--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: pl title: Pentest, Red Team, Blue Team i Purple Team description: "Test penetracyjny, symulowany atak, zespoły obrony: co oznaczają te pojęcia i co zrobić, gdy zauważą Państwo podejrzane zachowanie." canonical_url: https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Pentest, Red Team, Blue Team i Purple Team”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team/ fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ it: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ nl: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ pt: https://startbrain.io/cyberpedia/pt/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team i Purple Team W firmie można usłyszeć o pentestach, Red Team, Blue Team czy Purple Team. Te pojęcia opisują działania testowe i obronne prowadzone przez specjalistów. Dla pracownika służą głównie do jednego: do wiedzy, że dziwne zachowanie komputera lub skrzynki pocztowej może wynikać z autoryzowanego ćwiczenia, z prawdziwego ataku albo ze zwykłej awarii, i że w każdym z tych trzech przypadków trzeba je zgłosić. Źródła zebrane do tej fiszki dokładnie opisują test penetracyjny i zarządzanie incydentami. Nie definiują terminów Red Team, Blue Team i Purple Team. Fiszka trzyma się więc tego, co mówią te źródła, i nie przypisuje im niczego więcej. ## W 30 sekund - Gdzie to się zdarza: w skrzynce pocztowej lub na komputerze, gdy dzieje się coś niezwykłego, niezależnie od tego, czy test został zapowiedziany. - Czego chce atakujący: w teście penetracyjnym tester używa tych samych narzędzi i technik co przeciwnik, aby sprawdzić odporność systemu [1]. - Odruch: szybko zgłosić do wsparcia technicznego lub SOC to, co wydaje się podejrzane, nie mówić o tym domniemanemu sprawcy i nie wyłączać komputera, dopóki ktoś o to nie poprosi. - Jeśli to już się stało: proszę dokładnie opisać, co Państwo zobaczyli, o której godzinie i co kliknęli lub wpisali. ## Pytania wprost ### Czym jest pentest? Brytyjskie NCSC definiuje go jako metodę upewniania się co do bezpieczeństwa systemu informatycznego przez próbę sforsowania jego zabezpieczeń w całości lub w części, przy użyciu narzędzi i technik, jakich użyłby przeciwnik [1]. Porównuje go do audytu finansowego: zespół wewnętrzny na bieżąco śledzi wydatki, a audyt zewnętrzny sprawdza, czy jego procedury wystarczają [1]. NIST publikuje ze swojej strony przewodnik techniczny o przygotowaniu i prowadzeniu testów bezpieczeństwa, analizie wyników i działaniach naprawczych. Wśród wymienionych zastosowań są szukanie podatności w systemie lub sieci oraz sprawdzanie zgodności z polityką bezpieczeństwa [2]. ### Co robi Red Team, co robi Blue Team i czym jest Purple Team? Żadne z cytowanych tu źródeł nie definiuje tych trzech nazw. NCSC opisuje natomiast test oparty na scenariuszach, który ma też zmierzyć zdolność organizacji do wykrywania i reagowania, aby poznać jej skuteczność i zasięg w danym scenariuszu [1]. Z perspektywy pracownika liczy się wykrywanie: Państwa zgłoszenie jest jego częścią. Dwie bazy wiedzy MITRE służą jako wspólne punkty odniesienia. ATT&CK zbiera taktyki i techniki przeciwników oparte na rzeczywistych obserwacjach [7]. D3FEND jest grafem wiedzy o środkach zaradczych w cyberbezpieczeństwie [8]. ### Czy test może zakłócić moją pracę? NCSC pisze, że testerzy powinni unikać zakłócania testowanego systemu, ale nie można zagwarantować, że nie wystąpi żadna nieoczekiwana reakcja [1]. Spowolnienie lub dziwne zachowanie może się więc pojawić podczas testu. W razie wątpliwości proszę zgłosić to do wsparcia technicznego lub SOC. ### Dlaczego moje zgłoszenie się liczy? Zgłoszenie jest etapem wykrywania. NCSC przedstawia zarządzanie incydentami jako cykl pięciu etapów przejęty od NIST: identyfikacja, ochrona, wykrywanie, reagowanie, przywracanie [3]. Jego zbiór wskazówek zalicza wykrywanie i powiadamianie do podstawowych zagadnień reagowania na incydenty [3]. NIST przypomina, że zdolność reagowania służy do szybkiego wykrywania incydentów, ograniczania strat i zniszczeń, usuwania