Ocena Red Team
Test penetracyjny pyta, jak wiele jest nie tak. Ocena Red Team zadaje zamiast tego jedno pytanie: czy możemy dotrzeć do konkretnej rzeczy, na której Państwu zależy, i czy ktoś nas po drodze zatrzyma? Wynikiem nie jest liczba ustaleń. To oś czasu tego, co zrobiliśmy, zestawiona z tym, co Państwo zobaczyli.
Co obejmuje
- Cel, który definiują Państwo: zbiór danych, system, transakcja, poziom uprawnień
- Realistyczna pozycja startowa uzgodniona z wyprzedzeniem
- Ciche działanie, z narzędziami i czasem dobranymi tak, by unikać oczywistych sygnatur
- Pełny dziennik aktywności ze znacznikami czasu, aby każde działanie dało się zestawić
- Zestawienie detekcji z tym, co Państwa zespół rzeczywiście zobaczył
Co Państwo otrzymują
- Narracyjna oś czasu operacji, godzina po godzinie
- Zestawienie naszych działań i Państwa alertów obok siebie
- Konkretne luki, przez które każdy etap przeszedł niezauważony
- Naprawy rozdzielone na to, co poprawić, i to, co wykrywać
- Omówienie na żywo zarówno ze stroną inżynierską, jak i detekcyjną
- List poświadczający dla audytorów i klientów, na życzenie
- Poświadczenie naprawy po ponownym teście, jako odrębny dokument
Kształt projektu
- Zakres ustalany indywidualnieSpisany przed rozpoczęciem testów. Zwykle od dwóch do czterech tygodniTypowe okno. Budowane wokół Państwa terminu, jeśli taki istnieje. Jak działa wycena
Dla większości firm to niewłaściwy projekt
Warto powiedzieć to wprost, bo zwykle jest to droższa opcja i często nie ta, która pomaga. Ocena Red Team mierzy Państwa detekcję i reakcję. Jeśli już wiedzą Państwo, że pokrycie detekcją jest słabe, albo w ostatnim roku nie było testu penetracyjnego, więcej za tę samą złotówkę przyniesie najpierw znalezienie i naprawienie tego, co naprawdę jest zepsute.
Red teaming zasługuje na swoje miejsce wtedy, gdy mają Państwo działającą zdolność detekcji i muszą wiedzieć, czy sprawdza się wobec kogoś, kto stara się nie dać złapać. Jeśli to jeszcze nie Państwa sytuacja, proszę powiedzieć o tym podczas rozmowy, a ustalimy zakres projektu, który faktycznie jest potrzebny.
Najpierw zasady prowadzenia działań
Cel, techniki dozwolone, techniki zabronione, tożsamości i systemy w zakresie, okno czasowe, kontakt alarmowy i procedura przerwania - wszystko jest uzgadniane na piśmie i podpisywane, zanim cokolwiek się zacznie. Wskazana z nazwiska osoba po Państwa stronie wie, że test trwa, nawet jeśli szerszy zespół nie wie, i istnieje numer telefonu, który natychmiast go zatrzymuje.
Czym to nie jest
Bez działań destrukcyjnych. