Threat-Led Penetration Testing - kompleksowy atak cybernetyczny na organizację

Threat-Led Penetration Testing (TLPT) to podejście do testowania odporności, w którym scenariusze ataku powstają na podstawie informacji o rzeczywistych zagrożeniach dla danej organizacji. DORA wprowadza TLPT dla wybranych podmiotów sektora finansowego jako jeden z elementów oceny ich cyfrowej odporności operacyjnej.

TLPT nie jest „lepszym pentestem”

Threat-Led Penetration Testing i klasyczne testy penetracyjne służą innym celom. W standardowym pentestcie określamy zakres systemów lub aplikacji i sprawdzamy je pod kątem podatności. W TLPT punktem wyjścia jest natomiast profil zagrożeń konkretnej organizacji.

Oznacza to, że scenariusz nie powstaje na podstawie tego, jakie podatności potencjalnie można znaleźć, ale na podstawie informacji o tym, kto realnie może być zainteresowany atakiem na organizację, jakimi technikami może się posługiwać i jakie cele może próbować osiągnąć.

Od Threat Intelligence do scenariusza Red Team

Istotnym elementem TLPT jest Threat Intelligence. Informacje o aktywnych przeciwnikach, w tym grupach APT, ich taktykach, technikach i sposobach działania pozwalają przygotować scenariusze odpowiadające rzeczywistemu profilowi zagrożeń organizacji.

Dopiero na tej podstawie działania przejmuje Red Team, którego zadaniem jest odtworzenie przygotowanego scenariusza i sprawdzenie, jak daleko można dojść w rzeczywistym środowisku.

W tym podejściu nie chodzi więc o zebranie jak największej liczby podatności. Znaczenie ma przede wszystkim realizacja określonego celu atakującego i sprawdzenie, jak organizacja radzi sobie z takim scenariuszem. Taki test dotyka wielu systemów i procesów funkcjonujących w organizacji. Zwykły pentest natomiast skupia się na dokładnym, ale punktowym weryfikowaniu systemów. Optymalnym dla dużych organizacji jest testowanie zarówno punktowe (klasyczny pentest) jak i całościowe (threat-led pentetration testing)

Co właściwie jest testowane?

TLPT pozwala spojrzeć szerzej niż na pojedynczy system. Ocenie podlegają nie tylko zabezpieczenia techniczne, ale również zdolność organizacji do wykrycia działań ofensywnych i odpowiedniej reakcji.

Dzięki temu można sprawdzić m.in., czy:

• działania odpowiadające realnemu przeciwnikowi zostaną wykryte;
• zabezpieczenia ograniczą możliwość przechodzenia pomiędzy kolejnymi etapami ataku;
• zespoły odpowiedzialne za bezpieczeństwo prawidłowo zareagują na rozwijający się scenariusz;
• organizacja jest przygotowana na zagrożenia charakterystyczne właśnie dla jej profilu działalności.

TLPT w DORA

DORA wprowadza TLPT jako szczególną formę testowania odporności dla wybranych podmiotów sektora finansowego. Nie oznacza to jednak, że klasyczne testy penetracyjne tracą znaczenie. TLPT odpowiada na inne pytanie: zamiast sprawdzać przede wszystkim „jakie podatności znajdują się w tym systemie?”, pozwala zweryfikować „jak zachowamy się, jeśli zaatakuje nas przeciwnik działający według realistycznego scenariusza?”.

Testy TLPT są więc ukierunkowane na osiągnięcie konkretnego celu i obejmują jednocześnie wiele procesów, systemów oraz wektorów ataku. Pentest natomiast zazwyczaj koncentruje się na jednym systemie lub aplikacji, szczegółowo weryfikując bezpieczeństwo tego konkretnego obszaru.

Podsumowanie

TLPT nie jest kolejnym poziomem pentestu ani jego zamiennikiem. To odrębne i uzupełniające podejście do oceny bezpieczeństwa, w którym test rozpoczyna się od zrozumienia rzeczywistych zagrożeń dla organizacji, a następnie sprawdza jej odporność na przygotowany na tej podstawie scenariusz ataku. W przypadku podmiotów objętych odpowiednimi wymaganiami DORA takie podejście staje się również elementem regulacyjnego modelu testowania cyfrowej odporności operacyjnej.

Źródło uzupełniające: https://www.securing.pl/en/threat-led-penetration-testing-tlpt-how-to-be-dora-compliant-in-2025/

Materiał pochodzi z zasobów systemu LEX Cyberbezpieczeństwo. W systemie znajduje się szeroki zakres informacji, komentarzy, wzorów oraz praktycznych poradników, które mogą stanowić uzupełnienie do przekazywanych treści. Więcej o systemie →