Emulacja APT według MITRE ATT&CK: dobór grupy i technik, pomiar wykryć

Emulacja APT to symulacja ataków APT jednej, realnej grupy

Emulacja przeciwnika (adversary emulation) odtwarza zachowanie jednej, realnej grupy zagrożeń, a nie dowolnego atakującego. MITRE Center for Threat-Informed Defense (CTID) definiuje ją jako odtwarzanie zachowań rzeczywistych grup w sposób bezpieczny i powtarzalny.

Różnicę najlepiej widać przy trzech usługach obok siebie. Test penetracyjny szuka jak największej liczby podatności w uzgodnionym zakresie i kończy się ich listą. Klasyczny red team ma cel, np. dostęp do systemu płatności, i może do niego dojść dowolną drogą. Emulacja APT też ma cel, ale zawęża drogę do technik, których używa wybrana grupa. Wynik mówi wtedy coś konkretnego: czy Twój SOC zauważyłby APT29, a nie czy zauważyłby jakiegoś atakującego.

CTID opisuje threat-informed defense jako trójkąt. Jeden jego bok to testy i ocena (Testing & Evaluation), czyli sprawdzanie obrony właśnie przez emulację. Dwa pozostałe to wywiad o zagrożeniach i środki obronne. Dlatego nasza symulacja ataków APT zaczyna się od wywiadu, a dopiero potem przechodzi do testu.

MITRE ATT&CK v19 ma 15 taktyk, a Defense Evasion podzielono na dwie

Macierz Enterprise w MITRE ATT&CK v19 ma 15 taktyk, a dawną taktykę Defense Evasion zastąpiły dwie nowe: Stealth i Defense Impairment. To największa zmiana wydania z 28 kwietnia 2026 r. Stealth zachowała identyfikator TA0005, Defense Impairment dostała TA0112. Starsze raporty, reguły SIEM albo warstwy Navigatora opisane jako Defense Evasion trzeba więc przemapować.

ATT&CK to otwarta i bezpłatna baza wiedzy o zachowaniu przeciwników, zbudowana z obserwacji prawdziwych ataków. Taktyka odpowiada na pytanie, po co atakujący coś robi. Technika mówi, jak to robi. Obecna kolejność taktyk Enterprise: Reconnaissance, Resource Development, Initial Access, Execution, Persistence, Privilege Escalation, Stealth, Defense Impairment, Credential Access, Discovery, Lateral Movement, Collection, Command and Control, Exfiltration, Impact.

Według strony technik Enterprise (stan na 24 września 2026 r., wersja v19.2 z 6 sierpnia 2026 r.) macierz ma 222 techniki i 475 subtechnik. Notatki do v19 podają dla Enterprise 174 grupy. Strona grup pokazuje 180, ale ten licznik obejmuje też domeny Mobile i ICS.

Kogo emulować w Polsce, mówią raporty CERT Polska i CSIRT-ów

Grupy atakujące polskie podmioty opisują raporty CERT Polska, CSIRT GOV i CSIRT MON. Profile w ATT&CK są globalne: w profilach APT28, APT29, Mustang Panda i Dragonfly (wersja z 31 lipca 2026 r.) nie znaleźliśmy wzmianki o Polsce. Polskie raporty mówią więc, kogo emulować, a ATT&CK, jak ta grupa działa.

Raport roczny CERT Polska za 2025 r. ma osobny rozdział o grupach APT. CERT Polska odnotował nasilenie działań grup powiązanych z obcymi państwami i zastrzega, że opisuje tylko część obserwowanej aktywności, nie zawsze z atrybucją. Uzupełnieniem są wpisy o pojedynczych kampaniach, np. o kampanii APT28 przeciw polskim instytucjom rządowym z maja 2024 r.

