Purple team
Cakupan deteksi biasanya digambarkan sebagai persentase dari suatu kerangka kerja. Angka itu berasal dari membaca nama-nama aturan. Satu-satunya cara mengetahui apakah sebuah aturan benar-benar menyala adalah melakukan hal yang seharusnya ia tangkap, sementara seseorang mengamati konsol, lalu mencatat apa yang muncul.
Yang termasuk
- Daftar teknik yang disepakati lebih dulu, diambil dari MITRE ATT&CK dan dari apa yang kami lihat di lapangan
- Pelaksanaan berdampingan dengan tim deteksi Anda, secara waktu nyata
- Hasil per teknik: memicu peringatan, tercatat tanpa peringatan, atau tanpa telemetri sama sekali
- Saran penyetelan untuk aturan yang nyaris menyala
- Menjalankan ulang teknik yang gagal setelah penyetelan, dalam proyek yang sama bila waktu memungkinkan
Yang Anda dapatkan
- Tabel hasil teknik demi teknik, dengan cap waktu dari kedua sisi
- Sumber log spesifik yang hilang, bukan sekadar pernyataan bahwa cakupannya rendah
- Usulan logika deteksi yang ditulis dalam bahasa kueri yang benar-benar Anda gunakan
- Daftar singkat apa yang harus diperbaiki lebih dulu, diurutkan menurut seberapa umum tekniknya
- Penjelasan bersama tim deteksi
- Surat atestasi untuk auditor dan pelanggan, bila diminta
- Atestasi perbaikan setelah uji ulang, sebagai dokumen tersendiri
Bentuk proyeknya
- Dilingkupi secara individualDitetapkan tertulis sebelum pengujian dimulai. Dua sampai lima hari di lokasi atau jarak jauhJendela umum. Disusun mengikuti tenggat Anda bila ada. Bagaimana penetapan harga bekerja
Apa yang biasanya muncul
Hasil yang lazim bukanlah bahwa deteksi tidak ada. Melainkan bahwa telemetrinya ada, aturannya ada, dan keduanya tidak bertemu: aturan mengueri tabel yang tidak ditulisi sumber log terkait, atau menyaring berdasarkan nama proses yang tidak dipakai teknik itu, atau mengirim ke kanal yang pada pukul dua dini hari tak seorang pun membacanya. Semua itu murah diperbaiki begitu ada yang membuktikan bahwa hal itu memang terjadi.
Hasil lazim kedua adalah teknik yang menghasilkan entri log yang sepenuhnya baik tetapi tidak dikueri oleh apa pun. Itu temuan paling murah dalam daftar ini sekaligus yang paling mudah terlewat dari sekadar tinjauan dokumentasi.
Bagaimana sebuah sesi berjalan
Kami menyepakati daftar teknik lebih dulu, supaya tidak ada yang terkejut dan tim Anda bisa menyiapkan kuerinya. Pada hari pelaksanaan kami menjalankan setiap teknik bergiliran, menyebutkannya sembari melakukannya, dan tim Anda melaporkan apa yang mereka lihat dan kapan. Kedua pihak mencatat cap waktu. Bila sebuah teknik tidak menghasilkan apa pun, kami berhenti dan mencari tahu apakah masalahnya pada sumber log, pada aturan, atau pada perutean, sebelum melanjutkan.
Yang bukan termasuk
Ini latihan kolaboratif, bukan sembunyi-sembunyi. Jika Anda ingin tahu apakah tim Anda menangkap seseorang yang berusaha tidak tertangkap, itu penilaian Red Team, dan yang diukurnya berbeda. Kami juga tidak mengoperasikan, memantau, atau mengisi personel kemampuan deteksi Anda. Kami mengujinya, membantu menyetelnya, lalu mengembalikannya kepada pemiliknya.
Pertanyaan
Anda butuh tempat log berkumpul dan seseorang yang bisa mengueri log itu. Tidak harus sudah matang. Beberapa sesi paling berguna justru bersama tim yang baru tiga bulan menjalankan SIEM dan ingin tahu asumsi mana yang bertahan.
Disepakati lebih dulu dari MITRE ATT&CK, dengan bobot pada apa yang benar-benar kami lihat dipakai: akses kredensial, pergerakan lateral, penyalahgunaan sertifikat, dan persistensi. Jika Anda punya model ancaman tertentu atau insiden terkini di industri yang ingin dicakup, bawalah.
Kami mengusulkan logikanya dan menyerahkan draf kueri dalam bahasa yang Anda pakai, umumnya KQL untuk Microsoft Sentinel. Tim Andalah yang memilikinya, mengujinya, dan menerapkannya, karena aturan yang tidak dipahami siapa pun di internal akan menjadi celah berikutnya.
Bisa, dan bila jendela proyek memungkinkan kami menjalankan ulang teknik yang gagal dalam sesi yang sama - itu lingkar umpan balik tercepat yang tersedia.
Secara individual, berdasarkan ukuran daftar teknik dan panjang jendela waktu. Ditetapkan tertulis setelah panggilan.
Lingkupi dengan benar sebelum Anda membelinya.
Tiga puluh menit panggilan, harga tetap tertulis dalam 24 jam, dan jawaban jujur bila ini bukan proyek yang Anda butuhkan.