Purple team
La cobertura de detección suele describirse como un porcentaje de un marco. Ese número sale de leer nombres de reglas. La única manera de saber si una regla salta es hacer aquello que se supone que debe detectar, mientras alguien mira la consola, y anotar lo que apareció.
Qué incluye
- Una lista de técnicas acordada de antemano, tomada de MITRE ATT&CK y de lo que vemos
- Ejecución junto a su equipo de detección, en tiempo real
- Resultado por técnica: alertó, registró sin alertar, o ninguna telemetría
- Sugerencias de ajuste para las reglas que estuvieron cerca de saltar
- Reejecución de las técnicas fallidas tras el ajuste, en el mismo proyecto si el tiempo lo permite
Qué recibe
- Tabla de resultados técnica por técnica, con marcas de tiempo en ambos lados
- Las fuentes de registro concretas que faltaban, no solo que la cobertura era baja
- Propuestas de lógica de detección escritas en el lenguaje de consulta que usa de verdad
- Una lista corta de qué arreglar primero, ordenada por prevalencia de la técnica
- Sesión de repaso con el equipo de detección
- Carta de atestación para auditores y clientes, a petición
- Atestación de corrección tras la reprueba, como documento independiente
Forma del proyecto
- Acotado caso por casoFijado por escrito antes de que empiecen las pruebas. De dos a cinco días presencial o en remotoVentana habitual. Construida en torno a su fecha límite si la tiene. Cómo funcionan los precios
Qué suele salir de esto
El resultado habitual no es que falte la detección. Es que la telemetría existe, la regla existe, y las dos no se encuentran: la regla consulta una tabla en la que la fuente de registro relevante no escribe, o filtra por un nombre de proceso que la técnica no usa, o dispara a un canal que nadie lee a las dos de la madrugada. Todo eso es barato de arreglar una vez que alguien ha demostrado que está pasando.
El segundo resultado habitual es una técnica que produce una entrada de registro perfectamente válida que nadie consulta. Es el hallazgo más barato de esta lista y el más fácil de pasar por alto en una revisión documental.
Cómo transcurre una sesión
Primero acordamos la lista de técnicas, para que nadie se lleve sorpresas y su equipo pueda preparar sus consultas. El día de la prueba ejecutamos cada técnica por turnos, la anunciamos según la hacemos, y su equipo reporta qué ve y cuándo. Ambas partes registran marcas de tiempo. Cuando una técnica no produce nada, paramos y averiguamos si el problema está en la fuente de registro, en la regla o en el enrutado, antes de seguir.
Lo que no es
Este es un ejercicio colaborativo, no encubierto. Si quiere saber si su equipo detecta a alguien que intenta no ser descubierto, eso es una evaluación Red Team, y mide algo distinto. Tampoco operamos, monitorizamos ni dotamos de personal su capacidad de detección. La probamos, ayudamos a ajustarla y la devolvemos a quienes son sus dueños.
Preguntas
Necesita un sitio donde aterricen los registros y alguien que pueda consultarlos. No hace falta que esté maduro. Algunas de las sesiones más útiles han sido con un equipo a tres meses del despliegue de un SIEM que necesitaba saber cuáles de sus suposiciones se sostenían.
Acordadas de antemano a partir de MITRE ATT&CK, con más peso en lo que realmente vemos usarse: acceso a credenciales, movimiento lateral, abuso de certificados y persistencia. Si tiene un modelo de amenaza concreto o un incidente reciente del sector que quiera cubrir, tráigalo.
Proponemos la lógica y entregamos borradores de consulta en el lenguaje que usa, habitualmente KQL para Microsoft Sentinel. Su equipo las hace suyas, las prueba y las despliega, porque las reglas que nadie de la casa entiende se convierten en la siguiente carencia.
Sí, y cuando la ventana del proyecto lo permite reejecutamos las técnicas fallidas en la misma sesión, que es el ciclo de retroalimentación más rápido disponible.
De forma individual, según el tamaño de la lista de técnicas y la duración de la ventana. Fijado por escrito tras la llamada.
Acótela bien antes de comprarla.
Treinta minutos de llamada, un precio cerrado por escrito en 24 horas y una respuesta honesta si este no es el proyecto que necesita.