Red teaming: kaj je in kako se razlikuje od vdornega testa

Red teaming (rdeča ekipa) je ciljno usmerjena simulacija napadalca, pri kateri skupina etičnih strokovnjakov z dovoljenjem organizacije odigra realistične poteze resničnega nasprotnika, da preveri, ali je organizacijo mogoče kompromitirati in ali to znajo njeni branilci pravočasno zaznati ter zaustaviti. Za razliko od klasičnega vdornega testa, ki išče čim več ranljivosti, red teaming preverja doseganje konkretnega cilja — na primer dostop do najobčutljivejših podatkov — po celotni verigi ljudi, procesov in tehnologije. Rezultat ni seznam napak, temveč iskren odgovor na vprašanje, kako dobro organizacija zazna in obvlada odločnega napadalca.

Red teaming proti vdornemu testiranju

Vdorni test (penetracijski test) in red teaming pogosto enačimo, čeprav odgovarjata na različni vprašanji. Vdorni test je usmerjen v ranljivosti (angl. vulnerability-based): v vnaprej dogovorjenem obsegu, denimo določeni aplikaciji ali omrežnem segmentu, v omejenem času sistematično poišče in dokaže čim več izkoristljivih napak. Red teaming je usmerjen v cilje (angl. objective-based): meri, ali lahko napadalec doseže poslovno pomemben izid, pri tem pa namenoma ostaja prikrit, da sočasno preizkusi tudi zmožnost zaznave.

• Merilo uspeha. Vdorni test uspe, ko najde ranljivosti; red teaming uspe, ko doseže — ali zgreši — vnaprej zastavljeni cilj.
• Obseg. Vdorni test je ozek in globok; red teaming je širok in prečka meje sistemov, ljudi in fizičnih lokacij.
• Vidnost. Vdorni test običajno poteka odkrito in dogovorjeno; red teaming je prikrit in ga vnaprej pozna le ozek krog ljudi.
• Vprašanje, na katero odgovarja. »Kje smo ranljivi?« proti »Bi napad opazili in ga ustavili, preden povzroči škodo?«

Rdeča, modra in vijolična ekipa

Zrel varnostni program razmišlja v barvah ekip. Te niso nujno ločeni oddelki, temveč vloge, ki jih organizacija zapolni interno ali z zunanjimi partnerji.

Rdeča ekipa

Rdeča ekipa prevzame perspektivo napadalca. Njena naloga je posnemati taktike, tehnike in postopke (TTP) verjetnih nasprotnikov ter po realistični poti napasti organizacijo — ne zato, da škoduje, temveč da razkrije, kje bi pravi napadalec uspel.

Modra ekipa

Modra ekipa so branilci: varnostno-operativni center (SOC), analitiki, inženirji za odziv na incidente in skrbniki sistemov. Njihova naloga je zaznati, preiskati in zaustaviti napad. Prava vrednost red teaminga se pokaže prav skozi to, kako se odzove modra ekipa.

Vijolična ekipa

Vijolična ekipa ni tretja skupina, temveč način sodelovanja: rdeča in modra ekipa delujeta z odprtimi kartami, sproti izmenjujeta ugotovitve in skupaj izboljšujeta zaznavo. Ta pristop je hitrejši za učenje, a manj realističen glede prikritosti, zato ga pogosto uporabimo po opravljenem prikritem angažmaju.

Kako poteka angažma rdeče ekipe

Realističen angažma sledi enakim korakom kot pravi napad. Strokovnjaki jih pogosto opišejo z ogrodjem MITRE ATT&CK, javno bazo znanja o dejanskih taktikah in tehnikah napadalcev, ki poskrbi, da je vsak korak sledljiv, ponovljiv in primerljiv.