Raport CSIRT GOV (ABW) za 2025 r. dzieli zagrożenia na kierunek rosyjski, białoruski, chiński i pozostałe, a APT28 nazywa dominującym źródłem zagrożenia w polskiej cyberprzestrzeni. Publikacje CSIRT KNF, które przejrzeliśmy, nie przypisują ataków grupom APT. Dla sektora finansowego KNF liczy się głównie jako organ, który w drodze decyzji wskazuje podmioty zobowiązane do testów TLPT według DORA (art. 18zk ustawy o nadzorze nad rynkiem finansowym).

Łącznej liczby incydentów APT w Polsce nie podaje żaden z tych raportów.

Grupę dobiera się do sektora, a techniki do etapów ataku

Grupę wybiera się według tego, kogo atakuje, a techniki według tego, na którym etapie ataku chcesz sprawdzić obronę. Nasz zespół threat intelligence porównuje sektor klienta z sektorami celu w raportach CERT Polska i CSIRT-ów. Dla ministerstwa albo urzędu naturalnym wyborem są APT28 i APT29. Dla firmy energetycznej klaster opisany przy atakach z grudnia 2025 r. Dla firmy z otoczenia dyplomacji Mustang Panda. Potem wybieramy techniki z profilu grupy w ATT&CK i każdą przypisujemy do taktyki. Przykłady z czterech profili są niżej.

Profil i polski raport nie zawsze się pokrywają. Kampania APT28 opisana przez CERT Polska w 2024 r. zaczynała się od e-maila z linkiem, a profil G0007 nie zawiera T1566.002 Spearphishing Link. Najbliżej są T1204.001 Malicious Link i T1598 Phishing for Information. CERT Polska nie podaje identyfikatorów ATT&CK, więc takie zestawienie jest interpretacją analityka i tak je opisujemy w planie.

Dla grupy bez profilu, jak UNC1151, ATT&CK nie podaje technik, więc przypisujemy je na podstawie raportów o jej kampaniach. CERT Polska opisał dwie jej kampanie i każda zaczynała się inaczej. W 2025 r. e-mail miał temat wymuszający szybką reakcję, a samo otwarcie wiadomości w nieaktualnym Roundcube uruchamiało exploit podatności CVE-2024-42009. Po zdobyciu poświadczeń atakujący logował się do skrzynki, a czasem wysyłał z niej kolejne wiadomości. W 2026 r. e-mail udawał komunikat administratorów Gmaila, a link prowadził do fałszywej strony logowania. Atakujący wyłudzali też kody SMS i kody z aplikacji uwierzytelniających. Takie etapy zaznaczamy ręcznie jako techniki ATT&CK, np. link z kampanii z 2026 r. jako T1598.003 Spearphishing Link w taktyce Reconnaissance.

Całość składamy w ATT&CK Navigator, narzędziu MITRE opartym na warstwach (layers), czyli własnych widokach macierzy. Każda grupa ma osobną warstwę, a po ich nałożeniu widać techniki wspólne dla kilku grup. Ostatnia warstwa pokazuje to, co klient już wykrywa. Jeśli chcesz sprawdzić tylko etapy po włamaniu, scenariusz zamienia się w test assumed breach od środka sieci.

• APT28 (G0007): T1598 Phishing for Information (Reconnaissance), T1566.001 Spearphishing Attachment i T1190 Exploit Public-Facing Application (Initial Access), T1204.001 Malicious Link (Execution), T1110 Brute Force (Credential Access).
• APT29 (G0016): T1566.002 Spearphishing Link i T1195.002 Compromise Software Supply Chain (Initial Access), T1110.003 Password Spraying i T1621 Multi-Factor Authentication Request Generation (Credential Access).
• Mustang Panda (G0129): T1598.003 Spearphishing Link (Reconnaissance), T1566.001 i T1566.002 (Initial Access), T1091 Replication Through Removable Media (Initial Access i Lateral Movement), T1003 OS Credential Dumping (Credential Access).
• Dragonfly (G0035): T1598.003 Spearphishing Link (Reconnaissance), T1189 Drive-by Compromise i T1566.001 Spearphishing Attachment (Initial Access), T1187 Forced Authentication i T1110 Brute Force (Credential Access).

