k0nsult.cloud / ai-truth / ipIII / CIVILIZATION / engagement

Rules of Engagement + rubryka oceny

Kontrakt ćwiczenia atak/obrona: zakres, autoryzacja, bezpieczeństwo, komunikacja i kryteria sukcesu. Bez podpisanego RoE żadne działanie ofensywne — nawet symulowane na uzgodnionym celu — nie startuje. To dokument governance, nie zaproszenie do ataku.

CIVILIZATION Specjaliści Roje i cykle Red team Pentest Attack-sim Engagement ← ipIII hub

EXERCISE-LOG · STAGING · NOINDEX. Dokument roboczy ćwiczenia w środowisku demonstracyjnym, noindex,nofollow. Ćwiczenie ma status SYMULACJA / PLANNED. RoE nie jest jeszcze podpisany — status GAP. Do czasu podpisu i pisemnej autoryzacji obu stron nie wykonuje się żadnej akcji ofensywnej ani symulowanej. Nazwa podmiotu partnera pozostaje anonimowa (systemowo istotnej instytucji finansowej) do momentu podpisania RoE — brak podpisu = brak dowodu = brak nazwy.

Podpis PRZED działaniem. Bez RoE = brak autoryzacji = brak ćwiczenia.

Kohorta partnera: ~50 pentesterów systemowo istotnej instytucji finansowej, zaproszenie anonimowe, status PUBLIC_CLAIM / PLANNED. Po stronie K0NSULT: modelowany roster 52 549 w rejestrze (status DANE, ledger — nie żywe agenty) oraz wykonawczy rój ograniczony realną infrastrukturą, status LIVE. Zasada kanoniczna: RÓJ ≠ REJESTR.

ŚCIEŻKA: RoE draft→PRZEGLĄD PRAWNY→PODPIS OBU STRON→DECONFLICTION→OKNO CZASOWE→ĆWICZENIE→RAPORT→CORRECTIVE ACTIONS

1 · Cel ćwiczenia

Zweryfikować udowodnioną zdolność detekcji i reakcji obrony (blue) na realistyczne scenariusze BAS — nie deklarowaną, lecz popartą telemetrią.
Zmierzyć MTTD/MTTR i pokrycie technik MITRE ATT&CK w kontrolowanym, autoryzowanym środowisku.
Wykazać, że K0NSULT łączy detekcję z dowodem (evidence-first) w sposób akceptowalny dla audytu i regulatora (NIS2/KSC/DORA-adjacent).
Zebrać lessons learned i wygenerować listę corrective actions z domknięciem dowodowym (bez GAP w zamknięciach).

2 · Zakres (scope)

IN SCOPE uzgodnione

Wyłącznie systemy/segmenty wymienione imiennie w podpisanym RoE. Ćwiczebne konta i dane. Scenariusze BAS-01..05 z warstw L1/L2. Okno czasowe zdefiniowane w §6.

OUT OF SCOPE zakaz

Systemy produkcyjne z realnymi danymi klientów, płatności LIVE, infrastruktura stron trzecich, dostawcy, DoS/DDoS destrukcyjny, fizyczny dostęp, socjotechnika wobec osób spoza zgody, eksfiltracja realnych danych osobowych.

Warunki brzegowe

Zakaz działań mogących spowodować niedostępność usług klientom. Zakaz modyfikacji/kasowania danych. Wszystkie artefakty ćwiczebne oznaczone i usuwalne. Kill-switch po stronie White cell.

3 · Safe harbor / autoryzacja pisemna

Warunek konieczny. RoE musi być podpisany przez upoważnionych przedstawicieli obu stron przed jakimkolwiek działaniem. Dopóki brak podpisu — status całości to GAP, a jakiekolwiek działanie ofensywne jest nieautoryzowane i zakazane. Safe harbor obejmuje wyłącznie działania w granicach podpisanego zakresu i okna czasowego. Wyjście poza zakres unieważnia ochronę i uruchamia natychmiastowy stop.

Element autoryzacji	Wymóg	Status
Pisemny RoE (podpis obu stron)	przed startem, wersjonowany	GAP — brak podpisu
Autoryzacja właściciela systemów	imienna zgoda na cel	GAP
Zakres i wyłączenia (§2)	zatwierdzone i podpisane	DRAFT
Klauzula safe harbor	w treści RoE	DRAFT
Zgoda RODO/DPIA na dane ćwiczebne	brak realnych danych osobowych	DRAFT
Ubezpieczenie / odpowiedzialność	uzgodnione w kontrakcie	DRAFT

4 · Deconfliction

Sygnał deconfliction: uzgodniony kod/hasło pozwalające natychmiast odróżnić akcję ćwiczebną od realnego incydentu.
White cell prowadzi rejestr działań red w czasie rzeczywistym; blue cell może w każdej chwili zapytać „to ćwiczenie czy realny atak?".
W razie wykrycia realnego (nie-ćwiczebnego) zagrożenia w oknie — ćwiczenie wstrzymane, uruchamiany realny playbook incydentu.
Znaczniki artefaktów ćwiczebnych (prefiks/tag) umożliwiające czyszczenie po zakończeniu.

5 · Kanały komunikacji

Kanał główny

Dedykowany, szyfrowany kanał ćwiczenia (out-of-band względem testowanych systemów). Log rozmów zachowany jako dowód.

Kanał eskalacji

Bezpośrednia linia White ↔ liderzy stron. Uruchamiany przy przekroczeniu zakresu lub incydencie realnym.

Kanał techniczny

Wymiana telemetrii/dowodów purple ↔ blue. Zasilanie Evidence Board i Exercise Board.

