red team

Red team to zespół, który za zgodą organizacji naśladuje działania realnego przeciwnika, żeby sprawdzić, czy jej obrona wykryje atak i zdoła go powstrzymać. NIST, za słownikiem CNSSI 4009-2022, definiuje go jako grupę osób upoważnionych i zorganizowanych do emulowania zdolności ataku lub wykorzystania, jakimi mógłby dysponować potencjalny przeciwnik, wobec stanu zabezpieczeń przedsiębiorstwa ^[1]. Ćwiczenie typu red team odtwarza warunki rzeczywiste jako symulowaną próbę naruszenia misji albo procesów biznesowych organizacji ^[2]. Miarą sukcesu jest tu nie liczba znalezionych podatności, lecz to, czy obrońcy zauważyli atak i jak zareagowali.

Jak działa

Ćwiczenie red team ma zwykle cel biznesowy, a nie listę systemów do sprawdzenia. Celem może być na przykład dostęp do bazy klientów albo możliwość zmiany treści sklepu internetowego. Zespół atakujący sam wybiera drogę: może zacząć od socjotechniki, od błędu w aplikacji internetowej albo od fizycznego wejścia do biura. Niebezpiecznik wymienia wśród działań red teamingu próby fizycznego wejścia i symulacje socjotechniczne, obok klasycznych testów aplikacji i sieci ^[7].

Obrońców nazywa się blue teamem. Według NIST to grupa odpowiedzialna za obronę systemów organizacji przed zespołem udającym atakujących ^[3]. Ćwiczenia takie trwają zwykle dłużej i toczą się według ustalonych zasad, których przestrzeganie nadzoruje neutralny white team ^[3].

Scenariusz ataku opiera się na wiedzy o prawdziwych grupach. Bazą bywa MITRE ATT&CK, publicznie dostępna baza taktyk i technik przeciwników oparta na obserwacjach z rzeczywistych ataków ^[5]. Pozwala to opisać ćwiczenie językiem taktyk, technik i procedur (TTP) i porównać, które techniki obrona wykryła, a które przeoczyła.

Przebieg typowego ćwiczenia pokazuje schemat poniżej.

RYS. 1Ćwiczenie red team

Red team, pentest i purple team

Red team często myli się z testem penetracyjnym. Oba polegają na autoryzowanym atakowaniu własnej organizacji, ale mają inny cel i inną miarę.

Trzecią formą jest purple teaming. Sekurak opisał tę współpracę przy okazji konferencji x33fcon w Gdyni: red team przekazuje obserwującemu go na bieżąco blue teamowi wiedzę o swoich działaniach, a zespoły wspólnie wypełniają luki w detekcji ^[6]. Konferencja była poświęcona współpracy zespołów symulujących ataki w sieci klienta i tych, którzy się przed nimi bronią ^[6].

W WordPressie

Pełne ćwiczenie red team dotyczy całej organizacji, nie pojedynczej witryny. Strona na WordPressie bywa w nim jednak jednym z punktów wejścia, bo jest publiczna i często mniej pilnowana niż systemy wewnętrzne. Typowe ścieżki, które red team sprawdza na takiej stronie, to znane podatności we wtyczkach, enumeracja użytkowników i próby odgadywania haseł.

Oficjalny podręcznik administracji WordPressa wskazuje, że xmlrpc.php jest częstym celem ataków siłowych (brute-force), szczególnie przez metodę system.multicall ^[8]. Dla ćwiczenia ważniejsze od tego, czy hasło padnie, jest pytanie, czy ktoś to zauważy. Red team może sprawdzić, czy setki prób logowania wywołują alert, czy blokada adresu działa i czy administrator hostingu dowie się o incydencie. Podręcznik zaleca ochronę na brzegu albo na serwerze, bo wtyczki działają w PHP i pod silnym atakiem nadal zużywają zasoby ^[8]; red team może zweryfikować, czy taka warstwa rzeczywiście działa.

Dla małych witryn pełny red team jest zwykle nieproporcjonalny. Częściej wystarcza test penetracyjny, skanowanie podatności i sprawdzenie, czy monitoring i reagowanie na incydenty działają w praktyce.

Znaczenie

Wartość red teamu polega na sprawdzeniu obrony w warunkach zbliżonych do prawdziwego ataku. NIST wskazuje, że celem jest wykazanie skutków udanego ataku oraz tego, co działa u obrońców w warunkach operacyjnych ^[1]. Ćwiczenie mierzy więc ludzi i procesy, a nie tylko oprogramowanie: czy analityk zauważył podejrzany ruch, czy eskalował go właściwie, czy zespół odciął atakującego.

W sektorze finansowym takie testy stały się wymogiem. Europejski Bank Centralny wraz z krajowymi bankami centralnymi opracował TIBER-EU, europejskie ramy etycznego red teamingu opartego na analizie zagrożeń, opublikowane w maju 2018 roku ^[4]. W 2024 roku ramy zmieniono, by dostosować je do regulacyjnych standardów technicznych DORA dotyczących testów penetracyjnych prowadzonych w oparciu o zagrożenia ^[4]. W ćwiczeniu TIBER-EU biorą udział m.in. blue team, którego zdolność wykrycia i reakcji jest oceniana, testerzy red team, dostawca threat intelligence oraz zespół kontrolny w organizacji ^[4].

Dobre praktyki

• Spisać zasady zaangażowania: cel, dozwolone techniki, osoby wtajemniczone i sposób przerwania ćwiczenia; nadzór neutralnego zespołu przewiduje definicja NIST ^[3].
• Oprzeć scenariusz na technikach realnych grup, na przykład z bazy MITRE ATT&CK ^[5].
• Oceniać wykrycie i reakcję, nie tylko skuteczność ataku ^[4].
• Po ćwiczeniu przygotować raport obu stron i plan naprawczy, jak w fazach TIBER-EU ^[4].
• Przed pierwszym red teamem uporządkować podstawy: zarządzanie podatnościami, logowanie zdarzeń i monitoring.