ITdlaLekarzy
Treść strony

Cyberbezpieczeństwo · Red teaming

Red teaming — symulacja prawdziwego ataku na Twoją placówkę

Test nie tego, czy masz luki, tylko czy zauważysz, że ktoś z nich korzysta.

Red teaming to długotrwała, ukryta symulacja ataku prowadzona tak, jak robią to grupy przestępcze: od phishingu, przez przejęcie kont i poruszanie się po sieci, aż do celu — np. dostępu do serwera HIS lub kopii zapasowych. O teście wie tylko wąska grupa osób. Sprawdzamy ludzi, procesy i narzędzia jednocześnie.

Porozmawiaj o red teaminguZacznij od testu penetracyjnego

Aktualizacja: · Opracowanie: zespół ITdlaLekarzy

Porównanie

Red teaming a test penetracyjny

Test penetracyjnyRed teaming
PytanieJakie mamy luki?Czy wykryjemy i zatrzymamy atak?
ZakresWybrane systemy, możliwie szerokoCała organizacja, jeden lub kilka celów
JawnośćZespół IT zwykle wie o teścieWie tylko wąska grupa kontrolna
TechnikiTechniczne, w uzgodnionym zakresieTechniczne, socjotechnika, opcjonalnie fizyczne
CzasDni do kilku tygodniKilka tygodni
WynikLista podatności z priorytetamiŚcieżka ataku, luki w wykrywaniu i reakcji

Scenariusze

Przykładowe scenariusze dla placówki medycznej

Cel ustalamy z zarządem. Scenariusz odzwierciedla ataki, które realnie dotykają ochronę zdrowia.

  • Ransomware od phishingu

    Czy z jednej wiadomości do recepcji da się dojść do uprawnień administratora domeny i kopii zapasowych?

  • Dostęp do dokumentacji medycznej

    Czy atakujący dotrze do serwera HIS lub PACS i wyprowadzi dane, zanim ktoś to zauważy?

  • Przejęte konto dostawcy

    Co się stanie, gdy konto serwisowe zewnętrznej firmy wpadnie w niepowołane ręce?

  • Wejście fizyczne

    Opcjonalnie: czy osoba z zewnątrz podłączy się do sieci w poczekalni lub wejdzie do serwerowni?

Przebieg

Jak przebiega red teaming?

  1. Krok 1: Cele i zasady (rules of engagement)

    Ustalamy cel, granice, wykluczenia, zespół kontrolny i procedurę natychmiastowego przerwania.

  2. Krok 2: Rozpoznanie

    Informacje o placówce dostępne publicznie: ludzie, adresy, usługi, dostawcy.

  3. Krok 3: Wejście

    Pierwszy dostęp — najczęściej phishing albo słabość usługi dostępnej z internetu.

  4. Krok 4: Utrzymanie i ruch boczny

    Poruszanie się po sieci, przejmowanie uprawnień, unikanie wykrycia — po cichu i bez szkód.

  5. Krok 5: Realizacja celu

    Udowodnienie, że cel był osiągalny, np. zrzut ekranu z dostępem — bez kopiowania danych pacjentów.

  6. Krok 6: Raport i purple teaming

    Wspólnie z Twoim zespołem i SOC przechodzimy atak krok po kroku: co wykryto, czego nie i jak to poprawić.

Przykładowa wycena

Ile kosztuje red teaming? Przykład dla kliniki

Przykładowe środowisko: klinika z 27 komputerami, 8 drukarkami, 2 serwerami (Proxmox, Active Directory), Wi-Fi na Ubiquiti, systemem audio, telewizją sieciową, VPN, stroną internetową i urządzeniami RTG/TK.

Zakres: kontrolowane testy w formule red teaming, ukierunkowane na odporność organizacji na rzeczywiste scenariusze ataków — ze szczególnym uwzględnieniem bezpieczeństwa fizycznego, czynnika ludzkiego i informacji, które da się zdobyć na etapie rozpoznania. Łącznie 6 MD w dwóch etapach.

