Red team vs. blue team

Proč simulovat Red Team vs. Blue Team

Simulace útoků Red Team vs. Blue Team představují řízené, bezpečné a cílené procvičení obrany organizace proti reálným taktikám a postupům útočníků. Cílem není pouze „prolomit perimetr“, ale především ověřit detekční a reakční schopnosti, vyhodnotit odolnost procesů, lidí a technologií a propojit kybernetické riziko s dopadem na byznys. V moderních prostředích (cloud, hybrid, OT/ICS, SaaS) už nejde o jednorázové penetrační testy – důraz se přesouvá k kontinuální validaci zabezpečení a k metrikám detekční pokrytosti napříč hrozbami.

Definice rolí: Red, Blue, Purple a White Team

• Red Team: simuluje protivníka (APT, kyberkriminalitu, insidera). Využívá zpravodajství o hrozbách, TTP, sociální inženýrství, fyzickou bezpečnost, útoky na dodavatelský řetězec a úniky pověření.
• Blue Team: brání organizaci. Provozuje monitoring (SIEM, EDR/NDR), loví hrozby, ladí detekce, provádí reakce a obnovu, spravuje zranitelnosti a konfigurace.
• Purple Team: facilitační role propojující Red a Blue pro iterativní učení. Cílem je zkrátit cyklus od „útok → detekce → zlepšení“.
• White Team: dohled, governance, bezpečnostní a právní rámec cvičení. Schvaluje pravidla hry, sleduje bezpečnost a dokumentuje výsledky.

Cíle a měřitelné výstupy simulace

• Ověření detekčního pokrytí vybraných TTP proti referenčním rámcům (např. MITRE ATT&CK).
• MTTD/MTTR (doba do detekce a do reakce), přesnost alertů, míra falešně pozitivních/negativních nálezů.
• Účinnost incident response (komunikace, eskalace, forenzní postupy, evidence chain-of-custody).
• Odolnost vůči laterálnímu pohybu, eskalaci oprávnění a exfiltraci dat.
• Byznysový dopad: mapování zjištění na rizikové scénáře, SLA a kontinuitu provozu.

Scoping, pravidla hry a právní rámec

Kvalitní simulace začíná přesným vymezením rozsahu a pravidel:

• Rozsah: domény, sítě (on-prem, cloud), aplikace, OT/ICS, třetí strany, fyzická lokalita.
• Pravidla zapovězených aktivit (ROE): zakázané techniky (např. DDoS na produkční služby, destruktivní payloady), limity sociálního inženýrství a fyzického testování.
• Bezpečnostní kotvy: časové okno, „kill-switch“, kontaktní osoby 24/7, teplotní mapa rizika pro kritické systémy.
• Právní a compliance: souhlas managementu, zpracování osobních údajů, dohody o mlčenlivosti, odpovědnost a pojištění.

Metodiky a rámce: od MITRE ATT&CK k TIBER-EU

• MITRE ATT&CK: taxonomie taktik a technik jako společný jazyk pro emulaci hrozeb i pro detekční inženýrství.
• Emulation Plans: scénáře založené na konkrétních APT nebo kriminálních skupinách, zahrnující jejich TTP, infrastrukturu a sekvence útoků.
• TIBER-EU/CBEST/GBEST: regulované red teaming programy pro finanční sektor s důrazem na zpravodajství o hrozbách a testování kritických funkcí.
• NIST CSF / ISO 27001 / CIS Controls: mapování zjištění na kontrolní rámce a plán zlepšení.

Fáze Red Team operace

1. Zpravodajství a rekognoskace: OSINT, enumerace, profilace uživatelů, sběr metadat z dokumentů, účetních stop a domén.
2. Počáteční přístup: phishing/spear-phishing, zneužití zranitelnosti (RCE, deserializace, cloudové IAM chyby), kompromitace dodavatele.
3. Persistence a eskalace: udržení přístupu (plánovače, runkey, cloudové přístupové klíče), exploitační řetězce ke zvýšení oprávnění.
4. Laterální pohyb: krádež tokenů, kerberoasting, zneužití RDP/WinRM/SSH, pivoty přes proxy a VPN, útoky na CI/CD.
5. Akce na cíli: přístup k citlivým datům, manipulace s aplikacemi, exfiltrace, případně test resilience záloh (bez destrukce).
6. Úklid a debrief: odstranění artefaktů dle ROE, přesná dokumentace časové osy a IOCs pro Blue Team.

Blue Team: detekční a reakční schopnosti

• Telemetrie: EDR/XDR na koncových stanicích a serverech, NDR v síti, logy z identit (AD/Azure AD/IdP), cloudové auditní stopy, aplikační a databázové logy.
• SIEM a korelace: normalizace, korelační pravidla, případové vazby a časové grafy útoků.
• SOAR a playbooky: automatizace izolace hostů, reset hesel, blokace IOC, ticketing a komunikace.
• Threat Hunting: hypotézami řízené hledání anomálií, hledání bez IOC, retrospektivní analýzy datových jezer.
• Forenzní readiness: schopnost spolehlivě uchovat důkazy, napříč endpointy, cloudem a sítí, včetně řetězce důkazů.

