Red teaming per mettere alla prova rilevamento e risposta.
Emuliamo un avversario determinato per settimane, non per giorni: operazioni in più fasi contro persone, processi e tecnologia, per capire se la tua organizzazione rileva, contiene e risponde a un attacco vero.
Oltre l'elenco delle vulnerabilità
Un'esercitazione di red teaming nasce da obiettivi precisi. Il team non cerca il maggior numero possibile di vulnerabilità: punta a un traguardo realistico, come raggiungere un sistema di pagamento o esfiltrare dati sensibili, con le tattiche degli attori che colpiscono il tuo settore.
È il test giusto quando gestione delle vulnerabilità e penetration test sono già una pratica consolidata e vuoi misurare la capacità di difesa che c'è dietro. Per le entità finanziarie, il nostro Threat Led Penetration Testing segue il framework TIBER-EU.
Red Teaming Adversary simulation & validation
- Multi-stage attack simulations
- Adversary emulation
- Social engineering campaigns
- Detection & response validation
- Lateral movement testing
- Scenari di persistenza ed esfiltrazione
Risultati
- Security control validation
- Analisi dell'efficacia del Blue Team
- Detection gap identification
- Cyber resilience migliorata
Un'operazione guidata dall'intelligence, in cinque fasi.
Le fasi ricalcano l'impostazione di TIBER-EU: prima la threat intelligence, poi un'operazione controllata, infine una revisione comune con chi difende.
Obiettivi e threat intelligence
Concordiamo obiettivi, regole di ingaggio e un control team, e costruiamo gli scenari sull'intelligence relativa agli attori che contano per il tuo settore.
Ricognizione e accesso iniziale
OSINT, attack surface discovery e social engineering individuano la via d'ingresso, dai servizi esposti al phishing.
Movimento laterale e persistenza
Una volta dentro, il team eleva i privilegi, si sposta lateralmente e consolida la propria presenza cercando di non farsi notare.
Obiettivi e rilevamento
Perseguiamo gli obiettivi concordati e annotiamo quali azioni sono state rilevate, quando e come si è sviluppata la risposta.
Report e replay
Un report dettagliato e una sessione di replay con il blue team trasformano l'operazione in miglioramenti concreti del rilevamento e della risposta.
I framework dietro ogni operazione.
Scenari e finding sono mappati su MITRE ATT&CK. Il Threat Led Penetration Testing segue TIBER-EU e risponde ai requisiti TLPT che DORA impone alle entità finanziarie. Le esercitazioni alimentano anche le verifiche e la gestione degli incidenti richieste da NIS2 e ISO/IEC 27001.
BackBox AI affianca gli operatori nella ricognizione, nell'analisi dei percorsi d'attacco e nella documentazione, così il team dedica più tempo al lavoro creativo che farebbe un vero avversario.
Framework e riferimenti
Red teaming, le domande più frequenti.
Che differenza c'è tra red teaming e penetration test?
Il penetration test lavora su un perimetro definito e cerca il maggior numero possibile di debolezze sfruttabili. Il red teaming persegue obiettivi specifici sull'intera organizzazione, resta nascosto e misura la capacità di persone e strumenti di rilevare l'attacco e di reagire.
Quanto dura un'esercitazione di red teaming?
Di norma alcune settimane, a seconda di obiettivi e perimetro. Un TLPT secondo DORA dura di più: il regolamento delegato sul TLPT fissa una fase attiva di red teaming di almeno dodici settimane, preceduta da una fase di threat intelligence.
Chi deve sapere del test, in azienda?
Solo un piccolo control team: di solito uno sponsor e poche persone in grado di autorizzare le azioni e, se serve, fermare il test. Se il blue team è all'oscuro, i risultati sul rilevamento rispecchiano la realtà.
Che cos'è il TLPT e chi è tenuto a farlo?
Il Threat Led Penetration Testing è un test di red teaming guidato dalla threat intelligence e condotto sui sistemi di produzione. Con DORA, le entità finanziarie individuate dall'autorità competente devono svolgerlo almeno ogni tre anni, con una metodologia basata su TIBER-EU; in Italia il framework TIBER-IT è stato aggiornato nel 2025 per allinearsi a DORA.
Che differenza c'è tra red team, blue team e purple team?
Il red team interpreta l'attaccante, il blue team difende e rileva. Il purple teaming è un formato collaborativo in cui i due lavorano fianco a fianco, tecnica per tecnica, per migliorare in fretta il rilevamento: completa il red teaming condotto in incognito, non lo sostituisce.