Jak TIBER-EU buduje scenariusze z threat intelligence

W TIBER-EU scenariusze powstają z raportu Targeted Threat Intelligence (TTI), który przygotowuje zewnętrzny dostawca threat intelligence, a nie sam red team. Według ram z 2025 r. faza threat intelligence trwa orientacyjnie 4-6 tygodni. Dostawca zbiera informacje o podmiocie (powierzchnia ataku, cyfrowy ślad) i o zagrożeniach (aktorzy, prawdopodobne scenariusze).

Z tego powstaje długa lista scenariuszy, które różnią się aktorami i technikami, a razem obejmują wszystkie krytyczne lub istotne funkcje w zakresie. Scenariusze są fikcyjne, ale oparte na metodach prawdziwych atakujących. TIBER-EU zaleca łączenie technik różnych istotnych aktorów zamiast kopiowania dawnych scenariuszy. To podejście różni się od czystej emulacji jednej grupy.

Lider zespołu kontrolnego wybiera z tej listy co najmniej trzy. Raport TTI rozpisuje je jako scenariusze end-to-end, po jednym dla dostępności usług, integralności danych i poufności informacji. Najwyżej jeden wybrany scenariusz może nie wynikać z analizy zagrożeń (w TIBER-EU nazywa się go scenario-X). Testy TLPT według DORA reguluje rozporządzenie delegowane 2025/1190 (RTS w sprawie TLPT), które też przewiduje zespół kontrolny, zewnętrznego dostawcę threat intelligence i red team.

Cele testu określa się jako flagi. Dla każdego systemu w zakresie zespół kontrolny ustala co najmniej jedną flagę, czyli cel, który red team ma osiągnąć, np. naruszenie poufności, integralności albo dostępności systemu. Gdy red team utknie, zespół kontrolny może dać mu leg-up (w polskiej wersji RTS: ułatwienie), np. dostęp do sieci wewnętrznej. Leg-upem nigdy nie może być udostępnienie samej flagi ani wyłączenie zabezpieczeń. Aktywne testy trwają co najmniej 12 tygodni. Terminy wszystkich faz TLPT i widełki cenowe zebraliśmy w artykule ile kosztuje red teaming i ile trwa TLPT.

W Polsce TLPT według DORA jest obowiązkowy dla podmiotów wskazanych decyzją KNF, a TIBER-EU pozostaje ramą dobrowolną. UKNF zapowiadał w styczniu 2025 r. TIBER-PL, ale 24 września 2026 r. Polski nie było na liście jurysdykcji TIBER-EU na stronie EBC. RTS wymaga, żeby przy jednym dostawcy ludzie od threat intelligence byli oddzieleni od red teamu i mu nie podlegali. U nas to dwa osobne zespoły. Spełniamy wymogi art. 27 DORA dla testerów TLPT i mamy ubezpieczenie OC zawodowe.

Plan emulacji na przykładzie biblioteki CTID

Plan emulacji to dokument, który zamienia wywiad o grupie w przebieg operacji. Dobrze to widać w bibliotece planów MITRE CTID. Na dzień sprawdzenia (24.09.2026) ma ona 11 pełnych planów: APT29, Blind Eagle, Carbanak, FIN6, FIN7, menuPass, OceanLotus, OilRig, Sandworm, Turla i Wizard Spider. Do tego 12 mikroplanów.

Pełny plan odwzorowuje jednego przeciwnika od wejścia do sieci po eksfiltrację. Ma trzy części: podsumowanie dostępnego wywiadu o grupie (intelligence summary), ogólny opis scenariusza (operational flow) i procedury krok po kroku w wersji dla człowieka i dla maszyny. Mikroplany obejmują kilka technik wykonywanych zwykle razem, np. webshelle, i da się je zautomatyzować w narzędziach BAS (breach and attack simulation).

