Red teaming w praktyce – studium przypadku symulacji ataku
·Czy my naprawdę potrzebujemy red teamingu?
Duża organizacja, tysiące pracowników, bezpieczeństwo finansowane co roku i traktowane serio. Pytanie, które nam zadali, nie dotyczyło tego, czy mają luki. Chcieli wiedzieć, co się stanie, gdy za cel weźmie ich ktoś zdeterminowany i dobrze zorganizowany.
Dostaliśmy osiem tygodni i minimum ograniczeń. Kampania phishingowa z własnej, łudząco podobnej domeny dała 260 poprawnych poświadczeń. Rekonesans OSINT wskazał ludzi i systemy. Do budynku weszliśmy pod przygotowaną legendą i na sklonowanej karcie, a w sali konferencyjnej zostawiliśmy własne urządzenie podpięte do sieci. Na koniec wykorzystaliśmy błędnie skonfigurowane centrum certyfikacji w Active Directory i zdobyliśmy uprawnienia Domain Admin. Warstwa ludzka, techniczna i fizyczna – każda pękła w innym miejscu, a żadnego z tych miejsc nie widać w pojedynczym teście.
Czym właściwie jest red teaming?
Red teaming to symulacja realnego ataku na całą organizację – od tego, co widać z internetu, po zachowanie ludzi. Odtwarzamy to, co zrobiłby zmotywowany atakujący albo grupa APT, która wybrała Twoją firmę i nie ma narzuconego budżetu ani terminu. Dlatego red teaming zwykle pokazuje podatności, których klasyczny test pojedynczej aplikacji nawet nie dotknie.
Jak wygląda taki test w Haxoris?
Przygotowanie traktujemy równie poważnie jak samo działanie. Pracujemy zgodnie z metodykami red teamingu: szukamy podatności, oceniamy ryzyko i sprawdzamy, czy zabezpieczenia, za które firma płaci, faktycznie działają. Test dzielimy na kilka odrębnych, ale powiązanych faz:
- Rekonesans ze źródeł otwartych (OSINT)
- Testy infrastruktury zewnętrznej
- Testy penetracyjne sieci wewnętrznej w dwóch scenariuszach
- Wejścia fizyczne w trzech lokalizacjach klienta
- Kampania phishingowa wymierzona w większość załogi
Zhakowaliśmy klienta – krok po kroku
Zaczynamy zawsze od TESTÓW ZEWNĘTRZNYCH, czyli od wszystkiego, co widać z internetu. Aplikacje webowe, bramy VPN, serwery pocztowe i pozostałe usługi sprawdziliśmy pod kątem nieaktualnego oprogramowania, błędnej konfiguracji i błędów w kodzie. Klient okazał się dobrze przygotowany: serwery aktualne, żadnego znanego CVE do wykorzystania, firewall skonfigurowany poprawnie, systemy IDS/IPS realnie pilnujące ruchu. Nie przeszliśmy też przez Wi-Fi – dostęp wymagał certyfikatu klienta i uwierzytelniania wieloskładnikowego (MFA).
OSINT pokazał, ile da się zebrać, nie dotykając żadnego systemu: strukturę organizacyjną, nazwiska pracowników, adresy IP, subdomeny, informacje o partnerach i kontraktach. Niewielu pracowników przyznawało się na LinkedInie do miejsca pracy – widać, że firma uczy dyskrecji. Przy tej skali i tak zebraliśmy dość profili do dalszej pracy. Dane z LinkedIna połączyliśmy ze starymi wyciekami i zweryfikowaliśmy adresy e-mail. Przełom przyszedł, gdy błąd w jednym z systemów wewnętrznych zdradził dokładny format adresu: imie.nazwisko@firma.com.
FIZYCZNĄ KONTROLĘ DOSTĘPU sprawdziliśmy w kilku lokalizacjach klienta. Pierwsza wizyta to sam rekonesans: wejścia, trasy i pory obchodu ochrony, martwe pola kamer. Pod budynkiem stał samochód firmy serwisującej sprzęt przeciwpożarowy – i to on wyznaczył scenariusz. Po krótkim rekonesansie OSINT wróciliśmy w roli technika przeglądu gaśnic: mundur, logo firmy serwisowej, papier firmowy z pisemną zgodą na przegląd i wejście na teren obiektu. Legenda zadziałała na tyle dobrze, że zostawiono nas bez opieki w sali konferencyjnej. Za telewizorem znaleźliśmy ukryte gniazdo RJ45. W kilka minut podłączyliśmy własny implant z modemem 4G, ukryliśmy go i wyszliśmy z budynku. Żaden alarm się nie odezwał, a my mieliśmy od tej pory stały i niewidoczny dostęp do sieci wewnętrznej.
Dostęp do sieci już mieliśmy, ale brakowało nam ważnych poświadczeń domenowych. Na podstawie zweryfikowanej listy adresów z OSINT przygotowaliśmy wąską KAMPANIĘ PHISHINGOWĄ – żadnej masowej wysyłki, tylko domena łudząco podobna do firmowej (typosquatting). Wiadomość zapowiadała nowy wewnętrzny system nagród, a fałszywa strona logowania do intranetu zbierała poświadczenia. Kampanię wyłączyliśmy od razu po zebraniu materiału, żeby ograniczyć ryzyko wykrycia. Świeże poświadczenia domenowe otworzyły nam drogę w głąb sieci i do eskalacji uprawnień.
