizacím, které již mají zavedená základní bezpečnostní opatření a chtějí ověřit jejich skutečnou účinnost. Největší přínos má po implementaci bezpečnostních technologií, vytvoření SOC týmu či po absolvování standardních penetračních testů. Umožňuje ověřit, jak organizace obstojí při reálném útoku.

Délka závisí na rozsahu testování, definovaných cílech i použitém scénáři. Menší red team cvičení může trvat několik týdnů, rozsáhlejší projekty obvykle probíhají jeden až dva měsíce. Část času připadá na přípravu scénářů, samotnou simulaci útoku i následné vyhodnocení výsledků.

Ve většině organizací postačí red teaming provádět jedenkrát za jeden až dva roky, případně po významných změnách bezpečnostní architektury nebo po implementaci nových technologií. Mezi jednotlivými cvičeními se doporučuje pravidelně provádět penetrační testy a průběžně odstraňovat zjištěné nedostatky.

Penetrační test se zaměřuje především na identifikaci a ověření bezpečnostních zranitelností konkrétní aplikace, infrastruktury nebo služby. Red teaming naproti tomu simuluje skutečný útok vedený z pohledu útočníka. Cílem není najít co nejvíce zranitelností, ale ověřit, zda dokáže organizace útok odhalit, reagovat na něj a zabránit útočníkovi v dosažení jeho cíle.

Red teaming cvičení simuluje činnost skutečných útočníků. Etičtí hackeři ověřují, zda dokáží proniknout do systémů organizace pomocí reálných útočných technik. Cílem je identifikovat slabá místa a prověřit účinnost bezpečnostních opatření v praxi.

Blue teaming cvičení se naopak zaměřuje na obranu. Úkolem týmu je monitorovat bezpečnostní události, odhalovat útoky, reagovat na bezpečnostní incidenty a průběžně posilovat ochranu organizace.

Komplexní bezpečnostní strategie obvykle zahrnuje oba přístupy. Red team ověřuje odolnost organizace simulací reálných útoků, zatímco Blue team zajišťuje jejich včasné odhalení, efektivní reakci a následné zlepšování bezpečnostních opatření.

Red teaming sám o sobě nenahrazuje požadavky těchto norem a regulací, ale představuje velmi účinný způsob, jak ověřit, že bezpečnostní opatření fungují i v praxi.

Výsledky cvičení mohou podpořit plnění požadavků ISO 27001, DORA, SOC 2 nebo ZoKB, které kladou důraz na řízení rizik, ověřování účinnosti bezpečnostních opatření, připravenost na incidenty i průběžné zvyšování kybernetické odolnosti. Red teaming totiž neprověřuje pouze technologie, ale také procesy, schopnost detekce a reakce bezpečnostních týmů.

U DORA je ale potřeba rozlišovat běžné red team cvičení a formální TLPT (Threat-Led Penetration Testing) podle rámce TIBER-EU, které mají určené významné finanční subjekty povinnost absolvovat a které má vlastní pravidla i požadavky na testery. Běžný red teaming TLPT nenahrazuje.

Penetrační test hledá slabá místa, red teaming ověřuje, zda je dokáže útočník skutečně využít a jak na to organizace zareaguje.

Penetrační test je ideální ve chvíli, kdy chcete odhalit a odstranit zranitelnosti konkrétní aplikace, infrastruktury nebo služby. Red teaming přichází na řadu ve chvíli, kdy vás zajímá, jak by vaše organizace obstála při skutečném útoku.

Typicky jej doporučujeme organizacím, které už mají za sebou pravidelné penetrační testy, provozují bezpečnostní monitoring nebo SOC a chtějí ověřit, jestli jsou jejich lidé, procesy i technologie schopné útok včas odhalit a zastavit.

Oba přístupy se vzájemně doplňují, nikoliv nahrazují.