Simulace útoků: Red Team vs. Blue Team a jejich strategie

Penetrační testování
P. Varga
Simulace útoků: Red Team vs. Blue Team a jejich strategie

Proč simulovat Red Team vs. Blue Team

Simulace útoků Red Team vs. Blue Team představují řízené, bezpečné a cílené procvičení obrany organizace proti reálným taktikám a postupům útočníků. Cílem není pouze „prolomit perimetr“, ale především ověřit detekční a reakční schopnosti, vyhodnotit odolnost procesů, lidí a technologií a propojit kybernetické riziko s dopadem na byznys. V moderních prostředích (cloud, hybridní infrastruktura, OT/ICS, SaaS) už nejde o jednorázové penetrační testy – důraz se přesouvá ke kontinuální validaci zabezpečení a metrikám pokrytí detekcí napříč hrozbami.

Definice rolí: Red, Blue, Purple a White Team

  • Red Team: simuluje protivníka (APT, kyberkriminalitu, insidera). Využívá zpravodajství o hrozbách, TTP, sociální inženýrství, fyzickou bezpečnost, útoky na dodavatelský řetězec a úniky přihlašovacích údajů.
  • Blue Team: brání organizaci. Provozuje monitoring (SIEM, EDR/NDR), vyhledává hrozby, ladí detekce, provádí reakce a obnovu, spravuje zranitelnosti a konfigurace.
  • Purple Team: facilitační role propojující Red a Blue Team za účelem iterativního učení. Cílem je zkrátit cyklus „útok → detekce → zlepšení“.
  • White Team: zajišťuje dohled, governance a bezpečnostní a právní rámec cvičení. Schvaluje pravidla hry, dohlíží na bezpečnost a dokumentuje výsledky.

Cíle a měřitelné výstupy simulace

  • Ověření pokrytí detekcemi vybraných TTP ve vztahu k referenčním rámcům (např. MITRE ATT&CK).
  • MTTD/MTTR (doba do detekce a do reakce), přesnost upozornění, míra falešně pozitivních/negativních nálezů.
  • Účinnost reakce na incidenty (komunikace, eskalace, forenzní postupy, řetězec důkazů).
  • Odolnost vůči laterálnímu pohybu, eskalaci oprávnění a exfiltraci dat.
  • Dopad na byznys: mapování zjištění na rizikové scénáře, SLA a kontinuitu provozu.

Vymezení rozsahu, pravidla hry a právní rámec

Kvalitní simulace začíná přesným vymezením rozsahu a pravidel:

  • Rozsah: domény, sítě (on-prem, cloud), aplikace, OT/ICS, třetí strany, fyzické lokality.
  • Pravidla zakázaných aktivit (ROE): zakázané techniky (např. DDoS útoky na produkční služby, destruktivní payloady), limity sociálního inženýrství a fyzického testování.
  • Bezpečnostní pojistky: časové okno, „kill switch“, kontaktní osoby dostupné 24/7, mapa rizik pro kritické systémy.
  • Právní a compliance rámec: souhlas managementu, zpracování osobních údajů, dohody o mlčenlivosti, odpovědnost a pojištění.

Metodiky a rámce: od MITRE ATT&CK k TIBER-EU

  • MITRE ATT&CK: taxonomie taktik a technik, která slouží jako společný jazyk pro emulaci hrozeb i detekční inženýrství.
  • Emulační plány: scénáře založené na konkrétních APT nebo kriminálních skupinách, které zahrnují jejich TTP, infrastrukturu a sekvence útoků.
  • TIBER-EU/CBEST/GBEST: regulované programy red teamingu pro finanční sektor s důrazem na zpravodajství o hrozbách a testování kritických funkcí.
  • NIST CSF / ISO 27001 / CIS Controls: mapování zjištění na kontrolní rámce a plán zlepšení.

Fáze operace Red Teamu

  1. Zpravodajství a průzkum: OSINT, enumerace, profilování uživatelů, sběr metadat z dokumentů, účetních záznamů a domén.
  2. Počáteční přístup: phishing/spear-phishing, zneužití zranitelnosti (RCE, deserializace, chyby cloudového IAM), kompromitace dodavatele.
  3. Udržení přístupu a eskalace oprávnění: udržení přístupu (plánovače úloh, runkey, cloudové přístupové klíče), exploatační řetězce ke zvýšení oprávnění.
  4. Laterální pohyb: krádež tokenů, kerberoasting, zneužití RDP/WinRM/SSH, přesun přes proxy a VPN, útoky na CI/CD.
  5. Akce na cíli: přístup k citlivým datům, manipulace s aplikacemi, exfiltrace, případně test odolnosti záloh (bez destrukce).
  6. Úklid a závěrečné vyhodnocení: odstranění artefaktů podle ROE, přesná dokumentace časové osy a IOC pro Blue Team.

Blue Team: detekční a reakční schopnosti

  • Telemetrie: EDR/XDR na koncových stanicích a serverech, NDR v síti, logy identit (AD/Azure AD/IdP), cloudové auditní záznamy, aplikační a databázové logy.
  • SIEM a korelace: normalizace, korelační pravidla, vazby mezi případy a časové osy útoků.
  • SOAR a playbooky: automatizace izolace hostitelů, resetování hesel, blokování IOC, správa ticketů a komunikace.
  • Threat Hunting: hledání anomálií řízené hypotézami, vyhledávání bez IOC, retrospektivní analýzy datových jezer.
  • Forenzní připravenost: schopnost spolehlivě uchovávat důkazy napříč koncovými zařízeními, cloudem a sítí, včetně řetězce důkazů.

