Symulacja ataków APT
i red teaming
Symulacja ataków APT to kontrolowany atak, w którym przez 4-8 tygodni odtwarzamy techniki grupy dobranej pod Twoją branżę. Pentest pokazuje, gdzie są podatności. Symulacja sprawdza, czy Twój zespół zauważy napastnika działającego po cichu i zatrzyma go, zanim dotrze do najcenniejszych danych.
- Realistyczne wektory ataku: phishing, własne narzędzia, omijanie AV i EDR
- Pomiar czasu reakcji zespołów SOC i IR
- Operacja pod nadzorem zespołu kontrolnego po Twojej stronie
Zweryfikował: Marcin Motwicki, CEO PWNONEAktualizacja:
Czym jest symulacja ataków APT
Symulacja ataków APT odtwarza w kontrolowanych warunkach atak grupy APT, na podstawie technik grup aktywnych w Twojej branży, i mierzy, czy i kiedy Twój zespół go wykryje. APT (Advanced Persistent Threat) to dobrze przygotowana grupa, często działająca na zlecenie państwa, która atakuje wybraną organizację tygodniami albo miesiącami. Wchodzi po cichu, utrzymuje dostęp i szuka konkretnych danych.
Co obejmuje symulacja ataków APT
Nie ograniczamy się do technologii. Sprawdzamy też ludzi, procedury i zabezpieczenia fizyczne, bo napastnik wybiera najsłabsze ogniwo, a to nie zawsze jest serwer.
Socjotechnika, OSINT i deepfake
Zbieramy publicznie dostępne informacje o Twojej firmie i prowadzimy celowane kampanie phishingowe, vishingowe i smishingowe wobec zarządu oraz działów finansów, IT i obsługi klienta. Sprawdzamy też, czy helpdesk zresetuje MFA na telefoniczną prośbę i jak ludzie reagują na deepfake: sklonowany głos w rozmowie albo wideo na spotkaniu online. Testy z deepfake prowadzimy zawsze za zgodą osoby, pod którą się podszywamy.
Przykład z naszego researchu: podszywanie się pod nadawcę pocztyEmulacja działania grup APT
Używamy autorskiego oprogramowania C2 (Command & Control), które próbuje ominąć AV i EDR. Tak sprawdzamy, jak te systemy radzą sobie z przeciwnikiem, który nie korzysta z gotowych, znanych narzędzi.
Atak przez zaufanego dostawcę
Sprawdzamy, czy dostęp Twoich dostawców IT i partnerów jest ograniczony i monitorowany. Pokazujemy, czy zauważysz napastnika, który wchodzi przez konto albo połączenie zaufanego dostawcy.
Omijanie zabezpieczeń sieciowych
Sprawdzamy, czy WAF, IPS/IDS i serwery proxy zatrzymują ruch napastnika ukryty wśród zwykłego ruchu firmy.
Więcej o testach infrastruktury zewnętrznejActive Directory i ruch boczny (assumed breach)
Zakładamy, że napastnik ma już dostęp do stacji roboczej pracownika. Sprawdzamy, jak daleko zajdzie z uprawnieniami zwykłego użytkownika, aż do przejęcia konta administratora domeny (Domain Admin).
Więcej o testach infrastruktury wewnętrznejNaruszenie zabezpieczeń fizycznych
Jeśli chcesz, sprawdzamy też bezpieczeństwo fizyczne Twoich biur: kopiowanie kart dostępu RFID i NFC, wejście na teren oraz podłączenie obcego urządzenia do sieci LAN (rogue device).
Purple teaming
Nasz zespół atakujący i Twój zespół obrony pracują razem. Odpalamy technikę po technice i od razu stroimy reguły detekcji, aż SOC zacznie wychwytywać każdą z nich.
Test zespołu SOC
Celem nie jest lista podatności. Sprawdzamy, czy Twój monitoring (logi, SIEM) wychwyci trwający atak i jak zareaguje na niego zespół bezpieczeństwa.
