Red Team operāciju kļūdas: ko var sabojāt pat tehniski pareiza pārbaude?

Red Team jeb uzbrucēja darbības imitācijas pārbaudes mērķis ir pārbaudīt aizsardzības sistēmu un cilvēku darbību reālistiska uzbrukuma scenārijā. Atšķirībā no izolētas ievainojamības pārbaudes tā var šķērsot vairākas tehnoloģijas un organizācijas funkcijas: ārējo perimetru, identitāšu pārvaldību, galaiekārtas, iekšējo tīklu, lietotāju rīcību un incidentu reaģēšanas procesu. Tomēr nosaukums Red Team pats par sevi nepasaka, kādas metodes konkrētajā uzdevumā atļautas. Vienā projektā sociālā inženierija var būt ārpus tvēruma, citā tā ir skaidri reglamentēts testa elements, bet atsevišķām kritiskām sistēmām piekļuve var būt aizliegta neatkarīgi no izmantotās metodes.

NIST SP 800-115 apraksta informācijas drošības testēšanas plānošanu, izpildi, rezultātu analīzi un ziņošanu. Dokumenta pielikumā ir arī Rules of Engagement jeb testēšanas sadarbības un darbības noteikumu paraugs S03. Tas ir noderīgs praktisks atskaites punkts, bet 2008. gada NIST vadlīnijas nedrīkst uzdot par 2026. gada ES finanšu sektoram saistošu normatīvo aktu. Savukārt TIBER-EU paredz detalizētu lomu sadalījumu, sagatavošanas posmu, riska kontroli un testēšanas slēgšanu. Ne visas organizācijas automātiski ietilpst DORA TLPT obligātās piemērošanas tvērumā S01 S04.

Tā kā testa rezultātam jāatspoguļo aizsardzības faktiskā uzvedība, organizācija parasti nevēlas iepriekš informēt visu drošības komandu. Tomēr slepenība pret aizsardzības komandu nedrīkst nozīmēt, ka uzņēmumā nav neviena, kurš uzrauga testu. TIBER-EU paredz īpašu kontroles komandu (White Team), kas koordinē testēšanu, pārvalda riskus un var pieņemt lēmumus par tās apturēšanu S05. Šādas lomas uzdevums nav palīdzēt pētniekiem izvairīties no detektēšanas, bet nodrošināt, ka imitētais uzbrukums neiziet ārpus apstiprinātā operacionālā ietvara.

Programmatūra un infrastruktūra darbojas savstarpējās atkarībās. Piekļuves konta deaktivizēšana var pārtraukt servisa autentifikāciju. Drošības rīka izraisīta galaiekārtas izolācija var apturēt biznesa procesu. Neparasta tīkla plūsma var aktivizēt mākoņpakalpojuma automātisko aizsardzību, kas uz laiku ierobežo arī leģitīmus pieprasījumus. Tāpēc tehniskais tests ir jāvērtē kopā ar sistēmu reakciju, ne tikai ar paša pētnieka veikto darbību.

Pieņemsim, ka testēšanas komanda izmanto iepriekš atļautu piekļuves eskalācijas paņēmienu, lai novērtētu, vai drošības sistēma pamana neparastu privilēģiju maiņu. Pati pārbaude var atbilst saskaņotajam mērķim. Taču, ja izmaiņa attiecas uz kontu, ko lieto automatizēts kritisks process, sekas var pārsniegt sākotnēji paredzēto. Komandai jāzina ne vien tas, vai darbību tehniski var izpildīt, bet arī tas, kāda var būt tās netiešā ietekme.

Šī problēma kļūst sarežģītāka produkcijas vidē. Testēšanas infrastruktūrā bieži iespējams atkārtot eksperimentu un atjaunot stāvokli, neietekmējot klientus. Produkcijā pat neliela konfigurācijas vai veiktspējas izmaiņa var izraisīt pakārtotu sistēmu reakciju. TIBER-EU tieši izceļ pieejamības traucējumu, neparedzēta sistēmu sabrukuma, datu bojājuma vai izpaušanas riskus S02. Šī atziņa nepadara produkcijas testēšanu nepieļaujamu; tā prasa spēcīgākas kontroles pirms darbības un tās laikā.

