Cos'è il Red Team? Simulazione di avversario

Red Team è la simulazione di un avversario reale, end-to-end, per testare non solo le vulnerabilità di un'organizzazione, ma la sua capacità di rilevare e rispondere a un attacco. A differenza del pentest, il focus non è un bersaglio definito, ma obiettivi avversariali — dati, accessi, processi critici — raggiunti per la strada che l'attaccante sceglie.

Il termine nasce in ambito militare, dove una squadra "rossa" assume il ruolo del nemico per sfidare le difese della squadra "blu". Nella sicurezza delle informazioni l'idea è la stessa: un gruppo autorizzato agisce come un attaccante genuino — con tempo, creatività e obiettivi chiari — mentre il team di difesa opera normalmente, spesso senza sapere che l'esercizio è in corso. Ciò che si misura, alla fine, non è solo cosa era vulnerabile, ma quanto l'organizzazione ha visto, quanto velocemente ha reagito e fin dove l'avversario è arrivato prima di essere contenuto.

Cos'è un Red Team e cosa mette alla prova?

Un esercizio di Red Team è un'operazione offensiva autorizzata, orientata agli obiettivi, che riproduce il comportamento di un avversario realistico contro un'intera organizzazione — persone, processi e tecnologia. Invece di chiedere "questa applicazione ha falle?", chiede "se un attaccante determinato volesse rubare i dati dei clienti o interrompere il processo X, ci riuscirebbe, e noi ce ne accorgeremmo?".

Questo cambia cosa è sotto test. Un Red Team valuta tre dimensioni che un test tecnico convenzionale non raggiunge:

• La superficie completa. Non un singolo sistema, ma la combinazione di applicazioni, rete, cloud, endpoint, identità e fattore umano. Il percorso di attacco può iniziare da un'e-mail di phishing e finire su un server di database.
• Il rilevamento. Ogni mossa del team offensivo è un'occasione per generare un alert. L'esercizio misura quali azioni sono state registrate, quali hanno innescato un'indagine e quali sono passate inosservate.
• La risposta. Quando (e se) la difesa rileva l'intrusione, l'esercizio osserva il tempo di reazione, la qualità del contenimento e il coordinamento tra i team.

Il prodotto di un Red Team non è una lista di vulnerabilità — è una narrazione dell'attacco con evidenze a ogni passo, incrociata con ciò che la difesa ha visto e ciò che non ha visto. È questa lettura combinata, attacco contro difesa, a dare all'esercizio il suo valore unico.

Qual è la differenza tra Red Team, pentest e Blue Team?

È la confusione più comune al momento dell'acquisto. I tre termini descrivono funzioni distinte, e scegliere l'esercizio sbagliato spreca budget e lascia lacune.

Il pentest valuta un bersaglio definito — un'applicazione, un'API, una rete — cercando il maggior numero possibile di vulnerabilità sfruttabili in quel perimetro. Il Red Team persegue un obiettivo avversariale attraversando qualsiasi superficie necessaria, privilegiando furtività e realismo rispetto alla copertura. Il Blue Team è la difesa: il team che monitora, rileva e risponde, interno (SOC, risposta agli incidenti) o esternalizzato. La tabella seguente riassume:

Nessuno sostituisce gli altri. Il pentest è la base: non ha senso eseguire un Red Team se le vulnerabilità evidenti non sono ancora state trattate. Quando l'igiene tecnica è matura e l'organizzazione vuole sapere se sopravviverebbe a un attacco reale, il Red Team è il passo successivo. E il Blue Team è la controparte permanente che l'esercizio esiste proprio per mettere alla prova.

Quali sono le fasi di un esercizio di Red Team?