• Načrtovanje. Skupaj z naročnikom določimo cilje, obseg, pravila in scenarij ogroženosti, ki mu bomo sledili.
• Izvidništvo (rekognosciranje). Zbiranje javno dostopnih podatkov o ljudeh, tehnologiji, dobaviteljih in izpostavljenih storitvah.
• Začetni dostop. Prvi vdor — pogosto prek ciljanega ribarjenja, izpostavljene storitve ali fizičnega vstopa.
• Utrjevanje in stopnjevanje privilegijev. Vzpostavitev vztrajnosti v okolju in pridobivanje višjih pravic.
• Bočno premikanje. Neopazno širjenje po omrežju proti ključnim sistemom in računom.
• Doseganje cilja. Dostop do »kronskih draguljev« — najbolj kritičnih podatkov ali sistemov organizacije.
• Simulacija eksfiltracije. Prikaz odtekanja podatkov brez dejanske izgube — dokaz, ne škoda.

Ni nujno, da se vsak angažma začne pri ničli. Pri pristopu »predpostavljenega vdora« (angl. assume breach) rdeča ekipa začne že znotraj omrežja, da se pozornost usmeri v bočno premikanje in zaznavo, ne v prvi preboj.

Vektorji napada: kibernetski, socialni in fizični

Pravi napadalci ne izbirajo poti po organizacijski shemi obrambe, temveč po najšibkejšem členu. Zato dober red teaming kombinira tri vektorje.

Kibernetski vektor

Napadi na aplikacije, omrežja, oblačne storitve, identitete in končne točke — od izkoriščanja ranljivosti do zlorabe napačnih nastavitev in kompromitiranih poverilnic.

Socialni inženiring

Izraba ljudi, ne strojev: ciljano ribarjenje (spear phishing), telefonsko zavajanje (vishing) in izkoriščanje zaupanja zaposlenih. Človek ostaja najpogostejša vstopna točka odločenega napadalca.

Fizični vektor

Poskus fizičnega vstopa v prostore — sledenje za pooblaščeno osebo (tailgating), lažne identitete in dostop do sejnih sob, omrežnih vtičnic ali strežniških prostorov. Fizični in digitalni svet sta pogosto povezana bolj, kot se zdi.

Pravila sodelovanja

Red teaming je nadzorovana operacija, ne prosti lov. Pravila sodelovanja (angl. rules of engagement) so pisni dogovor, ki jasno določa, kaj je dovoljeno, in ščiti tako organizacijo kot izvajalca.

• Obseg in izjeme. Kateri sistemi, lokacije in tehnike so dovoljeni ter kaj je izrecno prepovedano, na primer kritična medicinska ali industrijska oprema.
• Pisno pooblastilo. Podpisano dovoljenje odgovorne osebe — pravna podlaga, ki loči test od kaznivega dejanja.
• Postopek deeskalacije. Vnaprej dogovorjene kontaktne osebe in »varnostna beseda« za takojšnjo ustavitev, če bi angažma ogrozil poslovanje.
• Dekonfliktacija. Sprotno usklajevanje z ozkim krogom vpletenih (t. i. belo ekipo), da resnično zaznavo ločimo od simulacije.

Preizkus zaznave in odziva

Ključni izkupiček red teaminga ni vdor, temveč odziv nanj. Angažma meri, ali je obramba napad opazila, kako hitro in kako pravilno se je odzvala.

• Ali smo zaznali? Katere poteze so sprožile alarm in katere so ostale nevidne.
• Kako hitro? Čas do zaznave in čas do odziva — koliko časa bi napadalec nemoteno deloval (t. i. čas zadrževanja).
• Kako pravilno? Ali so procesi, orodja in ljudje za odziv delovali skladno z načrtom.

Prav zato je smiselno vsak angažma zaključiti s skupnim pregledom rdeče in modre ekipe, kjer korak za korakom uskladimo, kaj se je dejansko zgodilo in kaj je obramba videla. Iz te primerjave nastanejo konkretne izboljšave zaznavnih pravil in postopkov odziva.

Obveščevalno vodeno testiranje: TIBER-EU in DORA

Najzahtevnejša oblika je obveščevalno vodeno testiranje (angl. threat-led penetration testing), kjer scenarije poganja resnično obveščevalno gradivo o napadalcih, ki dejansko ciljajo panogo organizacije. V Evropi je referenčni okvir TIBER-EU, ki ga je zasnovala Evropska centralna banka.

