Penilaian Red Team
Uji penetrasi menanyakan seberapa banyak yang salah. Penilaian Red Team justru mengajukan satu pertanyaan: bisakah kami menjangkau satu hal tertentu yang Anda pedulikan, dan adakah yang menghentikan kami di tengah jalan? Hasilnya bukan jumlah temuan, melainkan kronologi apa yang kami lakukan, disandingkan dengan apa yang Anda lihat.
Yang termasuk
- Sasaran yang Anda tentukan: satu kumpulan data, satu sistem, satu transaksi, satu tingkat hak akses
- Posisi awal realistis yang disepakati lebih dulu
- Operasi senyap dengan perkakas dan waktu yang dipilih untuk menghindari tanda tangan yang kentara
- Catatan aktivitas lengkap bercap waktu, sehingga setiap tindakan bisa direkonsiliasi
- Rekonsiliasi deteksi dengan apa yang benar-benar dilihat tim Anda
Yang Anda dapatkan
- Kronologi naratif operasi, jam demi jam
- Perbandingan berdampingan antara tindakan kami dan peringatan Anda
- Celah spesifik yang membuat setiap tahap lolos tanpa disadari
- Perbaikan yang dipilah menjadi apa yang harus diperbaiki dan apa yang harus dideteksi
- Penjelasan langsung bersama sisi rekayasa maupun sisi deteksi
- Surat atestasi untuk auditor dan pelanggan, bila diminta
- Atestasi perbaikan setelah uji ulang, sebagai dokumen tersendiri
Bentuk proyeknya
- Dilingkupi secara individualDitetapkan tertulis sebelum pengujian dimulai. Biasanya dua sampai empat mingguJendela umum. Disusun mengikuti tenggat Anda bila ada. Bagaimana penetapan harga bekerja
Bagi sebagian besar perusahaan, ini proyek yang keliru
Layak dikatakan terus terang, karena ini biasanya pilihan yang lebih mahal dan sering kali bukan pilihan yang membantu. Penilaian Red Team mengukur deteksi dan respons Anda. Jika Anda sudah tahu cakupan deteksi Anda tipis, atau belum menjalani uji penetrasi dalam setahun terakhir, Anda akan belajar lebih banyak per rupiah dengan lebih dulu menemukan dan memperbaiki apa yang memang rusak.
Red teaming layak dilakukan ketika Anda sudah punya kemampuan deteksi yang berjalan dan perlu tahu apakah ia bertahan menghadapi seseorang yang berusaha tidak tertangkap. Jika belum sampai di sana, sampaikan saat panggilan dan kami akan melingkupi proyek yang memang Anda butuhkan.
Aturan pelaksanaan lebih dulu
Sasaran, teknik yang diizinkan, teknik yang dilarang, identitas dan sistem dalam lingkup, jendela waktu, kontak darurat, dan prosedur penghentian - semuanya disepakati tertulis dan ditandatangani sebelum apa pun dimulai. Satu orang yang ditunjuk di pihak Anda tahu bahwa pengujian sedang berlangsung meski tim yang lebih luas tidak tahu, dan ada nomor telepon yang menghentikannya seketika.
Yang bukan termasuk
Tanpa tindakan merusak. Tanpa eksfiltrasi data sungguhan: tercapainya sasaran dibuktikan dengan berkas canary atau nilai hash, bukan dengan membawa catatan pelanggan Anda keluar jaringan. Tanpa penyusupan fisik dan tanpa phishing acak terhadap karyawan di luar daftar yang disepakati. Masing-masing tersedia sebagai pekerjaan dengan lingkup terpisah bila Anda menginginkannya.
Pertanyaan
Cakupan versus sasaran. Uji penetrasi menelusuri sebanyak mungkin di dalam satu lingkup dan melaporkan semua yang ditemukan. Penilaian Red Team memilih satu tujuan dan menempuh rute paling senyap menuju ke sana, yang berarti ia sengaja membiarkan sebagian besar lingkungan Anda tidak diuji.
Itu keputusan Anda dan dicatat dalam aturan pelaksanaan. Nilai terbesar muncul ketika tim yang lebih luas tidak tahu, dengan sekurang-kurangnya satu orang yang ditunjuk mengetahuinya, sehingga latihan bisa dihentikan dan insiden nyata tidak pernah tertukar dengan pengujian.
Berdasarkan kesepakatan: biasanya berkas canary yang ditempatkan lebih dulu, nilai hash sebuah catatan alih-alih catatannya sendiri, atau tangkapan layar yang konten sensitifnya sudah disamarkan saat pengambilan. Tidak ada yang keluar dari lingkungan Anda tanpa kesepakatan bahwa hal itu boleh keluar.
Dua sampai empat minggu adalah hal yang lazim, karena bergerak senyap berarti menunggu, bukan terburu-buru. Jendela waktunya ditetapkan dalam proposal.
Secara individual. Sasaran, posisi awal, dan panjang jendela waktu lebih menentukan daripada angka lingkup yang mencolok mana pun, jadi harga dilingkupi saat panggilan dan ditetapkan tertulis.
Lingkupi dengan benar sebelum Anda membelinya.
Tiga puluh menit panggilan, harga tetap tertulis dalam 24 jam, dan jawaban jujur bila ini bukan proyek yang Anda butuhkan.