Opravené chyby nestačí. Red Team ověří, zda si firma všimne útoku

Chyby z penetračního testu jsou opravené a IT hlásí hotovo. To ale neříká, jestli je tedy firma v bezpečí.

„Seznam opravených chyb ještě neříká, jestli by si firma útoku všimla,“ říká Patrik Žák, red team lead, který se kybernetické bezpečnosti věnuje přes 10 let.

Podle globální studie Mandiant M-Trends 2026 zůstal útočník v napadené firmě v roce 2025 nepozorovaný v polovině případů 14 dní nebo déle. Téměř polovinu útoků (48 %) firmy samy neodhalily.

Sken, pentest a Red Team

Sken zranitelností automaticky porovnává systémy s databází známých chyb, jako je zastaralý software nebo chybějící záplaty. Při penetračním testu tester napodobuje útok a hledá, jak spojit několik chyb, aby se dostal dál. Obvykle pracuje ve vymezeném rozsahu systémů.

Red Team napodobuje konkrétního útočníka a prověřuje celou organizaci, tedy lidi, procesy i technologie. Měří, jestli firma útok zachytí a zastaví. O testu ví jen malý řídicí tým, bezpečnostní tým o něm neví.

„My začínáme plný Red Team stejně jako skutečný útočník: bez předchozích znalostí o firmě a bez jakéhokoli přístupu. Ve variantě Assumed Breach naopak začínáme uvnitř, třeba s kompromitovaným účtem, zařízením nebo přístupem dodavatele,“ vysvětluje Žák ze SYSNETSHIELD.

Dvě organizace, dva výsledky

Americká agentura CISA ve zprávě A Tale of Two SOCs popsala souběžný test dvou organizací. V obou Red Team ovládl celou doménu, tedy centrální správu účtů a počítačů. První organizace útok nezachytila, upozornění zapadlo v záplavě jiných. Druhá napadené počítače izolovala během 20 minut.

„Technické mezery měly obě, včetně cloudu. Rozdíl byl v tom, jestli si útoku někdo všiml a co s tím udělal,“ upozorňuje Žák. CISA proto doporučuje znát normální stav vlastní sítě, omezit šum v upozorněních a mít připravené postupy pro reakci.

Co vyžaduje regulace

Nařízení DORA ukládá test metodou Red Teamu (TLPT) jen finančním institucím, které určí úřad, standardně nejméně jednou za tři roky. Zákon o kybernetické bezpečnosti č. 264/2025 Sb. Red Team nevyžaduje.

Kdy dává Red Team smysl

Red Team není první krok. Dává smysl, když funguje řízení zranitelností, firma má penetrační testy za sebou a někdo sleduje upozornění. Britské centrum kybernetické bezpečnosti NCSC k tomu říká, že firma by měla předem tušit, co testeři najdou. Postup od skenu přes penetrační test k Red Teamu je praxe v oboru, ne povinné pořadí.

Firma tak může ověřit, za jak dlouho si útočníka všimne, kdo rozhodne o dalším postupu a zda reakce funguje i v noci a o víkendu.

„Seznam opravených chyb je dobrý začátek. Nejhorší způsob, jak se dozvědět o útočníkovi ve vlastní síti, je ale zpráva od něj samotného,“ uzavírá Žák.