Red teaming: sprawdź, czy Twoja firma wykryje i zatrzyma realny atak
Przeprowadzamy zaawansowane operacje red team — wielotygodniowe symulacje realnego zagrożenia APT według MITRE ATT&CK, które sprawdzają całościową odporność organizacji: ludzi, procesy i technologię oraz zdolność SOC do wykrywania i reakcji.
- MITREMapowanie do ATT&CK Framework
- 4–12 tyg.Czas trwania operacji
- 30 dniWeryfikacja poprawek w cenie
- 01Spear-phishingT1566 · 3 kliknięcia
- 02Initial accessT1078 · VPN bez MFA
- 03Lateral movementT1021 · bez alertu EDR
- 04Kerberoasting → DAT1558.003
- 05Cel: dane klientówT1041 · eksfiltracja testowa
- 12taktyk ATT&CK
- 6dni do wykrycia
- 3cele osiągnięte
Certyfikaty zespołu
Operacje red team prowadzą certyfikowani operatorzy — m.in. OSEP, OSCE³, OSCP, OSWE i Red Team Ops — łącząc praktykę ofensywną z mapowaniem MITRE ATT&CK.
Czym jest red teaming?
Red teaming to zaawansowana forma testowania bezpieczeństwa, która wykracza daleko poza tradycyjne testy penetracyjne. To realistyczna, wielowektorowa symulacja zagrożenia prowadzona przez doświadczonych operatorów, której celem jest sprawdzenie zdolności organizacji do wykrywania, reagowania i odpierania zaawansowanych zagrożeń (APT — Advanced Persistent Threats).
W odróżnieniu od pentestu, usługa red team dla firm ocenia nie tylko technologię, ale też ludzi i procesy — w tym pracę zespołu Blue Team i SOC. Każde działanie mapujemy do frameworka MITRE ATT&CK, dzięki czemu raport pokazuje, które techniki zostały wykryte, a które nie.
- Realistyczna symulacja zagrożenia APT
- Sprawdzenie ludzi, procesów i technologii
- Mapowanie do MITRE ATT&CK
- Ocena dojrzałości Blue Team / SOC
średni czas wykrycia atakującego w sieci
firm nie wykrywa naruszenia samodzielnie
ATT&CK — globalny standard opisu taktyk i technik
wycena indywidualna po rozmowie — zobacz cennik
Testy penetracyjne vs red team: czym się różnią
Obie usługi mają swoje miejsce w strategii bezpieczeństwa. Kluczem jest zrozumienie różnic i wybór odpowiedniego podejścia.
| Aspekt | Pentest | Red team |
|---|---|---|
| Cel operacji | Znaleźć jak najwięcej podatności | Osiągnąć konkretny cel biznesowy |
| Zakres | Ograniczony (np. 1 aplikacja) | Cała organizacja — ludzie, procesy, IT |
| Wektory | Głównie techniczne | Wielowektorowe (tech + social + physical) |
| Świadomość Blue Team | Zazwyczaj poinformowani | Nie wiedzą o operacji |
| Czas trwania | 1–3 tygodnie | 4–12 tygodni |
| Social engineering | Opcjonalnie | ✓ Integralna część |
| Testy fizyczne | Zazwyczaj nie | ✓ Jeśli w zakresie |
| Raportowanie | Lista podatności + CVSS | Narracja operacji + MITRE ATT&CK |
| Ocena Blue Team | Nie | ✓ Kluczowy element |
| Rekomendowane dla | Każdej organizacji, regularnie | Dojrzałych organizacji z SOC |
Zakres: co obejmują nasze operacje red team
Kompleksowe symulacje dopasowane do profilu zagrożeń Twojej organizacji — od pełnej operacji APT po współpracę purple team z Twoim SOC.
Full Red Team Engagement
Kompletna, wielotygodniowa operacja symulująca zaawansowanego atakującego (APT). Obejmuje rozpoznanie OSINT, budowę infrastruktury C2, initial access, lateral movement, persistence i exfiltrację danych — wszystko mapowane do MITRE ATT&CK.
Assumed Breach
Symulacja scenariusza, w którym atakujący już uzyskał wstępny dostęp do sieci. Skupiamy się na eskalacji uprawnień, lateral movement, przejęciu domeny Active Directory i exfiltracji krytycznych danych — testujemy głębokość obrony organizacji.
Social Engineering
Zaawansowane kampanie phishingowe, vishing (voice phishing), pretexting i tailgating. Testujemy świadomość bezpieczeństwa pracowników w realistycznych scenariuszach — od spear-phishingu po budowanie relacji z ofiarami.