Węższe warianty symulacji
Pełna operacja trwa 4-8 tygodni. Gdy chcesz sprawdzić jeden konkretny scenariusz, wybierz krótszy wariant.
Test assumed breach zaczyna się w Twojej sieci, np. od przejętej stacji lub konta. Sprawdzamy, dokąd dojdzie napastnik i czy SOC go zauważy. 2-4 tygodnie.
Zobacz wariantSymulacja ransomware w firmie: sprawdzamy, czy napastnik dotrze do kontrolera domeny i kopii zapasowych oraz czy zareagują EDR i SOC. Trwa 2-4 tygodnie.
Zobacz wariantPentest, red team czy TLPT
Symulacja ataków APT to nie to samo co test penetracyjny. Różnice dotyczą celu, zakresu i tego, kto w organizacji wie o teście.
| Kryterium | Test penetracyjny | Red teaming | Emulacja APT | Purple teaming | TLPT (DORA) |
|---|---|---|---|---|---|
| Cel | Znaleźć podatności w wybranym zakresie | Sprawdzić reakcję zespołu na realistyczny atak | Odtworzyć techniki konkretnej grupy APT | Wspólnie poprawić wykrywanie ataków | Test odporności funkcji krytycznych wymagany przez DORA |
| Zakres | Wybrany segment, np. aplikacja, sieć lub API | Cała organizacja: ludzie, systemy i biuro | Techniki z profilu zagrożenia, np. APT28 | Scenariusze uzgodnione z blue teamem | Funkcje krytyczne lub istotne, systemy produkcyjne |
| Czy obrona wie? | Zwykle tak, test jest zapowiedziany | Nie, wie tylko zespół kontrolny | Nie, cel to realistyczna reakcja obrony | Tak, obrona i atak współpracują | Nie, test koordynuje zespół kontrolny |
| Punkt startu | Lista adresów IP lub aplikacji do testu | Tylko nazwa firmy, jak prawdziwy napastnik | Scenariusze z analizy zagrożeń sektora | Reguły SIEM/EDR do walidacji | Scenariusze z analizy zagrożeń (threat intelligence) |
| Czas trwania | Zależny od zakresu | 4-8 tygodni | 4-8 tygodni | Zależny od zakresu | Min. 12 tygodni aktywnej fazy (RTS 2025/1190) |
| Wynik | Lista podatności z oceną ryzyka | Oś czasu ataku i mapa technik ATT&CK | Pokrycie detekcji zmapowane na techniki grupy | Poprawione reguły detekcji i procedury reakcji | Raporty z testu i poświadczenie organu nadzoru |
- Cel
- Znaleźć podatności w wybranym zakresie
- Zakres
- Wybrany segment, np. aplikacja, sieć lub API
- Czy obrona wie?
- Zwykle tak, test jest zapowiedziany
- Punkt startu
- Lista adresów IP lub aplikacji do testu
- Czas trwania
- Zależny od zakresu
- Wynik
- Lista podatności z oceną ryzyka
- Cel
- Sprawdzić reakcję zespołu na realistyczny atak
- Zakres
- Cała organizacja: ludzie, systemy i biuro
- Czy obrona wie?
- Nie, wie tylko zespół kontrolny
- Punkt startu
- Tylko nazwa firmy, jak prawdziwy napastnik
- Czas trwania
- 4-8 tygodni
- Wynik
- Oś czasu ataku i mapa technik ATT&CK
- Cel
- Odtworzyć techniki konkretnej grupy APT
- Zakres
- Techniki z profilu zagrożenia, np. APT28
- Czy obrona wie?
- Nie, cel to realistyczna reakcja obrony
- Punkt startu
- Scenariusze z analizy zagrożeń sektora
- Czas trwania
- 4-8 tygodni
- Wynik
- Pokrycie detekcji zmapowane na techniki grupy
- Cel
- Wspólnie poprawić wykrywanie ataków
- Zakres
- Scenariusze uzgodnione z blue teamem
- Czy obrona wie?