Un Red Team professionale segue un ciclo strutturato, supportato da framework riconosciuti — principalmente MITRE ATT&CK, che fornisce il vocabolario di tattiche e tecniche per pianificare e documentare ogni mossa. Le fasi, nell'ordine in cui le eseguiamo:

1. Definizione degli obiettivi e regole di ingaggio. Prima di qualsiasi azione, si definisce cosa rappresenta la "vittoria" (per esempio, l'accesso a un insieme di dati specifico), i limiti operativi, le finestre di test e i contatti di emergenza. È la fase che garantisce autorizzazione, sicurezza e un criterio oggettivo di successo.
2. Ricognizione. Raccolta di informazioni sull'organizzazione, passiva (fonti aperte, dipendenti, tecnologia esposta) e attiva (mappatura di superfici e servizi). L'obiettivo è trovare il punto di ingresso più realistico.
3. Accesso iniziale. Ottenimento del primo punto d'appoggio — phishing, sfruttamento di un servizio esposto, abuso di credenziali trapelate o ingegneria sociale. Qui si inizia già a testare il rilevamento.
4. Consolidamento e persistenza. Mantenimento dell'accesso in modo furtivo, garantendo che il team offensivo sopravviva a riavvii e a possibili tentativi di contenimento.
5. Escalation dei privilegi e movimento laterale. A partire dall'accesso iniziale, il team amplia la portata: ottiene credenziali più potenti, raggiunge altri sistemi e si avvicina all'obiettivo.
6. Azioni sull'obiettivo. Esecuzione di ciò che definisce il successo dell'esercizio — accesso al dato bersaglio, dimostrazione dell'interruzione di un processo critico o esfiltrazione controllata, sempre con evidenze e senza causare danni reali.
7. Report e debrief congiunto. Documentazione della narrazione completa dell'attacco, incrociata con la linea temporale della difesa, e una sessione congiunta (Red e Blue) per trasformare ogni fase in un miglioramento concreto di rilevamento e risposta.

Il debrief finale è ciò che separa un Red Team utile da un esercizio di vanità. Non basta dimostrare che l'intrusione era possibile; il valore sta nel mostrare, tecnica per tecnica di MITRE ATT&CK, dove la difesa avrebbe potuto vedere e non ha visto — e come chiudere ciascuna di queste lacune.

Cos'è il Purple Team e quando ha più senso?

Purple Team non è un terzo team — è una modalità di lavoro in cui Red Team e Blue Team operano in modo collaborativo e trasparente, invece che avversariale. Il team offensivo esegue una tecnica specifica; il team difensivo osserva in tempo reale se ha generato telemetria, alert e risposta; insieme regolano il rilevamento e ripetono. Il ciclo si ripete tecnica per tecnica.

La differenza di intento è la chiave:

• Red Team misura la difesa così com'è oggi, senza preavviso, privilegiando il realismo. Risponde: "verremmo scoperti?".
• Purple Team migliora la difesa deliberatamente, con entrambe le parti nella stessa stanza, privilegiando l'apprendimento. Risponde: "come facciamo a scoprirli la prossima volta?".

In pratica, un Purple Team ha di solito più senso per organizzazioni che stanno ancora maturando la capacità di rilevamento — il ritorno in copertura è rapido e misurabile. Il Red Team puro rende di più quando la difesa ha già processi consolidati e la domanda rilevante non è più "abbiamo controlli?" ma "funzionano contro un avversario determinato?". Molti programmi alternano i due: Purple per costruire il rilevamento, Red per validarlo in condizioni realistiche.

Quando la tua azienda ha bisogno di un Red Team?

Ci sono due fattori scatenanti, che spesso si sovrappongono: maturità della sicurezza ed esigenza normativa o di business.

Sul fronte della maturità, un Red Team ha senso quando l'organizzazione ha già un programma di sicurezza funzionante — pentest ricorrenti, un SOC o un servizio di rilevamento, processi di risposta agli incidenti — e vuole verificare se tutto questo regge a un attacco reale. Eseguire un Red Team prima è costoso e poco informativo: l'esercizio troverebbe le stesse falle evidenti che un pentest segnalerebbe a una frazione del costo.