Physical Security Testing
Testy bezpieczeństwa fizycznego: próby nieautoryzowanego wejścia do budynków, obejście kontroli dostępu, klonowanie kart RFID, podłączanie urządzeń do sieci wewnętrznej (dropboxów) oraz weryfikacja procedur ochrony.
Purple Team
Kolaboracyjne sesje z Twoim zespołem Blue Team/SOC. Red Team przeprowadza ataki, a Blue Team w czasie rzeczywistym uczy się je wykrywać i blokować. Iteracyjne podejście maksymalizujące wartość edukacyjną i szybko poprawiające zdolności detekcji.
Custom C2 & Tooling
Wykorzystujemy autorskie oraz customizowane narzędzia Command & Control, które omijają standardowe rozwiązania EDR/AV. Nasze implanty i infrastruktura są budowane specjalnie pod każdą operację, zapewniając realizm symulacji.
Przebieg operacji red team krok po kroku
Każda operacja red team przechodzi przez precyzyjnie zaplanowane fazy, odzwierciedlające rzeczywisty cykl zagrożenia APT.
- 01
Planowanie & Rules of Engagement
Definiujemy cele operacji, zakres, systemy wyłączone z testów, kanały komunikacji i procedury eskalacji. Ustalamy Trusted Agents — osoby w organizacji świadome operacji. Podpisujemy NDA i umowę określającą ramy prawne działań.
- 02
Rozpoznanie (OSINT & Recon)
Zbieramy informacje o organizacji z publicznych źródeł: struktura firmy, pracownicy (LinkedIn), domeny, subdomeny, wycieki danych, technologie, infrastruktura zewnętrzna. Budujemy profil celów do dalszych faz operacji.
- 03
Weaponization & Delivery
Przygotowujemy infrastrukturę atakującą: serwery C2, domeny z reputacją, certyfikaty SSL, customowe payloady omijające EDR. Projektujemy wektory dostarczenia: spear-phishing, watering hole, USB drop, fizyczne wtargnięcie.
- 04
Initial Access & Execution
Uzyskujemy pierwszy przyczółek w sieci organizacji. Może to być wykonanie kodu przez phishing, exploitacja usługi zewnętrznej, atak na VPN/RDP, fizyczne podłączenie urządzenia lub wykorzystanie skradzionych poświadczeń.
- 05
Post-Exploitation & Lateral Movement
Eskalujemy uprawnienia, zbieramy poświadczenia, mapujemy sieć wewnętrzną i przemieszczamy się po infrastrukturze w kierunku krytycznych zasobów. Ustanawiamy persistence — trwałe punkty dostępu odporne na restart i aktualizacje.
- 06
Objectives & Data Exfiltration
Realizujemy uzgodnione cele operacji: przejęcie kont administratorskich, dostęp do baz danych klientów, symulacja exfiltracji danych, przejęcie domeny AD. Dokumentujemy każdy krok z timestampami i dowodami.
- 07
Raportowanie & Debrief
Dostarczamy kompletny raport: Attack Narrative (krok po kroku), mapowanie MITRE ATT&CK, analiza co zostało wykryte a co nie przez Blue Team, priorytetyzowane rekomendacje strategiczne i taktyczne. Przeprowadzamy debrief z zespołem SOC/Blue Team.
Taktyki MITRE ATT&CK, assumed breach i purple teaming
Nasze operacje są mapowane do frameworka MITRE ATT&CK — globalnego standardu opisu technik i taktyk. Poniżej pełna macierz taktyk, które odzwierciedlamy w operacji.
Reconnaissance
Zbieranie informacji o celu przed atakiem
Resource Development
Budowa infrastruktury atakującej i narzędzi
Initial Access
Uzyskanie pierwszego dostępu do sieci
Execution
Uruchomienie złośliwego kodu w środowisku
Persistence
Utrzymanie dostępu mimo restartów i zmian
Privilege Escalation
Uzyskanie wyższych uprawnień w systemie
Defense Evasion
Unikanie wykrycia przez systemy bezpieczeństwa
Credential Access
Kradzież poświadczeń i tokenów dostępowych
Discovery
Mapowanie sieci, systemów i użytkowników
Lateral Movement
Przemieszczanie się między systemami w sieci
Collection
Zbieranie krytycznych danych do exfiltracji
Exfiltration
Wyprowadzenie danych poza organizację
Assumed breach
Scenariusz, w którym zakładamy, że atakujący uzyskał już wstępny dostęp do sieci. Skracamy fazę rozpoznania i w 2–4 tygodnie sprawdzamy głębokość obrony oraz zdolność SOC do wykrycia intruza w środowisku wewnętrznym.
