Purple team
Detectiedekking wordt meestal beschreven als een percentage van een raamwerk. Dat getal komt voort uit het lezen van regelnamen. De enige manier om te weten of een regel afgaat, is precies datgene doen wat hij hoort te vangen terwijl iemand de console in de gaten houdt, en opschrijven wat er verscheen.
Wat is inbegrepen
- Een vooraf afgesproken lijst met technieken, ontleend aan MITRE ATT&CK en aan wat wij in de praktijk zien
- Uitvoering naast uw detectieteam, in realtime
- Resultaat per techniek: alert gegeven, stil gelogd, of helemaal geen telemetrie
- Afstemsuggesties voor de regels die net niet afgingen
- Hernieuwde uitvoering van de mislukte technieken na het afstemmen, binnen dezelfde opdracht als de tijd dat toelaat
Wat u krijgt
- Resultatentabel techniek voor techniek, met tijdstempels aan beide kanten
- De specifiek ontbrekende logbronnen, niet alleen dat de dekking laag was
- Voorstellen voor detectielogica, geschreven in de querytaal die u werkelijk gebruikt
- Een korte lijst van wat u het eerst moet oplossen, geordend naar hoe vaak de techniek voorkomt
- Debriefing met het detectieteam
- Verklaringsbrief voor auditors en klanten, op verzoek
- Herstelverklaring na de hertest, als zelfstandig document
Vorm van de opdracht
- Per geval afgebakendVóór aanvang van de tests schriftelijk vastgelegd. Twee tot vijf dagen op locatie of op afstandGebruikelijk venster. Opgebouwd rond uw deadline als u die hebt. Hoe de prijsbepaling werkt
Wat er meestal uitkomt
Het gebruikelijke resultaat is niet dat detectie ontbreekt. Het is dat de telemetrie er is, de regel er is, en die twee elkaar niet raken: de regel bevraagt een tabel waar de betreffende logbron niet naar schrijft, of filtert op een procesnaam die de techniek niet gebruikt, of vuurt op een kanaal dat om twee uur 's nachts niemand leest. Dat is allemaal goedkoop te verhelpen zodra iemand heeft aangetoond dat het gebeurt.
Het tweede gebruikelijke resultaat is een techniek die een volkomen bruikbare logregel oplevert die door niets wordt bevraagd. Dat is de goedkoopste bevinding op deze lijst en de makkelijkste om te missen bij een papieren beoordeling.
Hoe een sessie verloopt
We spreken eerst de lijst met technieken af, zodat niemand verrast wordt en uw team zijn query's kan voorbereiden. Op de dag zelf voeren we elke techniek om de beurt uit, kondigen die aan terwijl we het doen, en uw team meldt wat het ziet en wanneer. Beide kanten noteren tijdstempels. Levert een techniek niets op, dan stoppen we en zoeken we uit of het aan de logbron, de regel of de routering ligt, voordat we verdergaan.
Wat dit niet is
Dit is een gezamenlijke oefening, geen heimelijke. Wilt u weten of uw team iemand betrapt die probeert niet gepakt te worden, dan is dat een Red Team-assessment, en dat meet iets anders. Ook beheren, bewaken of bemensen wij uw detectiecapaciteit niet. Wij testen haar, helpen afstemmen en geven haar terug aan de mensen die haar bezitten.
Vragen
U hebt een plek nodig waar logs binnenkomen en iemand die ze kan bevragen. Volwassen hoeft het niet te zijn. Sommige van de nuttigste sessies waren met een team drie maanden na een SIEM-uitrol, dat wilde weten welke van hun aannames klopten.
Vooraf afgesproken op basis van MITRE ATT&CK, met de nadruk op wat we in de praktijk werkelijk zien: toegang tot inloggegevens, laterale beweging, misbruik van certificaten en persistentie. Hebt u een specifiek dreigingsmodel of een recent incident in uw sector dat u gedekt wilt zien, neem het mee.
Wij stellen de logica voor en leveren conceptquery's in de taal die u gebruikt, vaak KQL voor Microsoft Sentinel. Uw team wordt er eigenaar van, test ze en rolt ze uit, want regels die niemand intern begrijpt, worden het volgende hiaat.
Ja, en waar het venster van de opdracht het toelaat voeren we mislukte technieken in dezelfde sessie opnieuw uit - de snelste terugkoppeling die er is.
Per geval, op basis van de omvang van de techniekenlijst en de lengte van het venster. Na het gesprek schriftelijk vastgelegd.
Baken het goed af voordat u het koopt.
Dertig minuten aan de telefoon, een vaste prijs op papier binnen 24 uur, en een eerlijk antwoord als dit niet de opdracht is die u nodig hebt.