Red teaming

Začínáme dohodou o cíli. Ne „otestujte nás“, ale „dostaňte se do výrobního systému“, „stáhněte databázi pacientů“ nebo „proveďte platbu nad milion korun“. K tomu patří pravidla zapojení: co je zakázané, kdo z vedení o operaci ví a telefonní číslo, na které voláme, když se něco pokazí.

Následuje OSINT. Jména a role z LinkedInu, formát firemních e-mailů, zapomenuté subdomény, technologie čitelné z hlaviček a certifikátů, přihlašovací údaje z veřejných úniků. Z toho vzniká scénář, který je věrohodný právě pro vaši firmu. Ne generická faktura od dodavatele, se kterým jste nikdy nespolupracovali. Přehled toho, které kategorie veřejných zdrojů se procházejí, drží samostatné heslo ve slovníku.

Výstupem je report, který popisuje cestu k cíli včetně důkazů, a návrh opatření seřazený podle toho, kolik útočníkovi zavře cest. Doporučení nepíšeme jako „zaveďte zero trust“, ale jako konkrétní kroky: vypnout NTLM tam, kde už není potřeba, oddělit správcovské účty do vlastní vrstvy, zúžit delegaci v doméně.

Roviny se dají kombinovat, ale každá měří něco jiného. Kybernetická rovina začíná na dálku, typicky cílenou zprávou nebo zapomenutou službou na perimetru, a měří, jak rychle si vás všimne dohled. Fyzická rovina začíná u vaší recepce a měří, koho pustí dovnitř.

Kybernetickou částí se začíná ze dvou důvodů. Vektory, kterými se útočníci reálně dostávají dovnitř, jsou podle veřejných dat vzdálené: Verizon DBIR 2026 uvádí 31 procent průniků začínajících zneužitím zranitelnosti v software, Mandiant M-Trends 2026 uvádí 32 procent a vede tenhle vektor jako nejčastější šestý rok po sobě. Druhý důvod je praktický: výsledek se dá rovnou promítnout do detekčních pravidel. Detail průběhu i podobu attack timeline popisuje kybernetická rovina operace.

Fyzická část se vyplatí tam, kde má vstup do budovy přímý dopad na provoz nebo na data: výroba, zdravotnictví, datové sály, kanceláře sdílené s cizími nájemníky. Na samostatné stránce popisujeme, jak fyzický test probíhá a jaká má pravidla.

Objednat se dají obě roviny dohromady jako jedna operace a má to věcný důvod: navazují na sebe. Fyzická rovina předává kybernetické ve chvíli, kdy je k dispozici přístup do sítě nebo odemčená stanice, a kybernetická operace přesně takovým přístupem začíná. Zvlášť objednané roviny změří dvě půlky cesty, spojené měří celou cestu od dveří k datům včetně přechodu mezi fyzickou a kybernetickou obranou. Scénář pak začíná před budovou a končí u dat, ke kterým jsme se dostali ze síťové zásuvky v zasedačce.

Fyzická rovina přitom běží uvnitř okna kybernetické operace, ne za ní. Dny na místě padnou do období, po které operace stejně běží, takže se délky obou rovin neřadí za sebe. Zadarmo z hlediska času to ale není: příprava, rekognoskace i pravidla zapojení jsou u každé roviny vlastní, a právě proto se o spojení musí říct na začátku, ne v půlce operace.

Rozdíl proti pentestu se dá shrnout do dvou vět: penetrační test hledá co nejvíc zranitelností ve vymezeném rozsahu, red team jde po jednom cíli a měří, jestli si toho vaše obrana všimne. Podrobné srovnání délky, rozsahu, výstupů i nákladů jsme sepsali v samostatném článku.

Dělicí čára nevede podle velikosti firmy, ale podle toho, jak daleko jste s obranou. Pokud záplatujete nárazově a poslední test je starší než dva roky, red teaming je drahý způsob, jak se dozvědět, že máte neaktualizovaný VPN koncentrátor. Vyplatí se ve chvíli, kdy vám běží centrální sběr logů, máte vlastní nebo nakoupený dohled a chcete znát čas mezi vstupem útočníka a prvním alertem.

V praxi obě věci kombinujeme. Když chcete operaci zkrátit, nabízíme variantu assume breach, kterou rozebíráme u kybernetické části.