Purple teaming
Kolaboracyjne sesje z Twoim zespołem Blue Team/SOC. Red team odtwarza techniki, a Blue Team w czasie rzeczywistym uczy się je wykrywać i blokować. Iteracyjne podejście maksymalizuje wartość edukacyjną i szybko poprawia zdolności detekcji.
Cennik operacji red team
Red team to usługa szyta na miarę — nie ma cennika „z półki”. Cenę potwierdzamy po rozmowie o zakresie i celach operacji.
Operacja red team — wycena indywidualna po rozmowie o zakresie. Koszt zależy od celów operacji, wektorów w zakresie, wielkości organizacji, czasu trwania (4–12 tygodni) oraz tego, czy zaczynamy od zera, czy w scenariuszu assumed breach. Dla sektora finansowego zobacz też testy TLPT dla sektora finansowego.
W cenie każdej operacji
- Raport: executive summary + narracja operacji krok po kroku z timestampami
- Pełne mapowanie do MITRE ATT&CK i analiza wykrytych vs niewykrytych działań
- Ocena dojrzałości Blue Team/SOC i priorytetyzowane rekomendacje
- Debrief z zespołem Blue Team oraz weryfikacja poprawek do 30 dni
- Dostęp do platformy vulnerability management VIPentest
Co dostajesz w raporcie z operacji
Raport ma być materiałem dla zarządu i mapą drogową dla zespołu bezpieczeństwa — nie listą surowych podatności.
Executive Summary
Streszczenie dla kadry zarządzającej: czy cele operacji zostały osiągnięte, gdzie leżą największe ryzyka i jakie decyzje rekomendujemy.
Narracja operacji
Krok po kroku z timestampami: co, kiedy i jak zostało zrobione oraz w którym momencie Blue Team mógł to wykryć.
Mapowanie MITRE ATT&CK
Każda taktyka i technika przypisana do frameworka, z oznaczeniem, które działania zostały wykryte, a które nie.
Ocena Blue Team / SOC
Analiza dojrzałości detekcji i reakcji: czas wykrycia, jakość alertów, luki w monitoringu i procesach.
Rekomendacje strategiczne i taktyczne
Priorytetyzowane działania — od szybkich poprawek konfiguracji po zmiany w architekturze detekcji i procesach.
Debrief i platforma VM
Wspólna sesja z Blue Team, dzielenie się wiedzą o technikach oraz dostęp do platformy vulnerability management ze statusem rekomendacji.
Dla kogo jest red teaming
Red team daje najwięcej wartości organizacjom, które mają co testować po stronie detekcji i reakcji.
Instytucje finansowe
Banki, ubezpieczyciele i firmy inwestycyjne z wewnętrznym SOC, często objęte DORA i TIBER-EU, dla których realizm scenariusza jest wymogiem regulacyjnym.
Infrastruktura krytyczna
Energetyka, przemysł i podmioty objęte NIS2, które muszą wykazać zdolność wykrycia i powstrzymania zaawansowanego zagrożenia. Zobacz też analizę ataku ransomware SafePay.
Dojrzałe zespoły SOC
Duże korporacje z własnym Blue Team, które chcą zmierzyć skuteczność detekcji w warunkach zbliżonych do prawdziwego incydentu, np. wobec technik ataków NTLM coercion w sieciach Windows.
Firmy chroniące IP
Organizacje technologiczne chroniące własność intelektualną i dane klientów. Jeśli nie masz jeszcze dojrzałego Blue Team, zacznij od klasycznych testów penetracyjnych.
Często zadawane pytania o red teaming
Odpowiedzi na najczęstsze pytania dotyczące operacji red team, ich zakresu, czasu trwania i wyceny.
Czym różni się red team od testów penetracyjnych?
Testy penetracyjne koncentrują się na wykrywaniu jak największej liczby podatności technicznych w określonym zakresie (np. jedna aplikacja webowa, segment sieci). Red team natomiast symuluje realistyczny, wielowektorowy scenariusz zagrożenia APT — celem jest osiągnięcie konkretnego celu biznesowego, przy jednoczesnym sprawdzeniu ludzi, procesów i technologii. Kluczową różnicą jest też ocena zdolności Blue Team/SOC do wykrywania i reagowania. Jeśli nie mieliście jeszcze pentestów, zacznijcie od klasycznych testów penetracyjnych.
Ile trwa operacja red team?
Typowa operacja red team trwa od 4 do 12 tygodni, w zależności od zakresu i złożoności środowiska. Obejmuje to fazę rozpoznania, przygotowania środowiska, aktywne fazy oraz sporządzenie szczegółowego raportu z debriefem dla Blue Team. Krótsze engagementy (np. assumed breach) mogą trwać 2–4 tygodnie.