Etap 1 — rekonesans i OSINT (3 MD). Analiza informacji dostępnych o organizacji, jej pracownikach, infrastrukturze i firmach świadczących dla niej usługi. Cel: realistyczne scenariusze testowe i wskazanie wektorów do testów fizycznych i socjotechnicznych.

Etap 2 — przygotowanie i realizacja testów fizycznych (3 MD). Scenariusz oparty na wynikach rekonesansu, dopasowany do specyfiki placówki i realizowany w uzgodnionych ramach, z zachowaniem zasad bezpieczeństwa i ograniczeń ustalonych z klientem.

Warunki rozpoczęcia prac: formalna zgoda klienta na testy obejmujące aplikacje WEB i infrastrukturę fizyczną — w tym na kontrolowany phishing i działania socjotechniczne w zakresie ustalonym przed startem — oraz na działania OSINT dotyczące osób i firm współpracujących. Aby skrócić rekonesans, klient przekazuje, jako informację poufną, listę pracowników i podmiotów, które mogą zostać objęte analizą.

Czy to dla Ciebie

Kiedy red teaming ma sens?

Red teaming jest najbardziej wartościowy dla organizacji, które mają już podstawy bezpieczeństwa i chcą sprawdzić, czy działają razem.

  • Ma sens, gdy

    • Masz wdrożony EDR i monitoring (SOC)
    • Masz za sobą przynajmniej jeden test penetracyjny
    • Jesteś szpitalem, siecią placówek lub podmiotem NIS2
    • Chcesz sprawdzić procedurę reakcji na incydent

  • Lepiej zacząć od czegoś innego, gdy

    • Nie masz EDR ani centralnego monitoringu
    • Nie robiłeś jeszcze testów penetracyjnych
    • Nie masz procedury reagowania na incydenty
    • Wtedy najpierw: audyt IT i test penetracyjny

FAQ

Najczęstsze pytania

Nie znalazłeś odpowiedzi? Zadzwoń: 22 266 23 24.

To symulacja realnego, wieloetapowego ataku na organizację, prowadzona ukrycie i technikami stosowanymi przez prawdziwych przestępców. Celem nie jest znalezienie wszystkich luk, tylko sprawdzenie, czy ludzie, procesy i narzędzia wykryją atak i zareagują na czas.

Tak, przy prawidłowo ustalonych zasadach. Urządzenia medyczne i systemy krytyczne są chronione wykluczeniami, nie niszczymy ani nie wynosimy danych pacjentów, a zespół kontrolny może przerwać działania w każdej chwili.

To wspólna praca zespołu atakującego (red team) z zespołem obrony (blue team, np. SOC). Po ataku lub w jego trakcie razem analizujemy, które działania zostały wykryte, i od razu poprawiamy reguły wykrywania.

Tylko wąski zespół kontrolny, zwykle członek zarządu i osoba odpowiedzialna za bezpieczeństwo. Dzięki temu widać prawdziwą reakcję personelu i SOC, a jednocześnie ktoś decyzyjny może w każdej chwili test zatrzymać.

Przykładowo: dla kliniki z 27 komputerami, 2 serwerami, Wi-Fi, VPN i urządzeniami RTG/TK red teaming skupiony na testach fizycznych, socjotechnice i OSINT to 6 osobodni pracy (3 na rekonesans, 3 na przygotowanie i realizację testów) za 22 000 zł netto. To nie jest oferta — cena konkretnego projektu zależy od wielkości środowiska, liczby lokalizacji, zakresu i terminów i ustalamy ją po określeniu celów.

Zobacz też

Sprawdź, czy zauważysz atak

Porozmawiajmy o celach i zasadach. Jeśli red teaming jest dla Twojej placówki za wcześnie, powiemy to wprost i zaproponujemy lepszy pierwszy krok.

Porozmawiaj o red teamingu22 266 23 24
Red teaming dla szpitala i sieci placówek — symulacja ataku