Purple Teaming: rychlá zpětná vazba a učení

Cvičení Purple Teamu rozděluje komplexní scénář na jednotlivé techniky a u každé z nich provádí cyklus: emulace → detekce → ladění → opakovaný test. Zajišťuje tak, aby každý útok vedl ke vzniku konkrétního detekčního obsahu (pravidla, dotazy, upozornění) a provozních změn (telemetrie, konfigurace). Cílovým výstupem jsou repozitáře Detection-as-Code se správou verzí a testy.

Cloud a identita: specifika simulací v moderní infrastruktuře

  • Cloud (IaaS/PaaS/SaaS): útoky na role IAM, metadata služeb, veřejné kontejnery bucketů, slabé politiky a přístupové klíče, útoky na dodavatelský řetězec v CI/CD.
  • Kontejnery a Kubernetes: útoky na API server, RBAC, eskalace oprávnění v podu, laterální pohyb přes service mesh a registry.
  • Přístup založený na identitě: ochrana a detekce proti password sprayingu, krádeži tokenů, zneužití souhlasu OAuth a únavovým útokům na MFA; monitorování anomálií přihlašování a podmíněného přístupu.

OT/ICS a fyzická bezpečnost

V průmyslových prostředích je nutná mimořádná opatrnost a segmentace cvičení: používají se neinvazivní techniky, digitální dvojčata, testovací prostředí a simulátory. Fyzický red teaming (tailgating, klonování karet, obcházení turniketů) probíhá s jasnými omezeními a postupy pro eskalaci a zastavení.

Nástroje a infrastruktura pro simulace

  • Frameworky C2: řízení implantátů s důrazem na OPSEC, jitter, šifrování, doménové fronty a kanály pro odchozí komunikaci.
  • BAS (Breach and Attack Simulation): automatizované testy konkrétních TTP a ověřování detekcí v intervalech dnů až týdnů.
  • Deception: honey-tokeny, honey-hashe, falešné sdílené složky a služební účty pro včasné odhalení laterálního pohybu.
  • Detekční inženýrství: pravidla Sigma, dotazy KQL, YARA/Loki pro artefakty, jednotkové testy a CI pro pravidla.

Metriky, bodování a reporting

  • Pokrytí ATT&CK: heatmapy taktik a technik pokrytých detekcemi.
  • MTTD/MTTR/MTTK: doba do detekce, reakce a zneškodnění (neutralizace) útoku.
  • Precision/Recall upozornění: vyvážení falešných poplachů a přehlédnutých detekcí.
  • Dopad na byznys: přiřazení zjištění k rizikovým scénářům, mapování na kontrolní rámce a odhad snížení rizika.
  • Executive summary: 3–5 priorit s jasným plánem nápravy, termíny a odpovědnými osobami.

Proces nápravných opatření a řízení změn

Výstupem simulací musí být akční plán: technická opatření (záplaty, segmentace, hardening), procesní změny (provozní postupy, pohotovostní služba, komunikace s byznysem) a vzdělávání (phishingové školení, bezpečné programování). Doporučuje se registr rizik s kvantifikací rizik, termíny, odpovědnými osobami a průběžným ověřováním účinnosti změn.

Frekvence a vyspělost: od jednorázových testů ke kontinuální validaci

  • Ad hoc red teaming: každoroční nebo příležitostné cvičení zaměřené na kritické scénáře.
  • Purple sprinty: měsíční iterace zaměřené na konkrétní TTP.
  • Kontinuální BAS a správa útočných cest: průběžná kontrola expozic, graf útočných cest a stanovení priorit oprav.

Etika, bezpečnost a minimalizace dopadu

Simulace probíhá s ohledem na dostupnost a integritu: používají se bezpečné payloady a realistická, avšak neškodná exfiltrace (např. syntetická data), je nastaven „kill switch“ a průběžně se komunikuje s White Teamem. Všechna osobní a citlivá data jsou chráněna a zpracovávána podle zásad minimalizace.

Integrace se strategickým řízením kybernetických rizik

Simulace Red/Blue by měly propojit technická zjištění s rozhodováním vedení: které scénáře mají největší dopad, jaká je efektivita investic do bezpečnosti a kde jsou slepá místa v oblastech lidí, procesů a technologií. Součástí je mapování na regulatorní požadavky a cíle odolnosti a kontinuity provozu.

Praktický harmonogram modelového cvičení

  1. Zahájení a vymezení rozsahu: cíle, návratnost investic (ROI), ROE, bezpečnostní pojistky.
  2. Zpravodajství o hrozbách a emulační plán: výběr TTP, prostředí (cloud/on-prem/OT), útočné cesty.
  3. Provedení: časově řízené fáze, průběžný dohled White Teamu, evidence IOC a artefaktů.
  4. Pozorování Blue Teamu: tichý monitoring, následně aktivní reakce podle fáze cvičení.
  5. Sezení Purple Teamu: společná analýza, ladění detekcí, opakovaný test klíčových technik.
  6. Reporting a nápravná opatření: stanovení priorit, odpovědností, termínů, metrik a plánu validace.

Závěr: simulace jako motor neustálého zlepšování

Simulace Red Team vs. Blue Team posouvají organizace od reaktivní bezpečnosti k prokazatelné odolnosti. Kombinace realistické emulace hrozeb, měřitelných metrik a rychlého učení (Purple) poskytuje důkazy o účinnosti kontrol a umožňuje investovat tam, kde se riziko sníží nejvíce. Klíčem k úspěchu je přesné vymezení rozsahu, bezpečné provedení, disciplinované detekční inženýrství a průběžné ověřování výsledků.