- Tak, obrona i atak współpracują
- Punkt startu
- Reguły SIEM/EDR do walidacji
- Czas trwania
- Zależny od zakresu
- Wynik
- Poprawione reguły detekcji i procedury reakcji
- Cel
- Test odporności funkcji krytycznych wymagany przez DORA
- Zakres
- Funkcje krytyczne lub istotne, systemy produkcyjne
- Czy obrona wie?
- Nie, test koordynuje zespół kontrolny
- Punkt startu
- Scenariusze z analizy zagrożeń (threat intelligence)
- Czas trwania
- Min. 12 tygodni aktywnej fazy (RTS 2025/1190)
- Wynik
- Raporty z testu i poświadczenie organu nadzoru
Zamów symulację, jeśli:
- Masz SOC lub zespół bezpieczeństwa i chcesz sprawdzić, czy wykryje prawdziwy atak
- Masz za sobą testy penetracyjne, a podatności z raportu są już naprawione
- Chcesz zmierzyć czas reakcji na incydent, zanim wydarzy się prawdziwy
- Twój podmiot podlega DORA i może zostać wskazany przez KNF do TLPT
Zacznij od pentestu, jeśli:
Nie masz jeszcze monitoringu ani regularnych testów penetracyjnych. Pełna symulacja w firmie bez podstaw detekcji da jeden wniosek: napastnik przejdzie niezauważony. Najpierw zamknij znane luki albo zacznij od wariantu assumed breach, w którym startujemy od przejętej stacji roboczej.
Zobacz testy penetracyjneDORA, TLPT i NIS2
DORA i TLPT
DORA wymaga zaawansowanych testów penetracyjnych metodą TLPT (art. 26) od podmiotów finansowych wskazanych przez organ nadzoru, w Polsce KNF, w ramach programu testów z art. 24 ust. 6. Aktywna faza red team trwa co najmniej 12 tygodni (RTS 2025/1190, art. 11 ust. 5). PWNONE spełnia wymagania art. 27 DORA wobec testerów, ma ubezpieczenie OC zawodowe i własny zespół threat intelligence oddzielony od red teamu.
NIS2 i ustawa o KSC
Ani NIS2, ani ustawa o KSC nie wymagają wprost red teamingu. Symulacja ataku to jednak jeden ze sposobów oceny skuteczności środków zarządzania ryzykiem, których wymaga art. 21 ust. 2 lit. f dyrektywy NIS2 oraz art. 8 ust. 1 pkt 2 lit. h i art. 15 ustawy o KSC (Dz.U. 2026 poz. 252).
Kto atakuje polskie firmy
Polskę regularnie atakują grupy APT. CERT Polska w raporcie za 2025 wskazuje UNC1151 (Ghostwriter) jako jedną z najaktywniejszych grup wobec polskich podmiotów. Grupa prowadziła kampanie kradzieży poświadczeń przez lukę CVE-2024-42009 w oprogramowaniu Roundcube. Tę samą lukę wobec polskich celów wykorzystywała też APT28.
Źródła: Raport roczny CERT Polska za 2025 (NASK); M-Trends 2026 (Mandiant, Google Cloud).
„Takich zdarzeń mamy w Polsce kilka tygodniowo”
Jak wygląda operacja
Kontrolowany proces, nie niespodziewany atak. Każdy etap jest uzgodniony, zanim zaczniemy.
Rozmowa o celach
Ustalamy, co ma sprawdzić operacja i co jest dla Ciebie najcenniejsze do ochrony.
Analiza zagrożeń
Nasz zespół threat intelligence, oddzielony od red teamu, dobiera scenariusz na podstawie grup aktywnych w Twojej branży.
Zasady i zabezpieczenia
Podpisujemy upoważnienie i zasady prowadzenia testu (RoE). Ustalamy zespół kontrolny, warunki przerwania i systemy wyłączone z zakresu.
