TIBER-EU: Threat-Led Penetration Testing dla sektora finansowego

TIBER-EU (Threat Intelligence-Based Ethical Red Teaming) to ramy opracowane przez Europejski Bank Centralny dla realistycznych, opartych na wywiadzie testów penetracyjnych w sektorze finansowym. W każdym państwie członkowskim TIBER-EU jest koordynowany przez krajowy bank centralny (np. TIBER-DE przez Bundesbank, TIBER-NL przez De Nederlandsche Bank). Wraz z DORA Art. 26 TIBER-EU stał się podstawą regulacyjną dla nowego standardu TLPT. Ten przewodnik wyjaśnia, kto potrzebuje TIBER-EU, jak przebiega trzymiesięczne zlecenie, ile kosztuje i jak przygotować się do niego standardowym pentestem.

Dlaczego TIBER-EU, a nie klasyczny pentest?

Klasyczne testy penetracyjne podążają za stałym zakresem i opierają się na znanych wektorach ataku. TIBER-EU odwraca to podejście: najpierw akredytowana firma threat intelligence (dostawca CTI) tworzy indywidualny raport threat intelligence oparty na rzeczywistych TTP atakujących (taktyki, techniki, procedury), specjalnie dopasowanych do badanego podmiotu. Dopiero wtedy akredytowany dostawca Red Team przeprowadza ataki - bez zapowiedzi przeciwko rzeczywistemu środowisku produkcyjnemu, z pełną strategią deception (większość pracowników podmiotu nie wie, że właśnie odbywa się test Red Team). To podejście testuje nie tylko techniczne podatności, ale pełną zdolność 'detect and respond' podmiotu w realistycznych warunkach. DORA Art. 26 przyjął TIBER-EU jako wiążący standard dla testów TLPT, dzięki czemu systemowo istotne podmioty finansowe w UE są teraz prawnie zobowiązane do ich przeprowadzania.

• DORA Art. 26 ust. 1: Systemowo istotne podmioty finansowe muszą co najmniej raz na trzy lata przeprowadzić 'Threat-Led Penetration Test' (TLPT) - TIBER-EU to standard zdefiniowany przez EBC dla tych testów.
• Fazy TIBER-EU: (1) Faza przygotowawcza (4-6 tygodni): scoping, ustanowienie zespołu kontrolnego, wybór akredytowanych dostawców CTI i Red Team. (2) Faza testowa (8-12 tygodni): tworzenie raportu CTI, atak Red Team przeciwko produkcji. (3) Faza końcowa (2-4 tygodnie): Purple Teaming, mapa drogowa naprawcza, raportowanie do organów.
• Krajowe wdrożenia TIBER-EU: krajowe banki centralne koordynują proces zatwierdzania i akredytują dostawców CTI i Red Team. Typowi akredytowani dostawcy: WithSecure (dawniej F-Secure), Mandiant (Google), NCC Group, KPMG Threat Intelligence.
• Akredytacja EBC: Tylko dostawcy CTI i Red Team na oficjalnej liście EBC mogą przeprowadzać testy TIBER-EU. Akredytacja obejmuje sprawdzenie testerów, umowy o zachowaniu poufności z bankiem centralnym oraz ścisłe obowiązki raportowania.
• Koszty TIBER-EU: Zazwyczaj €80.000-€250.000 za pełne zlecenie, w zależności od wielkości podmiotu i złożoności. Podział: dostawca CTI ~€20.000-€60.000, dostawca Red Team ~€60.000-€190.000. Do tego dochodzą koszty wewnętrzne koordynacji (~0,5 FTE przez 12 tygodni).
• Purple Teaming (TIBER-EU Faza 3): Po ataku Red Team wspólna analiza Red Team i Blue Team (SOC/Incident Response) - kluczowy element nauki ram TIBER-EU, którego brakuje w klasycznych pentestach.
• Wzajemne uznawanie: Testy TIBER-EU są uznawane transgranicznie - test TIBER-DE przeprowadzony w Niemczech obowiązuje również dla oddziałów w innych krajach UE, które wdrożyły TIBER-xx (TIBER-NL, TIBER-BE, TIBER-FR itd.).

Co obejmuje test Red Team TIBER-EU

• Zakres oparty na threat intelligence: Dostawca CTI analizuje konkretne podmioty zagrożeń dla podmiotu (np. wspierane przez państwa grupy APT, operatorzy ransomware) i tworzy niestandardowe TTP na bazie MITRE ATT&CK dla usług finansowych.
• Symulacja Initial Access: spear-phishing przeciwko kierownictwu i pracownikom IT, eksploitacja podatności VPN/zdalnego dostępu, ataki watering hole na strony branżowe - realistyczne wektory ataku z raportu CTI.
• Ruch lateralny w sieci: eksploitacja Active Directory (Kerberoasting, Pass-the-Hash, DCSync, Golden Ticket), traversal sieci wewnętrznej, eskalacja uprawnień do poziomu Domain Admin.
• Kompromitacja krytycznych aktywów: dostęp do systemów core banking, interfejsów SWIFT, infrastruktury obrotu płatniczego, systemów treasury - raport CTI definiuje, które aktywa są 'crown jewels'.
• Symulacja eksfiltracji danych: dowód, że poufne dane klientów, pozycje handlowe lub informacje zgodnościowe mogłyby zostać wyekstrahowane - włącznie z omijaniem systemów DLP.
• Mechanizmy persistence: ustanawianie połączeń Command-and-Control (C2), backdoory, zaplanowane zadania - dowód jak długo atakujący mógłby pozostać niewykryty w sieci.
• Test wykrywania Blue Team: równolegle: pomiar czasu wykrycia (Time-to-Detect), czasu reakcji (Time-to-Respond), jakości reakcji incident response - TIBER-EU wprost testuje zdolność 'detect and respond'.
• SWIFT CSP CSCF v2024: Konkretne testy przeciwko interfejsom SWIFT i infrastrukturze obrotu płatniczego (Mandatory Control 1.1, 1.2, 2.1, 6.1) - wymagania SWIFT Customer Security Programme.
• Symulacja ataku łańcucha dostaw (opcjonalne rozszerzenie zakresu): atak przez dostępy dostawców zewnętrznych, skompromitowane aktualizacje oprogramowania, scenariusze zagrożeń wewnętrznych.
• Ćwiczenie Purple Teaming: wspólna sesja Red Team + Blue Team + zarząd - przejście przez scenariusze, identyfikacja luk wykrywania, ustalanie priorytetów dla napraw.

Sample finding

TIBER-EU vs. standardowy pentest: porównanie

Przygotowanie do TIBER-EU z Matproof

Najczęstsze pytania dotyczące TIBER-EU

Related

• DORA TLPT test penetracyjny
• Pentest DORA Art. 24
• Uruchom darmowy skan

Go deeper — related blog articles

• TLPT: Threat-Led Penetration Testing under DORA
• TIBER-EU vs TLPT — Key differences
• DORA TLPT: Cost, Scope & Requirements

Przygotuj się do TIBER-EU - teraz z Matproof

Zanim zainwestujecie €80.000-€250.000 w test TIBER-EU, wszystkie znane podatności powinny być naprawione. Matproof Sentinel identyfikuje Państwa krytyczne ryzyka w godziny zamiast tygodni - jako optymalne przygotowanie do TIBER-EU i dowód dla DORA Art. 24.