Red Teaming – Červená proti modré, aneb evoluce penetračních testů

O pojmu penetrační testování pravděpodobně už slyšel každý informovanější člověk pohybující se v rámci IT a hlavně v odvětví jeho bezpečnosti. Penetrační testy jsou s oblibou popisovány jako simulace útoku vůči zadané IT oblasti. Předmětem penetračního testu je vždy určitá izolovaná část IT ekosystému společnosti jako například webová aplikace, desktopová aplikace, či síťová infrastruktura. Slovo izolovaná v předchozí větě by zasloužilo dvakrát podtrhnout. Právě v této izolovanosti tkví největší slabina penetračních testů. Jako výsledek periodického provádění těchto testů můžeme mít informaci, že veškerá bezpečnostní rizika byla snížena na akceptovatelnou úroveň a testovaný systém je odolný vůči útoku.

Co nám už výsledek penetračního testu nepoví, že systém je možné kompromitovat zasláním emailu s malware v příloze jeho správci, že je možné dostat se k datům kompromitací zcela jiného systému, který však s původním sdílí stejné datové úložiště a tak dále. Penetrační testy jsou jednoduše úzkoprofilově zaměřeny na konkrétní oblast a z podstaty věci nemohou pokrýt komplexnost provázanosti celého ekosystému společnosti a z toho vyplývajících rizik.

Přestože společnosti do bezpečnosti investují pořád vyšší a vyšší sumy, stávají se stále cíli sofistikovaných útoků. Z nedávné doby si můžeme připomenout například kauzy okolo Sony Pictures, Equifax, Deloitte či British Airways. Ve všech těchto případech došlo k zásadnímu úniku citlivých dat a poškození reputace dané společnosti. Navíc se čím dále ve větší míře setkáváme s útoky vládou sponzorovaných hackerských skupin, kdy hlavním cílem je zpravidla špionáž či sabotáž. To jen zvyšuje poptávku po službě, která by zabezpečení vůči externí hrozbě zhodnotila komplexně.

V tomto bodě přichází na řadu tzv. Red Teaming. Tento pojem je odvozen od výrazu Red Team, jenž označuje tým zkušených etických hackerů, který simulovaný útok realizuje a využívá při tom stejně sofistikované prostředky jako reální útočníci. Red Teaming pokrývá velice široký rozsah vektorů útoků a cílí lidi, technologie i fyzická aktiva. Kromě pokusu o průnik zneužitím zranitelnosti v dané technologii využívá i prostředků sociálního inženýrství, sběru informací z otevřených zdrojů (OSINT, dumpster diving) či fyzického průniku.

Proti Red Teamu stojí na straně cílové společnosti tzv. Blue Team, což je tým odborníků, který se stará o prevenci, detekci a řešení kybernetických incidentů. Jeho cílem je udělat vše pro to, aby útok nebyl úspěšný a pokud už útok úspěšný je, potom ho co nejrychleji odhalit, zadržet a zabránit jeho opakování. V dnešní době se u větších společností jedná o oddělení Security Operations (SOC) či Cyber Defense Centra (CDC).

Red Team vs Blue Team

Role Red Teamu a Blue Teamu jsou asymetrické. V prvotní fázi, kdy se útočící tým pokouší proniknout do interní sítě chráněné obraným týmem, má navrch Red Team. Blue Team musí zabezpečit každý z mnoha potenciálních vektorů útoků a že je toto pole velice široké. Útočícímu týmu stačí najít jednu zranitelnost, jedno pochybení, zneužít důvěry jednoho ze zaměstnanců a získá tak přístup dovnitř sítě.

V tomto momentě se však situace obrací. Výhoda se překlápí do rukou obranného týmu. Útočící tým se dostává na neznámou půdu interní sítě, kterou má pevně pod kontrolou Blue Team. Jakmile zde udělá Red Team jedinou chybu, začne se chovat příliš “hlučně”, aktivuje honeypot či na svoji aktivitu upozorní jiným způsobem, je z vnitřní sítě nemilosrdně Blue Teamem vystrnaděn a jeho práce začíná nanovo. Přirovnání s pomyslnou hrou na kočku a myš je zde tak více než na místě.

Pokud už se Red Team dostane na hřiště Blue Teamu, co je vlastně jeho cílem? Cílem je nepozorovaně získat tzv. Flag neboli vlajku, která je definována spolu se zadavatelem za začátku Red Teaming cvičení. Může se například jednat o přístup do určitého segmentu interní sítě, přístup ke konkrétnímu serveru či předem nachystaným datům v databázi, fyzický přístup do serverovny, odcizení notebooku či instalace HW backdooru. Principem je definovat Flag způsobem, aby po jeho dosažení Red Teamem bylo možné konstatovat, že zabezpečení na úrovni technické, fyzické a procesní není dostatečné pro zabránění cílené infiltrace zvenčí. V rámci výsledného reportu je pak celý útok včetně slepých cest či nezdařených infiltrací detailně analyzován a popsán a jsou navrženy doporučení pro úspěšnou obranu napříč různými oblastmi.

Z výše uvedeného vyplývá, že pro dosažení co nejvěrnějších výsledků je nezbytné, aby o provádění Red Teamingu nebyli informování zaměstnanci, především pak lidé z IT jednotek (IT Operations, SOC, CDC) cílové společnosti. Na straně zadavatele ví o provádění Red Teamingu pouze úzká skupina lidí, tzv. White Team, který se stará o součinnost během procesu dodání služby. Dle dohody mohou útoky probíhat i mimo pracovní dobu, je tak nezbytné, aby byla kontaktní osoba neustále dostupná. V případě fyzických průniků dostávají členové Red teamu tzv. Get Out of Jail Free kartu, kterou se prokáží v případě, ze jsou úspěšně detekováni.