Rakstiska atļauja ir pamats, bet profesionālam Red Team uzdevumam nepieciešams detalizēts darbības līgums. Tajā jānosaka testējamās sistēmas un organizācijas funkcijas, atļautie un aizliegtie paņēmieni, testa periods, atbildīgie kontakti, izmaiņu apstiprināšanas kārtība, datu apstrādes robežas un kritiskie apturēšanas nosacījumi. Ja testēšana skar ārēja pakalpojumu sniedzēja infrastruktūru, organizācijas vispārīgs līgums ar izpildītāju pats par sevi nevar aizstāt nepieciešamās tiesības attiecībā uz attiecīgo trešo pusi.

Bieža kļūda ir tvērumu definēt tikai pēc domēnu nosaukumiem vai IP diapazoniem. Mūsdienu infrastruktūrā tie var būt saistīti ar koplietojamiem mākoņpakalpojumiem, vairāku klientu vidi vai ārēju pārvaldības platformu. DNS ieraksta piederība uzņēmuma domēnam nepierāda, ka visus aiz tā esošos resursus uzņēmums drīkst pakļaut izvēlētajām testēšanas metodēm. Arī atļauta piekļuve lietojumprogrammai nedod neierobežotas tiesības lejupielādēt reālus klientu datus.

Testēšanas pilnvarojumam jābūt izsekojamam līdz konkrētai darbībai. Ja uzdevuma laikā atklājas neparedzēts uzbrukuma ceļš, pētnieks nedrīkst automātiski pieņemt, ka sākotnējā piekrišana aptver arī jauno mērķi. Praktiski vajadzīgs skaidrs eskalācijas mehānisms: kurš izvērtēs jaunās darbības risku, kā tiks dokumentēts tvēruma grozījums un ko pētnieks drīkst darīt līdz lēmuma saņemšanai.

Man ar vispārīgu formulējumu “testēt visu uzņēmuma infrastruktūru” nepietiktu. Tas nav pierādāms operacionāls tvērums, ja nav vienlaikus definētas izņēmumu sistēmas, atļauto darbību kategorijas un piegādātāju atbildības robežas.

DORA regulas 26. pants noteiktām identificētām finanšu iestādēm paredz TLPT, kas aptver vairākas vai visas kritiskās vai svarīgās funkcijas un notiek uz tām balstītās produkcijas sistēmās. Tās pašas regulas ietvarā paredzēta testēšanas tvēruma noteikšana un uzraudzības institūciju iesaiste, bet 27. pants nosaka prasības testētājiem S04. Komisijas Deleģētā regula (ES) 2025/1190 precizē atlases kritērijus, testēšanas procesu un citus TLPT tehniskos noteikumus S06. Šo prasību kopumu nedrīkst attiecināt uz jebkuru uzņēmumu tikai tāpēc, ka tas pasūtījis Red Team pakalpojumu.

Tieši produkcijas vidē kļūdaina būtu gan pārmērīga piesardzība, kas jebkuru jēgpilnu uzbrukuma imitāciju aizliedz, gan pretēja pieeja, kurā reālisms attaisno gandrīz jebkuru darbību. Reālistisku testēšanu var panākt ar riska kontroles mehānismiem: ierobežotiem uzbrukuma mērķiem, saskaņotām darbību kategorijām, konkrētiem apturēšanas signāliem un iespējām noteiktos punktos aizstāt bīstamu ekspluatāciju ar kontrolētu pierādījumu.

Piemēram, ja pārbaudē kļūst redzams iespējamais ceļš uz ražošanas datubāzi, mērķis nav automātiski iegūt pēc iespējas vairāk reālu ierakstu. Izmeklēšanas vajadzībām var pietikt ar minimālu, iepriekš atļautu piekļuves apliecinājumu, kam ir dokumentēta identitāte, laiks un sistēmas reakcija. Nepieciešamais demonstrācijas apjoms ir atkarīgs no testēšanas mērķa un apstiprinātajām robežām; tas nav universāli nosakāms pēc viena tehniska paņēmiena.

TIBER-EU riska pārvaldības vadlīnijas paredz sagatavot atjaunošanas spējas un uzturēt organizācijas kontroli pār procesu S02. Es to pārvērstu praktiskā pieņemšanas nosacījumā: pirms aktīvās fāzes jābūt pārbaudītām to sistēmu atjaunošanas procedūrām, kuru stāvokli testēšana reāli var ietekmēt. Tikai apgalvojums, ka “mums ir rezerves kopijas”, neko nepierāda par faktisko atjaunošanas laiku un datu konsekvenci.

