Pisanie raportów red teamu

Raport zespołu red team komunikuje kierownictwu ryzyko biznesowe zidentyfikowanych luk (podsumowanie dla kadry kierowniczej), umożliwia obrońcom odtworzenie ustaleń i usprawnienie wykrywania (szczegóły techniczne), a także przedstawia plan działań naprawczych (zalecenia).

Standardowa struktura raportu red team:

1. Strona tytułowa i określenie zakresu
2. Podsumowanie dla kadry kierowniczej
3. Przegląd metodyki
4. Opis przebiegu ataku / kill chain
5. Lista ustaleń z ocenami ważności
6. Szczegóły techniczne każdego ustalenia
7. Zalecenia i plan działania
8. Załączniki: dowody, IOC, lista narzędzi

Podsumowanie dla kadry kierowniczej należy napisać na końcu. Powinno ono zawierać:

• Cele i zakres testu
• Najważniejsze ustalenia przedstawione językiem biznesowym ("uzyskaliśmy dostęp administratora domeny w ciągu 4 godzin")
• Ogólną ocenę poziomu ryzyka
• Trzy najważniejsze priorytety działań naprawczych

Bez żargonu. Należy założyć, że odbiorcą jest nietechniczny członek kadry kierowniczej.

Opis przebiegu ataku przedstawia chronologiczny przebieg testu:

1. Początkowy wektor dostępu (sposób uzyskania pierwszego przyczółka)
2. Utrwalanie dostępu i rozpoznanie
3. Etapy eskalacji uprawnień
4. Ścieżka ruchu bocznego
5. Osiągnięte cele (uzyskany dostęp do danych, przejęta domena)

Każdy etap należy powiązać z identyfikatorem techniki MITRE ATT&CK.

Każde ustalenie powinno zawierać:

• Tytuł: jasna, konkretna nazwa
• Poziom ważności: Krytyczny/Wysoki/Średni/Niski/Informacyjny (wraz z wynikiem CVSS, jeśli ma zastosowanie)
• Opis: co wykryto
• Wpływ: ryzyko biznesowe w przypadku wykorzystania
• Kroki odtworzenia: szczegółowy dowód techniczny
• Dowody: zrzuty ekranu, dzienniki
• Zalecenie: konkretna poprawka

CVSS (Common Vulnerability Scoring System) zapewnia ustandaryzowany wynik ważności w skali 0–10. Składniki: wektor ataku, złożoność, wymagane uprawnienia, interakcja użytkownika, zakres oraz wpływ na poufność, integralność i dostępność. Należy używać CVSS 3.1, aby zapewnić spójne i możliwe do obrony oceny ważności.

Każdą zastosowaną technikę należy przypisać do ATT&CK, aby dostarczyć obrońcom praktycznych informacji:

• T1566.001 — Spearphishing Attachment (początkowy dostęp)
• T1059.001 — PowerShell (wykonanie)
• T1003.001 — LSASS Memory (dostęp do poświadczeń)

Mapowanie ATT&CK pomaga zespołom blue team tworzyć reguły wykrywania dla zaobserwowanych TTP.

Zrzuty ekranu powinny zawierać:

• Widoczną datę i godzinę w terminalu
• Nazwę hosta przejętego systemu
• Polecenie i pełne dane wyjściowe
• Brak przycięcia usuwającego kontekst

Należy opatrzyć zrzuty ekranu adnotacjami, aby wyróżnić kluczowy element. Dowody potwierdzają ustalenia.

Dobre zalecenia są:

• Konkretne: "Włącz PowerShell AMSI i constrained language mode", a nie "popraw bezpieczeństwo"
• Ustalone priorytetowo: wskazują, które działania należy podjąć najpierw na podstawie ryzyka
• Możliwe do wykonania: odbiorca dokładnie wie, co należy zrobić
• Realistyczne: uwzględniają ograniczenia operacyjne

Prezentacja podsumowująca na żywo uzupełnia pisemny raport. Należy przeprowadzić klienta przez przebieg ataku, korzystając z rzeczywistych zrzutów ekranu, pokazać, jak można było wykryć każdy etap, i odpowiedzieć na pytania. Często wywiera to większy wpływ niż pisemny raport na wprowadzanie zmian.

Raporty red teamu zawierają poufne informacje o podatnościach. Należy postępować z nimi odpowiednio:

• Zaszyfrować raport (PGP lub plik PDF chroniony hasłem)
• Przesyłać go bezpiecznym kanałem
• Ograniczyć dystrybucję do osób, które muszą mieć do niego dostęp
• Określić zasady przechowywania i niszczenia raportów
• Nigdy nie wysyłać raportów niezaszyfrowanych

Raporty red teamu służą odbiorcom biznesowym (podsumowanie dla kadry kierowniczej), technicznym (opis przebiegu ataku i ustalenia) oraz odpowiedzialnym za obronę (mapowanie ATT&CK). Każde ustalenie zawiera poziom ważności, wpływ, kroki odtworzenia, dowody i konkretne zalecenia. Mapowanie MITRE ATT&CK przekształca ustalenia z perspektywy ofensywnej w możliwości tworzenia mechanizmów wykrywania po stronie obrony. Raporty należy szyfrować i traktować jako dokumenty poufne.