Purple Teaming: rychlá zpětná vazba a učení

Purple cvičení rozkládá komplexní scénář na jednotlivé techniky a pro každou techniku provádí cyklus: emulace → detekce → ladění → re-test. Zajišťuje tak, že z každého útoku vznikne konkrétní detekční obsah (pravidla, dotazy, alerty) a provozní změny (telemetrie, konfigurace). Cílovým artefaktem jsou Detection-as-Code repozitáře s verzováním a testy.

Cloud a identita: specifika simulací v moderní infrastruktuře

• Cloud (IaaS/PaaS/SaaS): útoky na IAM role, metadata služby, veřejné bucket kontejnery, slabé politiky a přístupové klíče, supply-chain v CI/CD.
• Kontejnery a Kubernetes: útoky na API server, RBAC, privilege escalation v podu, laterální pohyb přes servisní mesh a registry.
• Identity-first: ochrana a detekce proti password spraying, token theft, OAuth consent hijacking, MFA fatigue; monitorování sign-in anomálií a podmíněného přístupu.

OT/ICS a fyzická bezpečnost

V průmyslových prostředích je nutná extrémní opatrnost a segmentace cvičení: používají se neinvazivní techniky, digitální dvojčata, testbedy a simulátory. Fyzické red teaming (tailgating, klonování karet, obchvaty turniketů) probíhá s jasnými omezeními a eskalačními postupy pro zastavení.

Tooling a infrastruktura pro simulace

• C2 frameworky: řízení implantátů s důrazem na OPSEC, jitter, šifrování, doménové fronty a egress kanály.
• BAS (Breach and Attack Simulation): automatizované testy konkrétních TTP a validace detekcí v kadenci dnů/týdnů.
• Deception: honey-tokeny, honey-hashes, falešné sdílené složky a služební účty pro včasný záchyt laterálního pohybu.
• Detekční inženýrství: Sigma pravidla, KQL dotazy, YARA/Loki pro artefakty, unit testy a CI pro pravidla.

Metriky, scoring a reporting

• Pokrývka ATT&CK: heatmapy taktik a technik pokrytých detekcemi.
• MTTD/MTTR/MTTK: doba do detekce, reakce a zabití (neutralizace) útoku.
• Precision/Recall alertů: vyvážení falešných poplachů a zmeškaných detekcí.
• Byznysový dopad: přiřazení zjištění ke scénářům rizik, mapování na kontrolní rámce a odhad snížení rizika.
• Executive summary: 3–5 priorit s jasným plánem nápravy, termíny a vlastníky.

Proces nápravných opatření a řízení změn

Výstupem simulací musí být akční plán: technická opatření (záplaty, segmentace, hardening), procesní změny (runbooky, on-call, komunikace s byznysem) a vzdělávání (phishingové tréninky, secure coding). Doporučuje se Risk Register s kvantifikací rizik, termíny, vlastníky a průběžnou validací účinnosti změn.

Kadence a zralost: od jednorázových testů ke kontinuální validaci

• Ad hoc red teaming: roční či příležitostné cvičení kritických scénářů.
• Purple sprints: měsíční iterace zaměřené na konkrétní TTP.
• Kontinuální BAS a attack path management: průběžná kontrola expozic, graf útokových cest a prioritizace fixů.

Etika, bezpečnost a minimalizace dopadu

Simulace probíhá s respektem k disponibilitě a integritě: používají se bezpečné payloady, realistické, avšak neškodné exfiltrace (např. syntetická data), je nastaven „kill-switch“ a probíhá průběžná komunikace s White Teamem. Všechna osobní a citlivá data jsou chráněna a zpracována dle zásad minimalizace.

Integrace se strategickým řízením kybernetického rizika

Red/Blue simulace by měly napojit technické zjištění na rozhodování vedení: které scénáře mají nejvyšší dopad, jaká je efektivita investic do bezpečnosti, kde jsou slepá místa v people-process-technology. Součástí je mapování na regulační požadavky a na cíle odolnosti a kontinuity provozu.

Praktický harmonogram modelového cvičení

1. Kick-off & scoping: cíle, ROI, ROE, bezpečnostní kotvy.
2. Threat Intel & emulation plan: výběr TTP, prostředí (cloud/on-prem/OT), útokové cesty.
3. Provedení: časově řízené fáze, průběžný dohled White Teamu, evidence IOCs a artefaktů.
4. Blue Team observation: tichý monitoring, poté aktivní reakce dle fáze cvičení.
5. Purple session: společná analýza, ladění detekcí, re-test klíčových technik.
6. Reporting & remediation: prioritizace, vlastnictví, termíny, metriky a plán validace.

Závěr: simulace jako motor neustálého zlepšování

Simulace Red Team vs. Blue Team posouvají organizace od reaktivní bezpečnosti k prokazatelné odolnosti. Kombinace realistické emulace hrozeb, měřitelných metrik a rychlého učení (Purple) poskytuje důkazy o účinnosti kontrol a umožňuje investovat tam, kde to nejvíce snižuje riziko. Klíčem k úspěchu je přesný scoping, bezpečné provedení, disciplinované detekční inženýrství a kontinuální validace výsledků.