Ile kosztuje red teaming?
Każdą operację red team wyceniamy indywidualnie po rozmowie o zakresie — nie ma tu cennika „z półki”, bo koszt zależy od liczby celów, wektorów w zakresie, wielkości organizacji, czasu trwania (4–12 tygodni) oraz tego, czy zaczynamy od zera, czy w scenariuszu assumed breach. Po rozmowie dostajesz propozycję zakresu, harmonogram i cenę; w cenie jest raport z narracją operacji, mapowanie MITRE ATT&CK, debrief z Blue Team i weryfikacja poprawek do 30 dni.
Czy red team może zakłócić działanie firmy?
Operacje red team są prowadzone w sposób kontrolowany i profesjonalny. Przed rozpoczęciem definiujemy szczegółowe Rules of Engagement (zasady zaangażowania), określamy systemy krytyczne wyłączone z testów, ustanawiamy kanały komunikacji awaryjnej i procedury natychmiastowego przerwania operacji (emergency stop). Celem jest testowanie bezpieczeństwa, nie powodowanie przestojów w działaniu firmy.
Kto w organizacji powinien wiedzieć o operacji red team?
Typowo o operacji red team wie jedynie ograniczona grupa osób — tzw. Trusted Agents. Zazwyczaj jest to CISO, CTO lub wyznaczony sponsor projektu. Reszta organizacji, w tym zespół SOC/Blue Team, nie jest informowana. To kluczowe dla realizmu symulacji — pozwala na rzeczywistą ocenę zdolności detekcji i reakcji organizacji na zaawansowane zagrożenie.
Dla jakich organizacji red team jest najbardziej wartościowy?
Red team jest najbardziej wartościowy dla organizacji z dojrzałymi zespołami bezpieczeństwa (SOC, Blue Team), które chcą przetestować swoje zdolności detekcji i reakcji w realistycznych warunkach. Typowo są to: instytucje finansowe i banki, firmy z sektora energetycznego i infrastruktury krytycznej, duże korporacje z wewnętrznym SOC, organizacje objęte regulacjami DORA, NIS2 lub TIBER-EU, oraz firmy technologiczne chroniące własność intelektualną. Jeśli organizacja nie ma jeszcze dojrzałego Blue Team, rekomendujemy rozpoczęcie od regularnych testów penetracyjnych.
Co otrzymam po zakończeniu operacji red team?
Otrzymasz kompleksowy raport zawierający: Executive Summary dla kadry zarządzającej, szczegółową narrację operacji (attack narrative) krok po kroku z timestampami, pełne mapowanie do MITRE ATT&CK Framework, analizę wykrytych i niewykrytych działań, ocenę dojrzałości Blue Team/SOC, priorytetyzowane rekomendacje strategiczne i taktyczne oraz prezentację wyników. Dodatkowo przeprowadzamy debrief z Blue Team, dzieląc się wiedzą o wykorzystanych technikach.
Czym jest assumed breach i kiedy warto zacząć od tego scenariusza?
Assumed breach to scenariusz, w którym zakładamy, że atakujący uzyskał już wstępny dostęp — i od tego punktu prowadzimy operację w głąb sieci, sprawdzając głębokość obrony i zdolność SOC do wykrycia intruza. Warto od niego zacząć, gdy chcesz w 2–4 tygodnie ocienić odporność środowiska bez wielotygodniowej fazy rozpoznania. To dobre uzupełnienie testów socjotechnicznych oraz — dla sektora finansowego — testów TLPT dla sektora finansowego.
Sprawdź, czy Twoja organizacja jest gotowa na realny atak
Skontaktuj się z nami, aby omówić zakres operacji red team dopasowany do profilu zagrożeń Twojej organizacji. Nasi certyfikowani operatorzy pomogą zaplanować realistyczną symulację.
- Potwierdzenie zgłoszeniaOdpisujemy w ciągu 24 h w dni robocze i dopytujemy o zakres.
- Rozmowa o zakresie pod NDAUstalamy cele, środowisko, terminy i sposób dostępu.
- Wycena i plan testówZwykle tego samego dnia po rozmowie. Bez zobowiązań.
- Weryfikacja poprawek do 30 dni w cenie
Napisz do nas: bezpłatna wycena i konsultacja zakresu
Napisz, jakie cele chcesz zweryfikować (np. gotowość SOC, odporność na phishing, ochrona danych klientów) oraz czy masz własny Blue Team — przygotujemy propozycję zakresu operacji red team.