Profesionālai pārbaudei nepieciešams viennozīmīgs apturēšanas mehānisms. Ja aktīvās fāzes laikā negaidīti krītas kritiska servisa pieejamība, rodas aizdomas par trešās puses datu aizskaršanu vai konstatēta nekontrolējama aizsardzības rīku reakcija, nevajadzētu sākt diskusiju par to, kuram ir tiesības pārtraukt darbības. Šī atbilde jau jānosaka pirms testēšanas.

Apturēšana nevar būt atkarīga tikai no Red Team dalībnieku savstarpējas vienošanās. Organizācijas pilnvarotajai kontroles komandai jāspēj pavēlēt pauzi vai pilnīgu izbeigšanu, un pārbaudes izpildītājiem jābūt procedūrai, kā pārtraukt aktīvās darbības, saglabājot pierādījumus un neizraisot papildu izmaiņas. TIBER-EU aprakstā White Team var jebkurā brīdī dot rīkojumu par pagaidu vai pilnīgu testa apturēšanu, ja rodas bažas par sistēmu kaitējumu S02 S05.

Tomēr ar vārdu “stop” plānā nepietiek. Jāvienojas, kurš izsaka komandu, pa kuru neatkarīgu kanālu tā tiek nodota, kā saņemšana tiek apstiprināta un kuras darbības pārtraukt ir tehniski droši. Atsevišķām darbībām tūlītēja procesa piespiedu nogalināšana var palielināt kaitējumu, tāpēc iepriekš jāizvērtē arī kontrolētas izbeigšanas scenāriji.

Ieteiktu nošķirt trīs situācijas: profilaktiska pauze, kad nepietiek informācijas drošai turpināšanai; ārkārtas apturēšana, kad ir tūlītēja kaitējuma pazīmes; un testēšanas slēgšana, kad jāpārbauda visu izmantoto kontu, artefaktu un konfigurācijas izmaiņu atlikušais stāvoklis. Šīs kategorijas ir autora piedāvājums organizācijas procedūras precizēšanai, nevis burtiski atveidota TIBER-EU terminoloģija.

Mākoņpakalpojumi un ārpakalpojumu sniedzēji ir viens no biežāk nenovērtētajiem testēšanas tvēruma sarežģījumiem. Pārbaudot uzņēmuma kritisku funkciju, var atklāties, ka tās izpilde ir atkarīga no ārēja identitātes pakalpojuma, maksājumu apstrādes vai infrastruktūras operatora. Ja sākotnējie pilnvarojumi attiecas tikai uz pasūtītāja infrastruktūru, uzbrukuma ceļa turpināšana trešās puses sistēmās var pārsniegt līgumiskās un tiesiskās robežas.

DORA 26. pantā ārējo IKT pakalpojumu sniedzēju iesaiste TLPT ir aplūkota konkrētā regulatīvā kontekstā, un finanšu iestāde saglabā atbildību par atbilstību regulas prasībām S04. Taču no šī noteikuma nevar secināt, ka jebkurš pasūtītājs iegūst tiesības bez papildu vienošanās pārbaudīt visu ārējo pakalpojumu sniedzēju infrastruktūru. Testēšanas organizētājiem jāspēj pierādīt konkrētās piekrišanas un saskaņojumi atbilstoši izvēlētajam scenārijam.

Arī incidentu reaģēšanas komandai jāzina, kā rīkoties, ja testēšanā netīši tiek skarts trešais subjekts. Ja ārēja organizācija saņem reālu drošības brīdinājumu, jābūt paredzētai drošai komunikācijas un eskalācijas procedūrai, nevis improvizētam mēģinājumam slēpt notikušo, lai neizjauktu testa rezultātu.

Uzbrucēja imitācija dažkārt ietver piekļuves pārbaudi sensitīvai informācijai. Tehniski ir iespējams iegūt plašāku datu apjomu, nekā nepieciešams konkrētajam pierādījumam. Šeit rodas profesionāla robeža: pierādīt piekļuves iespējamību nav tas pats, kas iegūt vai izplatīt visus pieejamos datus.

Testa plānā jānosaka, kādi dati ir pieļaujami pierādījumos, vai tos drīkst iznest ārpus organizācijas kontrolētās vides, kā tie šifrējami un kurš saņem piekļuvi. Ja nepieciešams demonstrēt datu izneses iespējamību, izmantot kontrolētu, saskaņotu datu kopu ir drošāk nekā reālus klientu ierakstus. Tāpat jānosaka informācijas glabāšanas termiņi, droša dzēšana un izņēmuma situāciju izskatīšana, ja pētnieks negaidīti iegūst sensitīvu saturu.

