Pentest, Red Team, Blue Team i Purple Team
Test penetracyjny, symulowany atak, zespoły obrony: co oznaczają te pojęcia i co zrobić, gdy zauważą Państwo podejrzane zachowanie.
W 30 sekund
- Gdzie to się zdarza
- W skrzynce pocztowej lub na komputerze, gdy dzieje się coś niezwykłego, niezależnie od tego, czy test został zapowiedziany.
- Czego chce atakujący
- W teście penetracyjnym tester używa tych samych narzędzi i technik co przeciwnik, aby sprawdzić odporność systemu1.
- Odruch
- Szybko zgłosić do wsparcia technicznego lub SOC to, co wydaje się podejrzane, nie mówić o tym domniemanemu sprawcy i nie wyłączać komputera, dopóki ktoś o to nie poprosi.
- Jeśli to już się stało
- Proszę dokładnie opisać, co Państwo zobaczyli, o której godzinie i co kliknęli lub wpisali.
O co chodzi
W firmie można usłyszeć o pentestach, Red Team, Blue Team czy Purple Team. Te pojęcia opisują działania testowe i obronne prowadzone przez specjalistów. Dla pracownika służą głównie do jednego: do wiedzy, że dziwne zachowanie komputera lub skrzynki pocztowej może wynikać z autoryzowanego ćwiczenia, z prawdziwego ataku albo ze zwykłej awarii, i że w każdym z tych trzech przypadków trzeba je zgłosić.
Źródła zebrane do tej fiszki dokładnie opisują test penetracyjny i zarządzanie incydentami. Nie definiują terminów Red Team, Blue Team i Purple Team. Fiszka trzyma się więc tego, co mówią te źródła, i nie przypisuje im niczego więcej.
Pytania wprost
Czym jest pentest?
Brytyjskie NCSC definiuje go jako metodę upewniania się co do bezpieczeństwa systemu informatycznego przez próbę sforsowania jego zabezpieczeń w całości lub w części, przy użyciu narzędzi i technik, jakich użyłby przeciwnik1. Porównuje go do audytu finansowego: zespół wewnętrzny na bieżąco śledzi wydatki, a audyt zewnętrzny sprawdza, czy jego procedury wystarczają1.
NIST publikuje ze swojej strony przewodnik techniczny o przygotowaniu i prowadzeniu testów bezpieczeństwa, analizie wyników i działaniach naprawczych. Wśród wymienionych zastosowań są szukanie podatności w systemie lub sieci oraz sprawdzanie zgodności z polityką bezpieczeństwa2.
Co robi Red Team, co robi Blue Team i czym jest Purple Team?
Żadne z cytowanych tu źródeł nie definiuje tych trzech nazw. NCSC opisuje natomiast test oparty na scenariuszach, który ma też zmierzyć zdolność organizacji do wykrywania i reagowania, aby poznać jej skuteczność i zasięg w danym scenariuszu1. Z perspektywy pracownika liczy się wykrywanie: Państwa zgłoszenie jest jego częścią.
Dwie bazy wiedzy MITRE służą jako wspólne punkty odniesienia. ATT&CK zbiera taktyki i techniki przeciwników oparte na rzeczywistych obserwacjach7. D3FEND jest grafem wiedzy o środkach zaradczych w cyberbezpieczeństwie8.
Czy test może zakłócić moją pracę?
NCSC pisze, że testerzy powinni unikać zakłócania testowanego systemu, ale nie można zagwarantować, że nie wystąpi żadna nieoczekiwana reakcja1. Spowolnienie lub dziwne zachowanie może się więc pojawić podczas testu. W razie wątpliwości proszę zgłosić to do wsparcia technicznego lub SOC.
Dlaczego moje zgłoszenie się liczy?
Zgłoszenie jest etapem wykrywania. NCSC przedstawia zarządzanie incydentami jako cykl pięciu etapów przejęty od NIST: identyfikacja, ochrona, wykrywanie, reagowanie, przywracanie3. Jego zbiór wskazówek zalicza wykrywanie i powiadamianie do podstawowych zagadnień reagowania na incydenty3. NIST przypomina, że zdolność reagowania służy do szybkiego wykrywania incydentów, ograniczania strat i zniszczeń, usuwania wykorzystanych słabości i przywracania usług5.
1Jak to działa1 min
Test penetracyjny przebiega zwykle według schematu w pięciu etapach: nawiązanie kontaktu, określenie zakresu, testy, raport i działania następcze. Znalezione problemy otrzymują poziom istotności1. Określenie zakresu ustala granice techniczne, oczekiwane rodzaje testów i harmonogram1. Raport wymienia podatności, poziom ryzyka każdej z nich i sposób jej usunięcia1.
