Purple team
La couverture de détection est généralement décrite comme un pourcentage d'un référentiel. Ce chiffre provient de la lecture de noms de règles. La seule façon de savoir si une règle se déclenche, c'est de faire la chose qu'elle est censée attraper, pendant que quelqu'un regarde la console, et de noter ce qui est apparu.
Ce qui est inclus
- Une liste de techniques convenue à l'avance, tirée de MITRE ATT&CK et de ce que nous observons
- Exécution aux côtés de votre équipe de détection, en temps réel
- Résultat par technique : alerte déclenchée, journalisée sans alerte, ou aucune télémétrie
- Suggestions de réglage pour les règles qui ont failli se déclencher
- Réexécution des techniques en échec après réglage, dans la même mission si le temps le permet
Ce que vous obtenez
- Tableau de résultats technique par technique, avec horodatage des deux côtés
- Les sources de journaux précisément manquantes, pas seulement le constat d'une couverture faible
- Des propositions de logique de détection écrites dans le langage de requête que vous utilisez réellement
- Une liste courte de ce qu'il faut corriger en premier, classée par prévalence des techniques
- Restitution avec l'équipe de détection
- Lettre d'attestation pour auditeurs et clients, sur demande
- Attestation de correction après le contre-test, en document distinct
Forme de la mission
- Cadré au cas par casFixé par écrit avant le début des tests. Deux à cinq jours sur site ou à distanceFenêtre habituelle. Construite autour de votre échéance si vous en avez une. Comment fonctionne la tarification
Ce qui en ressort généralement
Le résultat courant n'est pas que la détection soit absente. C'est que la télémétrie existe, que la règle existe, et que les deux ne se rencontrent pas : la règle interroge une table où la source de journaux concernée n'écrit pas, ou elle filtre sur un nom de processus que la technique n'utilise pas, ou elle alimente un canal que personne ne lit à deux heures du matin. Tout cela se corrige à bas coût une fois que quelqu'un a prouvé que cela se produit.
Le deuxième résultat courant, c'est une technique qui produit une entrée de journal parfaitement correcte que rien n'interroge. C'est le constat le moins coûteux de cette liste, et le plus facile à manquer dans une simple revue documentaire.
Comment se déroule une séance
Nous convenons d'abord de la liste des techniques, pour que personne ne soit surpris et que votre équipe puisse préparer ses requêtes. Le jour venu, nous exécutons chaque technique l'une après l'autre, en l'annonçant à mesure, et votre équipe rapporte ce qu'elle voit et quand. Les deux côtés consignent des horodatages. Lorsqu'une technique ne produit rien, nous nous arrêtons et déterminons si le problème vient de la source de journaux, de la règle ou du routage, avant de poursuivre.
Ce que ce n'est pas
Il s'agit d'un exercice collaboratif, pas d'un exercice furtif. Si vous voulez savoir si votre équipe attrape quelqu'un qui cherche à ne pas se faire prendre, c'est une évaluation Red Team, et elle mesure autre chose. Nous n'exploitons pas, ne supervisons pas et ne dotons pas en personnel votre capacité de détection. Nous la testons, aidons à la régler, et la rendons à ceux à qui elle appartient.
Questions
Il vous faut un endroit où les journaux atterrissent et quelqu'un capable de les interroger. Cela n'a pas besoin d'être mature. Certaines des séances les plus utiles se sont déroulées avec une équipe trois mois après le déploiement d'un SIEM, qui avait besoin de savoir lesquelles de ses hypothèses tenaient.
Convenues à l'avance à partir de MITRE ATT&CK, pondérées vers ce que nous voyons réellement employé : accès aux identifiants, déplacement latéral, abus de certificats et persistance. Si vous avez un modèle de menace particulier ou un incident sectoriel récent que vous voulez couvrir, apportez-le.
Nous proposons la logique et remettons des brouillons de requêtes dans le langage que vous utilisez, souvent KQL pour Microsoft Sentinel. Votre équipe se les approprie, les teste et les déploie, car des règles que personne en interne ne comprend deviennent la prochaine lacune.
Oui, et lorsque la fenêtre de la mission le permet, nous réexécutons les techniques en échec dans la même séance, ce qui constitue la boucle de retour la plus rapide disponible.
Au cas par cas, selon l'ampleur de la liste de techniques et la durée de la fenêtre. Fixé par écrit après l'appel.
Cadrez-la correctement avant de l'acheter.
Trente minutes au téléphone, un prix fixe par écrit sous 24 heures, et une réponse honnête si ce n'est pas la mission qu'il vous faut.