Būtiski saglabāt pierādījumu integritāti. Laika atzīmes, oriģinālie notikumi, testa identitātes, darbības mērķis un precīzs izmantotās metodes konteksts palīdz atšķirt paša testa pēdas no neatkarīgas ļaunprātīgas aktivitātes. Taču žurnālus nevajadzētu nekontrolēti kopēt uz pētnieku personīgajām ierīcēm tikai tāpēc, ka tas atvieglo gala ziņojuma sagatavošanu.

Arī ziņojuma publikācija rada riskus. Detalizētas arhitektūras diagrammas, piekļuves artefakti un ekspluatācijas pierādījumi ir sensitīvi, pat ja sākotnējā pārbaude veikta pilnīgi likumīgi. Pieņemšanas procesā jānosaka, kuri pierādījumi paliek slēgtā pielikumā un kuri vispār drīkst tikt izmantoti ārējā komunikācijā.

Reālistiska uzbrucēja imitācija pārbauda arī organizācijas reakciju. Aizsardzības komanda var izolēt serverus, apturēt lietotājus, aktivizēt krīzes procedūras vai paziņot par iespējamu incidentu. Dažās situācijās šādas darbības ir tieši tas, ko pārbaude cenšas novērot. Taču tas nenozīmē, ka visas šīs darbības vienmēr ir drošas vai neierobežoti pieļaujamas.

Ja aizsardzības komandai ir pilnīgi reālas incidentu ierobežošanas tiesības, tās rīcība var ietekmēt kritiskās funkcijas vairāk nekā Red Team tehniskais paņēmiens. Tāpēc kontroles komandai iepriekš jāizvērtē, kāda automātiska vai manuāla reakcija var tikt aktivizēta un kurā brīdī nepieciešams iejaukties, lai novērstu nesamērīgu kaitējumu. Vienlaikus pārmērīga iejaukšanās var mākslīgi uzlabot testa rezultātu, aizvietojot organizācijas parasto reakciju ar kontrolētās komandas palīdzību.

Šeit atklājas viens no sarežģītākajiem kompromisiem. Lai iegūtu objektīvu priekšstatu par detektēšanu un reaģēšanu, pārbaudei jāļauj procesiem notikt pietiekami dabiski. Lai aizsargātu biznesu, nepieciešama iespēja tos ierobežot. Pareizais risinājums ir iepriekš noteikti riska sliekšņi un pieraksts par visām kontroles komandas iejaukšanās reizēm. Pretējā gadījumā gala ziņojumā nav iespējams korekti nošķirt faktisko aizsardzības sniegumu no organizatoriskas palīdzības.

Turpmākā matrica ir autora izstrādāta darba metode testēšanas plāna pārbaudei. Tā neaizstāj konkrētās organizācijas riska novērtējumu, normatīvos pienākumus vai nepieciešamās pilnvaras.

Matrica palīdz noteikt, vai uzdevuma drošības prasības ir izteiktas pārbaudāmos artefaktos. Piemēram, ieraksts “nepieļaut produkcijas traucējumus” ir pārāk vispārīgs. Salīdzinājumā konkrēts aizliegums mainīt noteiktu servisa kontu, saskaņota atcelšanas procedūra un reāla stāvokļa pārbaude pēc testa jau rada izpildāmu kontroli. Pieņemšanas laikā jāmeklē faktiski pierādījumi, ka šie mehānismi strādājuši, ne tikai atzīmes pie procedūras nosaukuma.

Pārbaudes plānošanas kvalitāti es vērtētu pēc tā, vai nozīmīgākie riski ir pārvērsti konkrētos lēmumos. Izpildītājam jāzina, kā identificēt sistēmas, kuru stāvokli nedrīkst mainīt; kontroles komandai — kurā brīdī tests jāpārtrauc; infrastruktūras īpašniekam — kā atjaunot kritisku funkciju, ja iestājas paredzētais atteices scenārijs. Savukārt vadībai jāapzinās, ka pat korekti organizētā pārbaudē saglabājas atlikušais risks, kuru nav iespējams pilnībā izslēgt.