Testerzy mogą znać system wcześniej lub nie. W teście czarnoskrzynkowym nie otrzymują żadnych informacji wewnętrznych: test jest prowadzony z zewnątrz i lepiej odtwarza ryzyko ze strony atakujących nieznanych organizacji1. W teście białoskrzynkowym mają pełną wiedzę o celu1. NCSC dodaje, że wiedza o teście udostępniona administratorom także bywa różna w zależności od testu1. Pentest ma ograniczenia. Potwierdza jedynie brak znanych podatności w dniu testu, a między dwoma testami może upłynąć rok lub więcej1. Wykrywanie przez pracowników i zespół bezpieczeństwa pozostaje więc przydatne między testami.
Dalej następuje reagowanie na incydenty. NIST opublikował w kwietniu 2025 r. wersję 3 swojego przewodnika, która umieszcza reagowanie na incydenty w ogólnym zarządzaniu ryzykiem opisanym przez Cybersecurity Framework 2.046. Ma ona lepiej przygotowywać reakcje, zmniejszać liczbę i skutki incydentów oraz poprawiać wykrywanie, reagowanie i przywracanie6.
2Co Państwo robią1 min
Poniższy tekst jest praktyczną wskazówką, a nie faktem ze źródła: procedura Państwa firmy zawsze ma pierwszeństwo.
- Proszę zgłaszać, gdy tylko coś wydaje się nieprawidłowe. Należy skorzystać ze wsparcia technicznego lub SOC, zgodnie ze wskazaniami firmy.
- Proszę opisać fakty: godzinę, to, co się wyświetlało, co zostało otwarte lub wpisane. Szczegół, który wydaje się drobny, może pomóc zespołowi powiązać kilka sygnałów.
- Nie należy odpowiadać nadawcy podejrzanej wiadomości ani konfrontować osoby, której działania Państwo podejrzewają.
- Nie należy wyłączać komputera, dopóki nie poproszą o to wsparcie techniczne lub SOC, i trzeba poczekać na ich wskazówki.
- Jeśli później okaże się, że było to ćwiczenie, zgłoszenie nie było zbędne: uruchomiło łańcuch wykrywania.
3Pułapki1 min
Branie ćwiczenia za prawdziwy atak lub odwrotnie. Ponieważ testerzy mogli nie otrzymać żadnych informacji wewnętrznych, a poziom wiedzy administratorów o teście bywa różny1, różnica nie musi być widoczna z Państwa komputera. Proszę zgłaszać w obu sytuacjach.
Niezgłaszanie z obawy przed obwinieniem. NCSC wychodzi z założenia, że incydenty mogą się zdarzać i będą się zdarzać, a przygotowanie pomaga dobrze sobie z nimi radzić3.
Zgłaszanie zbyt późno. NIST opisuje cel zdolności reagowania jako szybkie wykrywanie incydentów i ograniczanie strat5.
Myślenie, że bezpieczeństwo spoczywa na testerach. NCSC zaznacza, że ocena ryzyka i decyzje o usunięciu podatności pozostają w gestii organizacji, a ograniczanie ryzyka jest procesem biznesowym, którego nie należy w całości powierzać zespołowi testującemu1.
Karta
- Identyfikator
- CP-247
- Skrzydło
- 3. Protokoły i obrona
- Kompetencja Brain
- Zgłaszać incydenty (report_incidents)
- Odruch Brain
- cr-014
- Schemat
- G4 · Oś czasu incydentu (analiza)
- Języki
- de, en, es, fr, it, nl, pl, pt
- Źródła
- Źródła sprawdzone 3 listopada 2026: 8
ŹródłaŹródła: 8
- NCSC (Royaume-Uni), „Penetration testing”, 8 sierpnia 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (dostęp 3 listopada 2026)
- NIST, „Technical Guide to Information Security Testing and Assessment”. https://csrc.nist.gov/pubs/sp/800/115/final (dostęp 3 listopada 2026)
- NCSC (Royaume-Uni), „Incident management”, 19 września 2019. https://www.ncsc.gov.uk/collection/incident-management (dostęp 3 listopada 2026)
- NIST, „Cybersecurity Framework”. https://www.nist.gov/cyberframework (dostęp 3 listopada 2026)
- NIST, „Computer Security Incident Handling Guide”, 6 sierpnia 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (dostęp 3 listopada 2026)
- NIST, „Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile”. https://csrc.nist.gov/pubs/sp/800/61/r3/final (dostęp 3 listopada 2026)
- MITRE ATT&CK, „MITRE ATT&CK®”. https://attack.mitre.org/ (dostęp 3 listopada 2026)
- MITRE, „MITRE D3FEND Knowledge Graph”. https://d3fend.mitre.org/ (dostęp 3 listopada 2026)
Zacytuj ten artykuł
Brain, „Pentest, Red Team, Blue Team i Purple Team”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp247_pl_2026,
author = {Brain},
title = {Pentest, Red Team, Blue Team i Purple Team},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/pl/articles/pentest-red-team-blue-team-purple-team/},
note = {CC BY 4.0}
}