TESTY WEWNĘTRZNE to symulacja skradzionego urządzenia i testy sieci wewnętrznej. W firmowym centrum certyfikacji znaleźliśmy podatność ESC8: pozwalała wystąpić o dowolny certyfikat w Active Directory, również dla kontrolera domeny (DC). Podatność potwierdziliśmy narzędziem Certipy. Modułem Coerce_Plus z pakietu Netexec zmusiliśmy kontroler domeny do uwierzytelnienia się na naszym serwerze przekaźnikowym, a samo uwierzytelnienie przechwyciliśmy i przekazaliśmy dalej narzędziem NTLMRelayX. Centrum certyfikacji wystawiło certyfikat kontrolera domeny, co dało nam uprawnienia Domain Admin. Wyżej w domenie Active Directory nie ma już nic: to pełne przejęcie infrastruktury, ze wszystkimi usługami i danymi wrażliwymi. Dobrze zbudowaną obronę da się obejść, jeśli atakujący celuje precyzyjnie.
Wyniki i najważniejsze wnioski
- PRZEJĘTE POŚWIADCZENIA: precyzyjna kampania phishingowa dała 260 poprawnych poświadczeń użytkowników. Słabym punktem okazały się filtrowanie poczty i świadomość pracowników.
- WEJŚCIE DO STREFY CHRONIONEJ: nasz operator przeszedł obok recepcji i sklonował karty RFID, o nic nie pytany. To wystarczyło, żeby podłączyć własny sprzęt w chronionej części budynku.
- ESKALACJA UPRAWNIEŃ DO DOMAIN ADMIN: błędna konfiguracja centrum certyfikacji (ESC8) pozwoliła wystawić zaufany certyfikat i przejąć pełną kontrolę nad domeną – niezauważenie.
- ZERO WYKRYĆ: ani zabezpieczenia brzegowe, ani systemy IDS/IPS, ani systemy zbierania logów nie zgłosiły niczego. To poważna luka w widoczności.
Co na to ustawa o KSC?
Ostatni punkt jest najdroższy, i to dosłownie. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252) obowiązuje od 3 kwietnia 2026 r. i wprowadza podział na podmioty kluczowe oraz podmioty ważne. Obie grupy muszą incydenty wykrywać, obsługiwać i zgłaszać właściwemu zespołowi CSIRT, a obowiązki z rozdziału 3 zaczynają wiązać od 3 kwietnia 2027 r. Osiem tygodni obcej obecności w sieci bez jednego alertu oznacza w tej logice rzecz prostą: zegar zgłoszenia nigdy by nie ruszył – nie dlatego, że nie było incydentu, tylko dlatego, że nikt go nie zauważył.
Ustawa wymaga też, żeby system zarządzania bezpieczeństwem informacji obejmował „bezpieczeństwo w procesie nabywania, rozwoju, utrzymania i eksploatacji systemu informacyjnego, w tym testowanie systemu informacyjnego” (art. 8 ust. 1 pkt 2 lit. b). Red teaming jest jednym ze sposobów, żeby to testowanie faktycznie coś pokazało – i żeby zdolność wykrywania dało się udokumentować, a nie tylko założyć.
Sam audyt z art. 15 ustawy o KSC to osobna sprawa i wykonuje go kto inny: akredytowana jednostka oceniająca zgodność, sektorowy zespół CSIRT albo co najmniej dwóch audytorów z certyfikatami z listy ministra właściwego do spraw informatyzacji – CISA, CISM, CRISC, CISSP, CIA, audytor wiodący ISO/IEC 27001 lub ISO 22301, ISA/IEC 62443 Cybersecurity Expert. My siedzimy po drugiej stronie tego stołu: dostarczamy dowody z testów, o które audytor zapyta.
Nasze rekomendacje
- Ochrona fizyczna i procedury dla gości: bramki uniemożliwiające wejście „na plecach”, konsekwentne sprawdzanie tożsamości, rejestrowanie odwiedzających.
- Regularne testy każdego wektora: styk z internetem, systemy wewnętrzne i zewnętrzne, centrum certyfikacji, infrastruktura sieciowa.
- Szkolenia z phishingu i socjotechniki: ćwiczenia na scenariuszach, a nie prezentacja raz do roku.
- Monitoring urządzeń i ruchu w sieci wewnętrznej: nieautoryzowany sprzęt i nietypowe zachowanie hosta widoczne od razu.
Red teaming to najgłębsza forma testu bezpieczeństwa, jaką można zamówić. Czym różni się od testu penetracyjnego, a czym od audytu cyberbezpieczeństwa – opisujemy w osobnych artykułach.
Cyberbezpieczeństwo to nie jest wyłącznie technologia. Składa się z ludzi, procesów i narzędzi, a atakujący zawsze pójdzie tam, gdzie najłatwiej. Dlatego testy, wnioski i poprawki muszą się powtarzać. Prawdziwa ochrona zaczyna się w głowach pracowników.