Operacja
Działamy po cichu, etapami, jak prawdziwy napastnik. Zespół kontrolny może wstrzymać operację w każdej chwili.
Raport i warsztat
Przekazujemy raport i omawiamy go na warsztacie z Twoim zespołem bezpieczeństwa.
Retest w cenie
Po wdrożeniu poprawek wracamy i sprawdzamy, czy luki zostały zamknięte. Jeden retest jest w cenie operacji.
- wykryte
- wykryte z opóźnieniem
- niewykryte
- RozpoznanieTydzień 1-2: niewykryte
- WejścieTydzień 2-3: wykryte z opóźnieniem
- Ruch bocznyTydzień 4-7: wykryte
- CelTydzień 7-8: niewykryte
Scenariusz: fałszywa faktura
Fikcyjna firma z sektora finansowego, 500 pracowników, własny SOC. Wszystkie ID technik pochodzą z MITRE ATT&CK.
| # | Co robi napastnik | Sygnał do wykrycia | MITRE ATT&CK |
|---|---|---|---|
| 1 | 1Ustawia się między pracownikiem a stroną logowania (adversary-in-the-middle) i podszywa się pod portal do faktur. | Logowanie na nietypowej domenie, spoza listy znanych aplikacji. | T1557 |
| 2 | 2Przejmuje aktywną sesję i loguje się bez podawania hasła ani kodu MFA. | Ważna sesja z nowego adresu IP i urządzenia, zmiana nagłówka User-Agent. | T1539 |
| 3 | 3Zakłada w skrzynce regułę, która ukrywa odpowiedzi prawdziwego kontrahenta. | Nowa reguła przenoszenia lub oznaczania poczty w logach audytu skrzynki. | T1564.008 |
| 4 | 4Wysyła z przejętej skrzynki fakturę ze zmienionym numerem konta, kwota zgodna z historią płatności. | E-mail do zewnętrznego kontrahenta z wewnętrznej skrzynki, numer konta inny niż w historii. | T1657 |
W symulacji zatrzymujemy się na uzgodnionym celu, nie wykonujemy operacji na danych ani żadnego przelewu. Mierzymy, na którym etapie monitoring wykrył napastnika.
Źródła wzorca:
Chcesz wiedzieć, na którym etapie Twój SOC zauważyłby taki atak?
Co mierzymy i co dostajesz
Oś czasu ataku
Przebieg operacji z punktami, w których dało się ją wykryć.
Mapa MITRE ATT&CK
Użyte techniki naniesione na macierz, z oceną pokrycia detekcji.
Zalecenia dla SIEM i EDR
Konkretne reguły do dostrojenia, żeby następnym razem wychwycić atak wcześniej.
Warsztat z zespołem
Wspólne omówienie operacji z Twoim blue teamem, technika po technice.
Co mierzymy
- 1Czas od ataku do pierwszego wykrycia przez monitoring (dwell time)
- 2Które techniki przeszły, a które zatrzymał Twój SOC
- 3Czas reakcji zespołu od wykrycia do podjęcia działań
Każdy scenariusz operacji mapujemy na macierz MITRE ATT&CK Enterprise (v19.2, 15 taktyk). Po zakończeniu pokazujemy, które techniki przeszły niezauważone, a które wychwycił Twój zespół. To daje konkretne dane do ustawienia reguł SIEM i EDR.
Twój red team
Po operacji siadamy z Twoim zespołem nad osią czasu i pokazujemy każdy moment, w którym dało się nas złapać. Dla mnie test się udał, jeśli potem Twój SOC wykrywa to, czego wcześniej nie widział.
Certyfikaty zespołu
- OSCE3: Offensive Security Certified Expert 3
- OSEP: Offensive Security Experienced Penetration Tester
- OSED: Offensive Security Exploit Developer
- OSWE: Offensive Security Web Expert
- OSWA: Offensive Security Web Assessor
- OSCP: Offensive Security Certified Professional
- BSCP: Burp Suite Certified Practitioner
- OSWP: Offensive Security Wireless Professional
Często zadawane pytania
Czym różni się red teaming od testów penetracyjnych?
