Purple team
Pokrycie detekcją opisuje się zwykle jako procent jakiegoś frameworka. Ta liczba bierze się z czytania nazw reguł. Jedynym sposobem, by się przekonać, czy reguła się odpala, jest zrobić to, co ma wyłapać, w chwili gdy ktoś patrzy w konsolę, i zapisać, co się pojawiło.
Co obejmuje
- Uzgodniona z wyprzedzeniem lista technik, zaczerpnięta z MITRE ATT&CK i z tego, co widujemy w praktyce
- Wykonanie ramię w ramię z Państwa zespołem detekcji, w czasie rzeczywistym
- Wynik dla każdej techniki: wygenerowała alert, trafiła do logów bez alertu albo brak jakiejkolwiek telemetrii
- Propozycje strojenia dla reguł, którym niewiele zabrakło
- Ponowne uruchomienie technik, które zawiodły, po strojeniu - w tym samym projekcie, jeśli czas na to pozwala
Co Państwo otrzymują
- Tabela wyników technika po technice, ze znacznikami czasu po obu stronach
- Konkretne brakujące źródła logów, a nie samo stwierdzenie, że pokrycie było niskie
- Propozycje logiki detekcji napisane w języku zapytań, z którego Państwo faktycznie korzystają
- Krótka lista tego, co naprawić najpierw, uszeregowana według powszechności techniki
- Omówienie z zespołem detekcji
- List poświadczający dla audytorów i klientów, na życzenie
- Poświadczenie naprawy po ponownym teście, jako odrębny dokument
Kształt projektu
- Zakres ustalany indywidualnieSpisany przed rozpoczęciem testów. Od dwóch do pięciu dni na miejscu lub zdalnieTypowe okno. Budowane wokół Państwa terminu, jeśli taki istnieje. Jak działa wycena
Co zwykle z tego wychodzi
Częstym wynikiem nie jest brak detekcji. Jest nim to, że telemetria istnieje, reguła istnieje, a te dwie rzeczy się nie spotykają: reguła odpytuje tabelę, do której właściwe źródło logów nie pisze, albo filtruje po nazwie procesu, której technika nie używa, albo kieruje alert na kanał, którego o drugiej w nocy nikt nie czyta. Wszystko to jest tanie w naprawie, gdy ktoś udowodni, że faktycznie się dzieje.
Drugim częstym wynikiem jest technika, która zostawia całkowicie poprawny wpis w logach, którego nic nie odpytuje. To najtańsze ustalenie z tej listy i zarazem najłatwiejsze do przeoczenia przy przeglądzie dokumentacji.
Jak przebiega sesja
Najpierw uzgadniamy listę technik, żeby nikogo nie zaskoczyć i żeby Państwa zespół mógł przygotować zapytania. W dniu ćwiczenia wykonujemy każdą technikę po kolei, zapowiadając ją w trakcie, a Państwa zespół raportuje, co widzi i kiedy. Obie strony notują znaczniki czasu. Gdy jakaś technika nic nie wytwarza, zatrzymujemy się i ustalamy, czy problem leży w źródle logów, w regule, czy w kierowaniu alertów, zanim pójdziemy dalej.
Czym to nie jest
To ćwiczenie oparte na współpracy, nie na ukryciu. Jeśli chcą Państwo wiedzieć, czy Państwa zespół wyłapie kogoś, kto stara się nie dać złapać, to ocena Red Team, która mierzy co innego. Nie prowadzimy też, nie monitorujemy ani nie obsadzamy Państwa zdolności detekcyjnej. Testujemy ją, pomagamy ją dostroić i oddajemy w ręce tych, do których należy.
Pytania
Potrzebne jest miejsce, do którego trafiają logi, i ktoś, kto potrafi je odpytać. Nie musi to być dojrzałe. Niektóre z najbardziej przydatnych sesji odbyły się z zespołem trzy miesiące po wdrożeniu SIEM, który chciał wiedzieć, które z jego założeń się bronią.
Uzgodnione z wyprzedzeniem na podstawie MITRE ATT&CK, z przewagą tego, co naprawdę widujemy w użyciu: dostęp do danych logowania, ruch boczny, nadużycia certyfikatów i utrzymanie dostępu. Jeśli mają Państwo konkretny model zagrożeń albo niedawny incydent w branży, który chcą Państwo pokryć, proszę go przynieść.
Proponujemy logikę i przekazujemy projekty zapytań w języku, którego Państwo używają, najczęściej KQL dla Microsoft Sentinel. To Państwa zespół je przejmuje, testuje i wdraża, bo reguły, których nikt w firmie nie rozumie, stają się kolejną luką.
Tak, a tam, gdzie okno projektu na to pozwala, uruchamiamy nieudane techniki ponownie w tej samej sesji - to najszybsza pętla informacji zwrotnej, jaka istnieje.
Indywidualnie, według wielkości listy technik i długości okna. Spisane po rozmowie.
Proszę dobrze określić zakres przed zakupem.
Trzydzieści minut rozmowy, stała cena na piśmie w ciągu 24 godzin i uczciwa odpowiedź, jeśli to nie jest projekt, którego Państwo potrzebują.