Es prasītu pierādāmu sakritību starp apstiprināto scenāriju un izpildītāja faktiski izmantotajiem instrumentiem. Ja ir mainīta uzbrukuma metode, tehniskā vide vai mērķa kategorija, sākotnējā riska analīze var vairs nebūt pietiekama. TIBER-EU 2025 ietvars paredz, ka apstiprinātā Red Team testēšanas plāna izmaiņas jāapstiprina atbildīgajām kontroles lomām S01. Tas ir labs piemērs, kā saglabāt reālismu, neļaujot projektam nekontrolēti paplašināties.

Šādā pārbaudē jāpatur prātā arī lēmums neko nedarīt. Ja komanda atklāj iespējamu uzbrukuma ceļu ārpus atļautā tvēruma, profesionāls rezultāts var būt šī ceļa dokumentēšana un priekšlikums atsevišķi to pārbaudīt vēlāk. Šāda atturība nav tehniskas kompetences trūkums — tā ir pilnvaru un riska pārvaldības disciplīna.

Pierādījumu skeptiķis jautātu, vai pārskata apgalvojumi par sekmīgu uzbrukuma ceļu izriet no sākotnējiem notikumiem, nevis no pētnieka pēc-testēšanas rekonstrukcijas. Ja pierādījumā trūkst laika, identitātes vai izpildes konteksta, rezultāts jāapraksta piesardzīgāk. Tikpat rūpīgi jāpārbauda apgalvojums, ka nekādu blakusseku nav bijis: vai patiešām apskatīti atkarīgie servisi un sistēmu veselības dati?

Tehniskais skeptiķis pārbaudītu, vai organizācija nav sajaukusi izolētu ievainojamības pārbaudi, plaša tvēruma Red Team operāciju un DORA regulēto TLPT. Šīs aktivitātes var izmantot līdzīgus tehniskus paņēmienus, taču atšķiras to mērķi, dalībnieki, vadības struktūra un atbilstības prasības. Arī terminam “produkcijas pārbaude” jābūt precīzi izskaidrotam, jo realitātē funkciju nodrošināšanā var piedalīties vairāki vidēs un pakalpojumu sniedzējos sadalīti komponenti.

Metodoloģijas skeptiķis jautātu, vai testa panākumu nevar izskaidrot ar tādām īpašām atļaujām, piekļuves informāciju vai izņēmumiem, kādu faktiskam uzbrucējam nebūtu. Ja izpildītājiem dots iepriekš sagatavots piekļuves punkts vai informācija, tas jāatspoguļo rezultātu interpretācijā. Šādi atbalsta pasākumi var būt metodoloģiski pamatoti, bet tie maina to, ko tests ļauj pierādīt.

Tiesiskuma un ētikas skeptiķis pārbaudītu testa pilnvarojumu, trešo personu lomu, datu apstrādi un iespējamo kaitējumu cilvēkiem. Komerciāls līgums nav vispārēja atļauja aizskart citas organizācijas infrastruktūru vai neierobežoti vākt personas datus. Regulētos TLPT gadījumos jāvērtē attiecīgās DORA un deleģētās regulas prasības, taču tās nedrīkst bez pamata piemērot jebkurai testēšanai S04 S06.

Lasītāja un informācijas vērtības skeptiķis pārbaudītu, vai gala ziņojums dod izmantojamu atbildi: kāda kontrole neizdevās, kā tā tika pārbaudīta, ko izdevās izdarīt, kur sākās riska robežas un ko organizācija var uzlabot. Ja dokumentā ir desmitiem ekrānattēlu, bet nav skaidrs, kurš lēmums būtu jāpieņem, tehniskā informācija nav pārvērsta pārvaldāmā drošības rezultātā.

Pēdējās tehniskās darbības izpilde vēl nenozīmē, ka tests ir beidzies. Var būt saglabājušies izveidoti konti, piekļuves pilnvarojumi, izmantotās infrastruktūras konfigurācijas izmaiņas vai testa dati. Organizācijas drošības komandai var būt atvērti incidentu uzdevumi, bet ārējiem piegādātājiem — notikumi, kas vēl gaida apstrādi. Tāpēc slēgšana ir atsevišķa darba fāze, kurā jāpārbauda faktiskais stāvoklis.

TIBER-EU 2025 ietvars paredz slēgšanas, ziņošanas un novēršanas posmus, turklāt aktualizētā regulatīvā pieeja saistīta ar DORA TLPT prasībām S01 S06. Šādu strukturētu slēgšanu ir vērts pārņemt arī ārpus finanšu sektora, nezaudējot atšķirību starp labas prakses ieteikumu un konkrētu juridisku pienākumu.