Sul fronte normativo e di business, la simulazione di avversario è sempre più un'aspettativa nei settori critici. Nell'UE, DORA richiede test di penetrazione threat-led (TLPT) per le entità finanziarie designate dalle autorità competenti, e la direttiva NIS2 estende gli obblighi di gestione del rischio informatico a ulteriori settori essenziali e importanti — con effetti anche su integrazioni Open Finance e ambienti di pagamento. In Brasile, le istituzioni finanziarie operano secondo le risoluzioni BACEN/CMN sulla sicurezza informatica, inclusa la 4.893. Framework di conformità come la ISO 27001 trattano il test della capacità difensiva come parte della valutazione dei controlli, e normative sulla protezione dei dati come GDPR e LGPD richiedono misure tecniche che un esercizio avversariale aiuta a dimostrare. Ingaggia un Red Team, quindi, quando:

• La tua organizzazione ha già fatto pentest e vuole misurare rilevamento e risposta, non solo le vulnerabilità.
• Esiste un requisito di audit, due diligence o normativo che chiede prova della capacità difensiva.
• Si è verificato un incidente e la direzione vuole sapere, in modo indipendente, se le correzioni hanno davvero chiuso il percorso.
• Il business dipende da processi critici la cui interruzione avrebbe un impatto materiale — e nessuno ha testato, in pratica, cosa succederebbe sotto attacco.

Per le organizzazioni che già operano sistemi di IA in produzione, la logica si estende a una nuova superficie: modelli, agenti e pipeline RAG hanno classi di guasto proprie e richiedono scenari avversariali specifici — tema che trattiamo in sicurezza degli agenti di IA e nella governance secondo la ISO 42001.

Come Berghem esegue un Red Team

In Berghem, l'esercizio di Red Team parte dall'obiettivo avversariale, mai da una lista di bersagli. Definiamo, insieme alla direzione, cosa cercherebbe davvero un attaccante in quel contesto — dati dei clienti, credenziali privilegiate, il controllo di un processo critico — e lavoriamo a ritroso, concatenando le tecniche necessarie per arrivarci per la strada più realistica, non per la più comoda.

Cosa significa in pratica:

• Realismo sopra il volume. Preferiamo dimostrare un percorso di attacco completo e furtivo piuttosto che produrre una lista di rilievi isolati. Ciò che conta è se l'obiettivo è stato raggiunto e se la difesa se n'è accorta.
• Rilevamento come metrica di prima classe. Ogni tecnica eseguita è mappata su MITRE ATT&CK e confrontata con ciò che la telemetria dell'organizzazione ha registrato. Le lacune di rilevamento sono un risultato importante quanto le vulnerabilità.
• Analisi umana alla guida dell'operazione. Gli strumenti accelerano parti del lavoro; strategia, furtività e concatenamento sono condotti da specialisti.
• Un debrief che diventa miglioramento. L'ingaggio termina con una sessione congiunta tra il nostro team e la tua difesa, trasformando la narrazione dell'attacco in aggiustamenti concreti di rilevamento e risposta.

Siamo una società di sicurezza delle informazioni a San Paolo e conduciamo esercizi di Red Team, oltre a pentest su applicazioni, API, reti, ambienti cloud e sistemi di IA. Quando la maturità non richiede ancora un avversario completo, il pentest è di solito il punto di partenza giusto — e il Red Team il passo successivo, quando la domanda smette di essere "abbiamo falle?" e diventa "sopravviveremmo a un attacco vero?".

Domande frequenti

Qual è la differenza tra Red Team e pentest?

Il pentest valuta un bersaglio definito cercando il massimo numero di vulnerabilità sfruttabili in quel perimetro. Il Red Team persegue un obiettivo avversariale attraversando qualsiasi superficie necessaria, in modo furtivo, e misura anche il rilevamento e la risposta dell'organizzazione. Il pentest misura le falle; il Red Team misura la difesa.

La mia azienda ha bisogno di un pentest prima di un Red Team?

Nella maggior parte dei casi, sì. Un Red Team rende quando l'igiene di sicurezza è già matura: pentest ricorrenti, rilevamento e risposta operativi. Prima, l'esercizio troverebbe solo le stesse falle evidenti che un pentest segnala a una frazione del costo. Il pentest costruisce la base; il Red Team la valida.

Quanto dura un esercizio di Red Team?

Dipende dall'obiettivo e dal perimetro, ma un Red Team dura sempre più di un pentest, perché privilegia furtività e realismo rispetto alla copertura rapida. Ricognizione, accesso iniziale e movimento laterale richiedono tempo perché replicano il ritmo di un avversario reale. La durata viene fissata nelle regole di ingaggio.