Valutazione Red Team
Un penetration test chiede quanto c'è che non va. Una valutazione Red Team pone invece una sola domanda: possiamo arrivare a una cosa precisa a cui tiene, e qualcuno ci fermerà lungo la strada? L'esito non è un conteggio di riscontri. È una cronologia di ciò che abbiamo fatto, accanto a ciò che lei ha visto.
Che cosa è incluso
- Un obiettivo che definisce lei: un insieme di dati, un sistema, una transazione, un livello di privilegio
- Una posizione di partenza realistica concordata in anticipo
- Operatività discreta, con strumenti e tempi scelti per evitare firme evidenti
- Un registro completo delle attività con marche temporali, così che ogni azione possa essere riconciliata
- Riconciliazione della detection con ciò che il suo team ha davvero visto
Che cosa riceve
- Cronologia narrativa dell'operazione, ora per ora
- Confronto affiancato tra le nostre azioni e i suoi alert
- Le lacune precise che hanno lasciato passare inosservata ogni fase
- Remediation divisa tra ciò che va corretto e ciò che va rilevato
- Debriefing dal vivo con il lato ingegneria e quello della detection
- Lettera di attestazione per auditor e clienti, su richiesta
- Attestazione di remediation dopo il nuovo test, come documento a sé
Forma del progetto
- Perimetro definito caso per casoFissato per iscritto prima dell'inizio dei test. Da due a quattro settimane, di normaFinestra tipica. Costruita attorno alla sua scadenza, se ne ha una. Come funziona la tariffazione
Per la maggior parte delle aziende è il progetto sbagliato
Vale la pena dirlo chiaramente, perché di solito è l'opzione più costosa e spesso non è quella che aiuta. Una valutazione Red Team misura la sua capacità di rilevamento e risposta. Se sa già che la copertura di detection è scarsa, o se non ha svolto un penetration test nell'ultimo anno, imparerà di più per ogni euro speso trovando e correggendo prima ciò che è davvero rotto.
Il red teaming si giustifica quando dispone di una capacità di rilevamento funzionante e deve sapere se regge contro qualcuno che cerca di non farsi scoprire. Se non è ancora il suo caso, lo dica durante la call e definiremo il perimetro del progetto che fa davvero al caso suo.
Le regole d'ingaggio vengono prima
Obiettivo, tecniche consentite, tecniche vietate, identità e sistemi nel perimetro, finestra temporale, contatto di emergenza e procedura di interruzione sono tutti concordati per iscritto e firmati prima che inizi qualsiasi cosa. Una persona nominata dalla sua parte sa che il test è in corso anche se il team più ampio non lo sa, ed esiste un numero di telefono che lo ferma immediatamente.
Che cosa non è
Nessuna azione distruttiva. Nessun dato reale esfiltrato: il raggiungimento dell'obiettivo si dimostra con un file canarino o un hash, non portando fuori dalla rete i dati dei suoi clienti. Nessuna intrusione fisica e nessun phishing non mirato verso personale fuori dall'elenco concordato. Ognuna di queste attività è disponibile come lavoro con perimetro a parte, se lo desidera.
Domande
Copertura contro obiettivo. Un penetration test enumera il più possibile all'interno di un perimetro e riporta tutto ciò che trova. Una valutazione Red Team sceglie un unico obiettivo e prende la via più silenziosa per arrivarci, il che significa che lascia deliberatamente non testata la maggior parte del suo parco.
È una sua decisione e viene messa nero su bianco nelle regole d'ingaggio. Il valore maggiore si ottiene quando il team più ampio non lo sa, con almeno una persona nominata che invece lo sa, così da poter fermare l'esercitazione e da non confondere mai un incidente reale con il test.
Per accordo: di norma un file canarino collocato in anticipo, l'hash di un record anziché il record stesso, oppure uno screenshot con il contenuto sensibile oscurato già al momento della cattura. Dal suo ambiente non esce nulla che non abbiamo concordato possa uscire.
Da due a quattro settimane è la norma, perché operare in modo discreto significa attendere anziché correre. La finestra è fissata nella proposta.
Caso per caso. L'obiettivo, la posizione di partenza e la durata della finestra pesano più di qualsiasi cifra di perimetro da vetrina, perciò il prezzo si definisce durante la call e si fissa per iscritto.
Ne definisca bene il perimetro prima di acquistarlo.
Trenta minuti di call, un prezzo fisso per iscritto entro 24 ore e una risposta onesta se non è questo il progetto di cui ha bisogno.