Man šķiet nepietiekami, ja gala atskaite aprobežojas ar frāzi “visi testa artefakti noņemti”. Jābūt redzamam, kuri artefakti tika izveidoti, kur tie atradās, kā veikta noņemšana un kā pārliecinājās, ka tie vairs nav aktīvi. Ja noteikta izmaiņa nav droši atceļama, tas jādokumentē un jānodod atbildīgajam sistēmas īpašniekam, nevis jāpaslēpj pie projekta administratīvās slēgšanas.

Vienlīdz svarīga ir aizsardzības komandas pēcanalīze. Jānoskaidro, kādus signālus tā saņēma, kurus nepamanīja, kuri lēmumi bija pamatoti un kurus ietekmēja izņēmuma procedūras. Ja testēšanas laikā bija jāiejaucas kontroles komandai, šī iejaukšanās jāsasaista ar rezultātu interpretāciju. Citādi organizācija var nepamatoti novērtēt aizsardzības spēju augstāk vai zemāk, nekā to ļauj pierādīt faktiskais tests.

Viena veiksmīga vai neveiksmīga Red Team operācija neatspoguļo visu organizācijas kiberdrošības stāvokli. Rezultātu nosaka izvēlētais scenārijs, laiks, izmantotā izlūkošana, testa ilgums, atļautās metodes un faktiskā aizsardzības konfigurācija. Ja vienā scenārijā izdevies sasniegt iepriekš noteiktu mērķi, tas pierāda konkrēta uzbrukuma ceļa iespējamību noteiktos apstākļos. Tas automātiski nenozīmē, ka visas pārējās aizsardzības kontroles ir bezvērtīgas.

Līdzīgi arī rezultāts, kurā testētāji mērķi nesasniedz, nepierāda organizācijas vispārēju imunitāti pret uzbrukumiem. Var būt izvēlēts nepietiekami reprezentatīvs scenārijs, ierobežots laiks vai pieeja, kurā aizliegti noteikti reāla uzbrucēja paņēmieni. Šīs metodoloģiskās robežas jānorāda līdzās atradumiem, nevis jāatstāj tikai slēptā tehniskā pielikumā.

Organizācijas vērtība rodas no identificētajiem aizsardzības uzlabojumiem un to atkārtotas pārbaudes. Ja pēc Red Team operācijas tiek atjauninātas kontroles, mainīti incidentu procesi vai uzlabota telemetrija, nepieciešams pārliecināties, ka šīs izmaiņas patiešām novērš vai samazina atklāto problēmu. Testa iespaidīgākais demonstrācijas fragments nav pats svarīgākais rezultāts; svarīgāk ir, kas pēc tā mainījies sistēmā un kā šo pārmaiņu ietekme ir pārbaudīta.

Red Team operācija var būt tehniski pareiza un vienlaikus radīt risku, kuru uzdevuma dalībnieki nav pietiekami novērtējuši. Produkcijas sistēmās šāds risks nav abstrakts: testa darbības var ietekmēt pakalpojumu pieejamību, piekļuves kontroli, datu apriti un aizsardzības komandas reakciju. Tāpēc profesionālas pārbaudes kvalitāti nevar noteikt tikai pēc iegūtās piekļuves dziļuma vai imitētā uzbrukuma veiksmes.

Eiropas TIBER-EU ietvars un DORA TLPT noteikumi piedāvā atšķirīgas, bet saistītas atskaites: skaidri definētu tvērumu, atbildīgas kontroles lomas, riska pārvaldību, testēšanas rezultātu analīzi un slēgšanas procesu. Taču jāievēro konkrētais regulējuma piemērošanas tvērums — normatīvus pienākumus nevar uzdot par universālu prasību visiem uzņēmumiem, kas pasūta Red Team pakalpojumu.

Es par labu pārbaudi uzskatītu tādu, kurā organizācija pēc noslēguma var rekonstruēt ne tikai uzbrucēja imitēto ceļu, bet arī visu pārbaudes operacionālo dzīves ciklu: kurš ko atļāva, kādu risku pieņēma, kurā brīdī bija iespējama apturēšana, kas faktiski mainījās un kā tika pārbaudīta droša slēgšana. Ja šī informācija trūkst, izpildītāju tehniskā meistarība nav pietiekams pierādījums procesa profesionalitātei.