Red teaming (simulacija naprednega napadalca)

Penetracijski test meri, koliko ranljivosti je mogoče najti in izkoristiti v dogovorjenem obsegu; red teaming meri odpornost organizacije kot celote. Merilo uspeha ni število najdenih ranljivosti, temveč doseganje vnaprej zastavljenih ciljev — na primer dostop do določenega nabora podatkov, do nadzorne sobe ali do sistema za izvrševanje plačil — in predvsem to, ali in kdaj je bila dejavnost zaznana.

Scenarij se pripravi na podlagi obveščevalnih podatkov o grožnjah, ki so za konkretno organizacijo realne, tehnike in postopki pa se praviloma preslikajo na uveljavljene kataloge napadalskih tehnik, kot je MITRE ATT&CK. Vaja teče dlje časa, prikrito in postopno. O njej ve le ozek krog oseb, t. i. bela ekipa, ki skrbi za nadzor, varnostne omejitve in razreševanje dvomov, če bi obrambna ekipa zaznano dejavnost zamenjala za resnični napad.

V finančnem sektorju obstajajo formalizirane oblike takega testiranja, vodenega z obveščevalnimi podatki o grožnjah: evropski okvir TIBER-EU, uredba DORA pa za subjekte, ki izpolnjujejo merila, predvideva napredno testiranje prodornosti (TLPT). Te sheme predpisujejo vloge udeležencev, zahteve glede usposobljenosti izvajalcev, obvladovanje tveganj same vaje in obliko poročanja.

Rezultat ni le seznam pomanjkljivosti, temveč časovnica napada, ki se primerja z zapisi in ukrepanjem obrambne ekipe. Iz nje se izpeljeta čas do zaznave in čas do odziva, prepoznajo se slepe pege v nadzoru ter določijo popravki zaznav, postopkov in usposabljanja.