6 · Okno czasowe

Zdefiniowane daty/godziny startu i zakończenia; poza oknem żadna akcja red nie jest autoryzowana.
Blackout windows: okresy wyłączone (zamknięcia księgowe, okna zmian, incydenty operacyjne).
Prawo White cell do skrócenia/wstrzymania okna w dowolnym momencie (kill-switch).

7 · Role — komórki ćwiczenia (cells)

Cell	Rola	Odpowiedzialność
White	kontrola / arbiter	autoryzacja, deconfliction, kill-switch, rejestr działań, arbitraż sporów, zgodność z RoE
Red	ofensywa symulowana	realizacja scenariuszy BAS w granicach zakresu; wyłącznie metodyka/TTP w izolowanym środowisku
Blue	detekcja / reakcja	wykrywanie, dochodzenie, kontrbudowanie, dostarczanie dowodu każdej detekcji
Purple	pomiar / korelacja	łączenie akcji red z detekcją blue, scoring, MTTD/MTTR, raport, lessons learned

8 · Zasady eskalacji

Stop-the-exercise: każda strona może zażądać natychmiastowego wstrzymania (słowo-klucz). White potwierdza w <5 min.
Przekroczenie zakresu: automatyczny stop, przegląd, decyzja o wznowieniu tylko po korekcie i akceptacji.
Incydent realny: ćwiczenie zamrożone, przełączenie na produkcyjny playbook reagowania.
Wpływ na klientów/produkcję: bezwarunkowy stop, priorytet przywrócenia usług nad kontynuacją ćwiczenia.

9 · Kryteria sukcesu — rubryka oceny

Rubryka mierzy udowodnioną skuteczność obrony. Wynik z Exercise Board zasila kolumnę „miara".

Kryterium	Waga	Próg A (wzorowy)	Próg C (do korekty)	Miara / dowód
Pokrycie detekcji (ATT&CK)	25%	≥ 90% technik wykrytych	50–69%	tablica rund + telemetria
MTTD (czas do wykrycia)	20%	mediana ≤ 15 min P0	≤ 60 min	znaczniki czasu SIEM/EDR
MTTR (czas do reakcji)	20%	mediana ≤ 20 min P0	≤ 90 min	ticket + log akcji blue
Kompletność dowodów	20%	100% detekcji z dowodem	≥ 60%	Evidence Board
Brak GAP w zamknięciach	10%	0 zamknięć bez dowodu	≤ 2	rejestr zamknięć
Zgodność z playbookami	5%	reakcja wg procedury	częściowa	mapowanie runda → playbook

10 · Jak K0NSULT „się wykazuje" (metryka → dowód)

Deklaracja	Dowód wymagany	Status
„Wykryliśmy technikę X"	log SIEM / alert EDR z sygnaturą i czasem	SYMULACJA
„Zareagowaliśmy w Y min"	ticket reakcji + timestamp akcji containment	SYMULACJA
„Zamknęliśmy incydent"	dowód naprawy (patch/izolacja/rotacja) — bez GAP	SYMULACJA
„Roster 50 000 specjalistów"	ledger rejestru — DANE, nie żywe agenty	DANE
„Rój wykonawczy działa"	ok. 16 równolegle / do 1000 na workflow — realna infra	LIVE
„5k/10k agentów na cykl, 15× metaGO"	doktryna orkiestracji, nie stan bieżący	ROADMAP
„Zaproszono ~50 pentesterów partnera"	RoE podpisany — dopiero wtedy nazwa i liczba potwierdzone	PLANNED

11 · Po ćwiczeniu

Raport

Hotwash w 24 h + raport pełny: przebieg rund, scoring, MTTD/MTTR, mapa pokrycia ATT&CK, wykaz GAP z dowodem.

Lessons learned

Wnioski blue/red/purple, luki telemetrii, brakujące reguły detekcji, słabe punkty procedur.

Corrective actions

Lista działań naprawczych z właścicielem, terminem i kryterium domknięcia dowodowego. Retest wybranych GAP.

Czyszczenie

Usunięcie artefaktów ćwiczebnych, rotacja kont testowych, potwierdzenie przywrócenia stanu wyjściowego.

12 · Checklist gotowości

[ ] RoE podpisany przez obie strony GAP

[ ] Autoryzacja właściciela systemów (imienna) GAP

[ ] Zakres in/out potwierdzony i wersjonowany DRAFT

[ ] Safe harbor w treści RoE DRAFT

[ ] Sygnał deconfliction ustalony DRAFT

[ ] Okno czasowe + blackout windows uzgodnione DRAFT

[ ] Kanały komunikacji (główny/eskalacja/techniczny) uruchomione DRAFT

[ ] Role cell (White/Red/Blue/Purple) obsadzone DRAFT

[ ] Rubryka oceny zaakceptowana przez obie strony DRAFT

[ ] Środowisko izolowane + kill-switch przetestowany DRAFT

[ ] Zgoda RODO/DPIA (brak realnych danych osobowych) DRAFT

Zasada nadrzędna. Ćwiczenie nie rusza z otwartym GAP w checklist gotowości — tak jak portal nie zamyka incydentu bez dowodu. Nazwa podmiotu partnera pojawi się dopiero po podpisanym RoE; do tego czasu obowiązuje anonimowość (systemowo istotnej instytucji finansowej). To nie formalność — to ta sama waluta zaufania: claim ≤ proof.

Powiązania. Metodyka opiera się na uznanych ramach: TIBER-EU, DORA TLPT (threat-led penetration testing), PTES, OWASP WSTG/Top10, MITRE ATT&CK, Cyber Kill Chain, tabletop/BAS. Powiązane strony: Red team · Pentest · Exercise Board · Agent Security · Compliance · Banking demo · Evidence Board.