• TIBER-EU. Usklajen evropski okvir za obveščevalno vodeno rdeče testiranje na živih, produkcijskih sistemih, z ločenima ponudnikoma obveščevalnih podatkov in rdeče ekipe ter nadzorom pristojnega organa.
• DORA. Uredba o digitalni operativni odpornosti za finančni sektor EU, ki se uporablja od januarja 2025, za pomembnejše subjekte uvaja obvezno obveščevalno vodeno testiranje (TLPT), naslonjeno na TIBER-EU, praviloma vsaj vsaka tri leta.
• Sorodni okviri. Podobne pristope poznajo tudi drugod, na primer britanski CBEST za finančni sektor.

Kaj vodstvo izve iz red teaminga

Za vodstvo red teaming ni tehnična vaja, temveč preizkus odpornosti poslovanja. Dobro poročilo govori jezik tveganja, ne le ranljivosti.

• Realna slika. Ali bi odločen napadalec dosegel najobčutljivejša sredstva in kako dolgo bi ostal neopažen.
• Verige, ne točke. Kako se posamezne, na videz nedolžne pomanjkljivosti povežejo v uspešen napad.
• Zmožnost obrambe. Kje obramba deluje in kje potrebuje vlaganja v ljudi, procese ali tehnologijo.
• Prednostni ukrepi. Konkreten, po tveganju razvrščen načrt izboljšav, ki podpira odločitve o proračunu.

Kdaj je organizacija zrela za red teaming

Red teaming ni prvi korak, temveč preizkus že zrelega programa. Če organizacija še nima urejenih osnov, bo simulacija napadalca le drago potrdila znano — bolje je začeti z ocenami ranljivosti in vdornimi testi.

Znaki zadostne zrelosti so: urejen popis sredstev, delujoče upravljanje ranljivosti in popravkov, vzpostavljeno spremljanje in zmožnost odziva na incidente (SOC ali enakovredna funkcija) ter jasno določena najobčutljivejša sredstva, ki jih je vredno braniti. Šele ko obramba nekaj že zna zaznati, ima smisel preverjati, ali to zmore tudi proti odločnemu, prikritemu nasprotniku.

Pogosta vprašanja

Kakšna je razlika med red teamingom in vdornim testom?

Vdorni test v omejenem obsegu poišče čim več ranljivosti in je večinoma odkrit. Red teaming je prikrita, ciljno usmerjena simulacija napadalca, ki preizkuša celotno verigo ljudi, procesov in tehnologije ter — kar je najpomembnejše — zmožnost organizacije, da napad zazna in nanj odgovori. Vdorni test odgovarja na vprašanje »kje smo ranljivi«, red teaming pa »ali bi napad ustavili«.

Katere organizacije potrebujejo red teaming?

Organizacije z zrelim varnostnim programom in visoko vrednimi sredstvi: finančne institucije, kritična infrastruktura, tehnološka podjetja, zdravstvo in javni sektor. V finančnem sektorju EU je obveščevalno vodeno testiranje za pomembnejše subjekte celo regulatorna zahteva (DORA). Manj zrele organizacije naj najprej uredijo osnove in izvedejo vdorne teste.

Ali je red teaming varen?

Da, kadar je izveden strokovno. Nadzorujejo ga pisna pravila sodelovanja, podpisano pooblastilo, sprotna dekonfliktacija in dogovorjeni postopki za takojšnjo ustavitev. Cilj je dokazati pot napada brez povzročanja škode; odtekanje podatkov se praviloma le simulira, kritični sistemi pa so pogosto izrecno izvzeti iz obsega.

Kako pogosto je treba izvajati red teaming?

Odvisno od profila tveganja, a pogosta praksa je vsaj enkrat letno ter ob večjih spremembah, na primer selitvi v oblak, združitvi ali uvedbi novega ključnega sistema. Regulativni okviri, kot je DORA, za obveščevalno vodeno testiranje praviloma predpisujejo najmanj vsaka tri leta, kar velja kombinirati z rednim vdornim testiranjem in stalnim spremljanjem.

Na Inštitutu za varnost in strateške raziskave (IVSR) povezujemo kibernetsko, fizično in človeško plat varnosti v celovito sliko odpornosti organizacije. Če razmišljate, ali je vaša organizacija dovolj zrela za simulacijo napadalca — ali kako do tja priti — se obrnite na nas za posvet.