Test penetracyjny szuka podatności w wybranym zakresie, a zespół obrony zwykle o nim wie. Red teaming symuluje cały atak bez uprzedzania obrony i sprawdza, czy Twój zespół go wykryje.
Pentest, red team czy TLPTCzym symulacja APT różni się od operacji red team?
Symulacja APT odtwarza techniki jednej grupy, np. APT28, opisane w jej profilu MITRE ATT&CK. Wybierz ją, gdy chcesz sprawdzić wykrywanie konkretnych technik. Red teaming dobiera metody pod Twoją firmę, bez naśladowania jednej grupy, i pokazuje najsłabsze miejsca Twojej firmy.
Ile trwa symulacja ataku APT?
Symulacja ataku APT trwa zwykle 4-8 tygodni, tak jak typowa operacja red team. Dokładny czas zależy od liczby scenariuszy i zakresu. TLPT wymagany przez DORA jest dłuższy: sama aktywna faza red team to co najmniej 12 tygodni.
Ile kosztuje symulacja ataku?
Na cenę wpływają: liczba scenariuszy, czas trwania operacji, to, czy obejmuje testy fizyczne, vishing i deepfake, oraz wymogi regulacyjne, np. TLPT. Opisz zakres w formularzu, oddzwonimy i doprecyzujemy szczegóły, a zakres prac i widełki cenowe wyślemy w ciągu dwóch dni roboczych.
Czy red teaming jest legalny?
Tak. Pracujemy na podstawie pisemnego upoważnienia od właściciela systemów i podpisanych zasad prowadzenia testu (RoE). Dokumenty powstają przed operacją i opisują zakres, wyłączenia oraz warunki przerwania testu.
Czy symulacja jest bezpieczna dla systemów produkcyjnych?
Tak. Zespół kontrolny po Twojej stronie może zatrzymać operację w każdej chwili, a systemy, które wskażesz, wyłączamy z zakresu.
Jak wygląda operacjaCzy zespół IT lub SOC wie o teście?
W red teamingu, emulacji APT i TLPT nie. O operacji wie tylko zespół kontrolny po Twojej stronie, bo mierzymy reakcję na prawdziwy atak. W purple teamingu Twój zespół pracuje z nami od początku.
Co dostaję po symulacji ataku APT?
Oś czasu ataku z punktami wykrycia, mapę MITRE ATT&CK, zalecenia dla SIEM i EDR, warsztat z Twoim zespołem i jeden retest w cenie.
Co mierzymy i co dostajeszCzy red teaming ma sens, jeśli nie mam SOC-u?
Tak, w wariancie assumed breach. Pomijamy fazę phishingu i zaczynamy od przejętej stacji roboczej. Sprawdzamy, jak daleko napastnik dojdzie w sieci bez monitoringu. Wynik pokaże, które luki zamknąć, zanim zainwestujesz w SOC albo MSSP.
Czy mój podmiot podlega obowiązkowi TLPT?
Obowiązek TLPT nakłada DORA (art. 26). Podmiot do testu wskazuje organ nadzoru, w Polsce KNF, decyzją na podstawie art. 18zk ustawy o nadzorze nad rynkiem finansowym. Zgodnie z RTS 2025/1190 (art. 2 ust. 2) dotyczy to m.in. banków o znaczeniu systemowym (G-SII i O-SII), dużych instytucji płatniczych i pieniądza elektronicznego, centralnych depozytów papierów wartościowych (CSD), kontrahentów centralnych (CCP), wybranych systemów obrotu oraz większych ubezpieczycieli. Jeśli nie masz pewności, zapytaj oficera ds. zgodności albo skontaktuj się z nami.
Sprawdź, czy Twój zespół wykryje prawdziwy atak
Opowiedz nam o swojej organizacji, a zaproponujemy zakres symulacji dopasowany do Twojej branży.
Umów rozmowę o symulacji ataku