Z planów wolno korzystać tylko po uzyskaniu wcześniejszej, wyraźnej zgody na test i tylko do oceny bezpieczeństwa albo badań. W Polsce najbardziej przydatny jest plan APT29, bo tę grupę opisywały CERT Polska i SKW. Planu dla UNC1151 nie ma, więc piszemy go sami w tej samej strukturze: podsumowanie wywiadu, opis scenariusza i techniki przypisane do etapów.

Co mierzymy podczas emulacji APT

Podstawą pomiaru jest wynik dla każdej wykonanej techniki: czy obrona ją zablokowała, wykryła, tylko zalogowała, czy w ogóle jej nie widziała. Wytyczne TIBER-EU do purple teamingu wyróżniają m.in. takie przypadki: działania bez telemetrii; działania widoczne w logach, ale niewykryte; źle obsłużone alerty; nieskuteczne reakcje. Raport Blue Team ma też wskazać, które mechanizmy (np. EDR, SIEM) wykryły dany krok ataku, a które go zatrzymały.

Drugi wymiar to czas. Raport Blue Team w TIBER-EU ma oś czasu, na której działania red teamu i obrony stoją obok siebie, a każde działanie obrony ma dowód, np. numer zgłoszenia z czasem utworzenia. Z tego da się odtworzyć czas do wykrycia i do reakcji.

Trzeci to pokrycie na mapie ATT&CK, i tu trzeba uważać. CTID zwraca uwagę, że dwie organizacje mogą mieć tę samą technikę na zielono przy zupełnie różnych możliwościach wykrywania. Jeśli technika ma osiem znanych sposobów wykonania, a reguły wykrywają dwa, pokrycie wynosi 2/8. Dlatego na mapie zaznaczamy to, co obrona wychwyciła w teście, a nie to, co obiecuje producent narzędzia.

Po teście jest replay i purple teaming. Red team i Blue Team przechodzą razem przez oś czasu, a potem powtarzają wybrane techniki i na bieżąco sprawdzają, co widzi obrona. W TIBER-EU oba etapy muszą się odbyć najpóźniej 10 tygodni po końcu aktywnych testów.

U nas raport zawiera oś czasu z punktami wykrycia, mapę ATT&CK z tym, co wychwyciła Twoja obrona, oraz zalecenia dla SIEM i EDR. Potem prowadzimy warsztat z Twoim Blue Teamem, a jeden retest jest w cenie. Typowa operacja poza TLPT trwa u nas 4-8 tygodni. Ten sam pomiar stosujemy w symulacji ataku ransomware. Jak taki atak przebiega naprawdę, pokazuje nasza analiza ataku ransomware na polski sektor medyczny.

Emulacja u Ciebie a MITRE ATT&CK Evaluations

MITRE ATT&CK Evaluations sprawdzają produkty bezpieczeństwa w środowisku MITRE, a emulacja u Ciebie sprawdza Twoją konfigurację, ludzi i procesy. W Evaluations zespoły MITRE odtwarzają pełny łańcuch zachowań przeciwnika w kontrolowanym środowisku, na podstawie zweryfikowanego wywiadu o zagrożeniach, w którym działania przypisano konkretnym grupom. Oceny obejmują wykrywanie, zapobieganie i dochodzenie (wskaźniki DQI, PQI i IQI). Enterprise 2025, siódma runda, opierała się na zachowaniach Scattered Spider i Mustang Panda.

Wyników nie da się czytać jako rankingu EDR. MITRE pisze w FAQ, że Evaluations nie wyłaniają zwycięzców, a udział w nich nie oznacza rekomendacji, rankingu ani certyfikacji. Dobry wynik produktu nie powie też, czy u Ciebie agent jest na każdym serwerze i czy ktoś obsłuży alert w nocy.

Jeśli chcesz ustalić, którą grupę emulować w Twojej firmie, umów 30-minutową rozmowę z naszym zespołem. Wycenę dostajesz do 2 dni roboczych.