Zamiast sprawdzać pojedynczą podatność w izolacji, zlecenie red team może łączyć działania techniczne, dotyczące tożsamości, socjotechniczne lub fizyczne, by realizować zdefiniowany cel i obserwować prewencję, wykrywanie, dochodzenie i reagowanie.
Zlecenie musi działać w ramach pisemnych zasad. Cele, obiekty, wyłączenia, dozwolone techniki, okna testowe, kontrole bezpieczeństwa, postępowanie z dowodami, dekonfliktacja, eskalacja, porządkowanie (cleanup) i warunki zatrzymania powinny zostać uzgodnione przed rozpoczęciem działań. Wszelkie testy obejmujące ludzi, dostawców, systemy produkcyjne lub obiekty fizyczne wymagają wyraźnego upoważnienia adekwatnego do tego zakresu.
Najważniejsze punkty
Projektowanie oparte na zagrożeniachDobieraj cele i zachowania na podstawie odpowiedniego informacji o zagrożeniach i realistycznych ścieżek ataku.
Nacisk operacyjnyMierz, czy obrońcy potrafią obserwować, rozumieć, ograniczać skutki i wyciągać wnioski z aktywności — a nie tylko to, czy red team uzyskał dostęp.
Struktura kontroliWyznaczony organ lub white team może nadzorować ćwiczenie, zarządzać bezpieczeństwem i rozstrzygać konflikty bez kierowania każdą decyzją operatora.
Użyteczne wynikiDowody osiągniętych celów, luki w kontrolach i telemetrii, obserwacje reakcji, kontekst ryzyka i priorytetyzowane rekomendacje.
Istotne ograniczenieWynik red team stanowi próbkę określonych ścieżek w określonych warunkach. Powodzenie nie dowodzi, że każda kontrola zawiodła, a nieosiągnięcie celu nie dowodzi, że środowisko jest bezpieczne.