Red Teaming Case Study: Odhalení skrytých rizik
Potřebuje naše organizace Red Teaming?
Představte si velkou organizaci s tisíci zaměstnanci – takovou, která si cení bezpečnost a pravidelně investuje do ochrany svých systémů i lidí. Přesto si kladli otázku: co když nás cíleně napadne odhodlaný a organizovaný útočník? Během osmi týdnů náš Red Team simuloval skutečný útok bez omezení. Spustili jsme phishingovou kampaň s vlastní doménou (výsledek: 260 přihlašovacích údajů), využili OSINT, narušili fyzické kontroly díky pretextingu, klonování karet a záškodnickému síťovému zařízení a následně zneužili chybně nakonfigurovanou certifikační autoritu v doméně ke získání práv doménového administrátora. Tento komplexní test odhalil kritické lidské, technické i fyzické zranitelnosti – a ukázal, že jen obsáhlý Red Teaming dokáže odhalit skrytá rizika.
Co je vlastně Red Teaming?
Red Teaming je komplexní zhodnocení bezpečnostního stavu společnosti – od digitálního perimetru až po chování lidí. Simuluje, co by dělal motivovaný útočník nebo skupina (APT), kdyby si vybrali vaši firmu jako cíl bez omezení času a zdrojů.
Jak hackeři z Haxoris takové testování provádějí?
V Haxoris věnujeme velké úsilí přípravě i realizaci a držíme se metodik Red Teamingu zaměřených na identifikaci zranitelností, hodnocení rizik a ověřování účinnosti existujících opatření v různých oblastech. Hodnocení dělíme do několika propojených fází:
- Sběr informací z otevřených zdrojů (OSINT)
- Testování externí infrastruktury
- Penetrační testování interní sítě ve dvou scénářích
- Fyzický průnik na více lokalitách klienta
- Phishingová kampaň
HACKLI jsme našeho klienta!
Při cíleném Red Teamingu začínáme EXTERNÍM TESTOVÁNÍM, tedy vším dostupným z internetu. Pečlivě jsme prověřili webové aplikace klienta, VPN brány, e-mailové servery i další služby – hledali slabá místa, zastaralý software, chybné konfigurace či chyby v kódu. Klient byl dobře připraven: servery aktuální, bez známých CVE, firewall nastaven správně a IDS/IPS aktivně monitorovaly provoz bez viditelných mezer. Neuspěli jsme ani u Wi-Fi – přístup vyžadoval klientské certifikáty a MFA.
OSINT ukázal důležitost ve chvíli, kdy jsme poskládali maximum informací o společnosti. Získali jsme organizační strukturu, jmenné seznamy, IP adresy, subdomény, data o partnerstvích a smlouvách. I když málo zaměstnanců uvádělo příslušnost na LinkedInu (chvályhodná diskrétnost), velikost firmy nám umožnila získat dost profilů. Kombinovali jsme LinkedIn s daty ze starých úniků a ověřovali e-mailové adresy. Klíčový moment nastal, když jsme odhalili přesný formát e-mailů ([email protected]) díky chybě v jednom interním systému.
Pokoušeli jsme se narušit FYZICKÝ PERIMETR na více lokalitách. Při první návštěvě jsme mapovali vstupy, únikové východy, pohyb ostrahy, slepé zóny kamer aj. U budovy jsme zahlédli vozidlo požární inspekce – a to se stalo naším přístupovým pretextem. Po rychlém OSINTu jsme nastoupili jako „inspekce hasicích přístrojů“: uniformy s logem skutečné firmy, hlavičkový papír s pověřením, vstup do budovy. Tato „návnada“ nám zajistila nekontrolovaný přístup do zasedačky, kde jsme za TV objevili skrytý port RJ45. Během pár minut jsme nainstalovali vlastní 4G záškodnické zařízení, skryli je a tiše odešli – zajistili jsme si trvalý nenápadný přístup do interní sítě a připravili půdu pro další fázi.
Ačkoli jsme už měli přístup do sítě, cílem bylo získat platné doménové přístupy. S využitím ověřených e-mailů z OSINTu jsme spustili cílenou PHISHINGOVOU KAMPAŇ – nikoli masové rozesílky, ale personalizované útoky s podobnou doménou. Falešná přihlašovací stránka intranetu (maskovaná jako „nový systém odměn“) zachytila údaje, po čemž jsme kampaň rychle ukončili, abychom minimalizovali detekci. Nové doménové přístupy nám otevřely cestu k hlubší interní expozici a následné eskalaci práv.
INTERNÍ TESTOVÁNÍ zahrnovalo simulaci odcizeného zařízení a testování interní sítě. V certifikační autoritě jsme objevili zranitelnost ESC8, umožňující vyžádat certifikát pro libovolnou AD službu – dokonce i pro Domain Controller (DC). Chybu jsme potvrdili nástrojem Certipy, poté s Netexec modulem Coerce_Plus vynutili autentizaci DC vůči našemu relay serveru a zachycenou autentizaci přeposlali pomocí NTLMRelayX. CA vydala DC certifikát – efektivně nám udělila doménová admin práva. Vlastnictví DA představuje plné narušení AD – přístup ke všem službám a citlivým datům.
Výsledky a klíčové poznatky
- KOMPROMITACE PŘIHLAŠOVACÍCH ÚDAJŮ: Cílený phishing přinesl 260 platných účtů – slabiny ve filtrování a povědomí uživatelů.
- DOSAŽEN FYZICKÝ PŘÍSTUP: „Falešný“ inspektor obešel recepci, klonoval RFID karty a umístil záškodnické zařízení – přístup do interní sítě.
- ESKALACE PRÁV NA DOMÉNOVÉHO ADMINA: Zneužití chybné konfigurace CA (ESC8) → vydání důvěryhodného certifikátu → plná administrativní kontrola bez odhalení.
- NULOVÁ DETEKCE OBRANY: Perimetr, IDS/IPS ani logovací systémy naše aktivity nezaznamenaly – významné mezery v viditelnosti.
Naše doporučení
- Upevněte fyzickou bezpečnost a protokoly pro návštěvy: bariéry proti tailgatingu, důsledná kontrola ID a návštěvníků.
- Pravidelně auditujte všechny vektory: perimetr, interní systémy, externí služby, CA a síťovou infrastrukturu.
- Školte zaměstnance v phishingu a sociálním inženýrství: scénářová cvičení pro udržení ostražitosti.
- Monitorujte interní zařízení a chování v reálném čase: rychlá detekce neautorizovaného HW a síťových anomálií.
Kybernetická bezpečnost není jen o technologiích – je to synergie lidí, procesů a nástrojů. Nepřetržité testování, učení a budování odolnosti jsou nezbytné, protože útočníci vždy hledají nejslabší článek. Skutečná ochrana začíná v hlavách a postojích vašich lidí.