wykorzystanych słabości i przywracania usług [5]. ## Jak to działa Test penetracyjny przebiega zwykle według schematu w pięciu etapach: nawiązanie kontaktu, określenie zakresu, testy, raport i działania następcze. Znalezione problemy otrzymują poziom istotności [1]. Określenie zakresu ustala granice techniczne, oczekiwane rodzaje testów i harmonogram [1]. Raport wymienia podatności, poziom ryzyka każdej z nich i sposób jej usunięcia [1]. Testerzy mogą znać system wcześniej lub nie. W teście czarnoskrzynkowym nie otrzymują żadnych informacji wewnętrznych: test jest prowadzony z zewnątrz i lepiej odtwarza ryzyko ze strony atakujących nieznanych organizacji [1]. W teście białoskrzynkowym mają pełną wiedzę o celu [1]. NCSC dodaje, że wiedza o teście udostępniona administratorom także bywa różna w zależności od testu [1]. Pentest ma ograniczenia. Potwierdza jedynie brak znanych podatności w dniu testu, a między dwoma testami może upłynąć rok lub więcej [1]. Wykrywanie przez pracowników i zespół bezpieczeństwa pozostaje więc przydatne między testami. Dalej następuje reagowanie na incydenty. NIST opublikował w kwietniu 2025 r. wersję 3 swojego przewodnika, która umieszcza reagowanie na incydenty w ogólnym zarządzaniu ryzykiem opisanym przez Cybersecurity Framework 2.0 [4][6]. Ma ona lepiej przygotowywać reakcje, zmniejszać liczbę i skutki incydentów oraz poprawiać wykrywanie, reagowanie i przywracanie [6]. ## Co Państwo robią Poniższy tekst jest praktyczną wskazówką, a nie faktem ze źródła: procedura Państwa firmy zawsze ma pierwszeństwo. - Proszę zgłaszać, gdy tylko coś wydaje się nieprawidłowe. Należy skorzystać ze wsparcia technicznego lub SOC, zgodnie ze wskazaniami firmy. - Proszę opisać fakty: godzinę, to, co się wyświetlało, co zostało otwarte lub wpisane. Szczegół, który wydaje się drobny, może pomóc zespołowi powiązać kilka sygnałów. - Nie należy odpowiadać nadawcy podejrzanej wiadomości ani konfrontować osoby, której działania Państwo podejrzewają. - Nie należy wyłączać komputera, dopóki nie poproszą o to wsparcie techniczne lub SOC, i trzeba poczekać na ich wskazówki. - Jeśli później okaże się, że było to ćwiczenie, zgłoszenie nie było zbędne: uruchomiło łańcuch wykrywania. ## Pułapki Branie ćwiczenia za prawdziwy atak lub odwrotnie. Ponieważ testerzy mogli nie otrzymać żadnych informacji wewnętrznych, a poziom wiedzy administratorów o teście bywa różny [1], różnica nie musi być widoczna z Państwa komputera. Proszę zgłaszać w obu sytuacjach. Niezgłaszanie z obawy przed obwinieniem. NCSC wychodzi z założenia, że incydenty mogą się zdarzać i będą się zdarzać, a przygotowanie pomaga dobrze sobie z nimi radzić [3]. Zgłaszanie zbyt późno. NIST opisuje cel zdolności reagowania jako szybkie wykrywanie incydentów i ograniczanie strat [5]. Myślenie, że bezpieczeństwo spoczywa na testerach. NCSC zaznacza, że ocena ryzyka i decyzje o usunięciu podatności pozostają w gestii organizacji, a ograniczanie ryzyka jest procesem biznesowym, którego nie należy w całości powierzać zespołowi testującemu [1]. ## Źródła 1. NCSC (Royaume-Uni), „Penetration testing”, 8 sierpnia 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (dostęp 3 listopada 2026) 2. NIST, „Technical Guide to Information Security Testing and Assessment”. https://csrc.nist.gov/pubs/sp/800/115/final (dostęp 3 listopada 2026) 3. NCSC (Royaume-Uni), „Incident management”, 19 września 2019. https://www.ncsc.gov.uk/collection/incident-management (dostęp 3 listopada 2026) 4. NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026) 5. NIST, „Computer Security Incident Handling Guide”, 6 sierpnia 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (dostęp 3 listopada 2026) 6. NIST, „Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile”. https://csrc.nist.gov/pubs/sp/800/61/r3/final (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „MITRE ATT&CK®”. https://attack.mitre.org/ (dostęp 3 listopada 2026) 8. MITRE, „MITRE D3FEND Knowledge Graph”. https://d3fend.mitre.org/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.