Povolení krást, lhát a podvádět

Simulované útoky Red Teaming Operations jsou nejkomplexnějším způsobem, jak otestovat zabezpečení firmy. Ze všeho nejvíc připomínají špionážní film, říká Igor Čech ze společnosti AEC.

S prudkým rozvojem informačních a komunikačních technologií se čím dál častěji setkáváme se zprávami o závažných hackerských útocích na zařízení, systémy nebo služby. Ačkoli útočníci používají stále sofistikovanější metody, neznamená to, že se orientují vždy výhradně jen na technologie. Jejich asertivita nezná mezí, svého cíle se snaží dosáhnout jakýmkoli způsobem, včetně „starého dobrého“ vloupání. Anebo tak, že zneužijí důvěry pracovníka ve firmě poté, co si ho předem pečlivě vytipují.

Co si máme pod označením Red Teaming Operations představit?
Když nad tím přemýšlím, Red Teaming je v současnosti asi ta nejpoctivější odpověď na otázku, jaká je reálná úroveň zabezpečení vaší firmy nebo instituce.


Tu nezjistíte ani z prezence docházky zaměstnanců na školení bezpečnosti, ani z každoročního přehledu investic do nových technologií. Tak jasný pohled do zrcadla vám neposkytne žádné skenování zranitelností či penetrační testování. Red Teaming je pro každou organizaci komplexní, velice tvrdý, ale nadmíru užitečný střet s realitou kyberkriminality, protože pracuje s tím nejhorším, čeho jsou dnes hackeři schopni. Jedná se o službu, která dokáže maximálně věrně simulovat hackerské útoky, a to nejen na technologie a procesy, ale i na lidi a fyzické prostředí společnosti.

Zmínil jste penetrační testy – jak se liší od Red Teamingu?
Liší se naprosto zásadně. Řekněme, že zadání, které dostaneme od svého klien­ta, zní ověřit úroveň zabezpečení systému zákaznických smluv. Při běžných penetračních testech postupujeme podle metodiky a provádíme striktně vymezený rozsah činnosti. V tomto případě bychom tedy simulovali hackerský útok na ekonomický systém. Red Teaming je mnohem komplexnější a flexibilnější, takže nám umožňuje vyzkoušet navíc i odolnost toho, co by vás normálně nenapadlo prověřovat. Ale hackery to napadne. Prostě proto, že pro ně může být někdy výrazně snazší vloupat se do účtárny nebo do archivu a pak zmizet s taškou plnou šanonů se smlouvami.

Jaké metody při Red Teamingových operacích AEC používá?
Jedná se o extrémně ofenzivní postupy. Naši lidé obcházejí ochrany a prolamují kódy, využívají převleky, vydávají se za řemeslníky, doručovatele nebo obchodní partnery. Během oběda odposlouchávají hovory u vedlejšího stolu, procházejí osobní profily na sociálních sítích, probírají se firemními odpadky, rozbíjejí okénka u aut, aby se dostali k odloženému notebooku… Ale abychom si rozuměli – my se tu nebavíme o nějaké samoúčelné exhibici naschválů s cílem nachytat klien­ta v nedbalkách. Můžete si být jisti, že pokud je člověk konfrontován s takovou hrozbou na vlastní kůži, je už navždy ponaučený a při skutečném útoku za­reaguje správně. Samotná firma pak na základě našich nálezů výrazně zlepší své procesy, implementuje vyšší ochranu, zdokonalí komunikaci.

Kam až je váš Red tým schopen při takové simulaci zajít?
To je samozřejmě velice citlivá věc. Hranice jsou pevně definované a nastaví je zákazník. Platí, že čím odvážnější zadavatel je, tím přesnější výsledek získává. Rozbití okna bývá často strop, ale ze zahraničí víme, že projekt může zahrnovat i únosy nebo snahu o navázání poměru s vytipovanou osobou za účelem přístupu k citlivým firemním informacím. My se snažíme Red Teamingové operace přizpůsobit na míru každé společnosti bez ohledu na její velikost či odvětví. Obvykle jde o zhruba tříměsíční projekt zakončený odbornou analýzou aktuálního stavu zabezpečení orga­nizace. Detailní rozbor všech aktivit, které nám umožnily překonat stávající obranné mechanismy, je pro firmu tím nejlepším návodem, jak úspěšně čelit reálným hrozbám.

Přečtěte si také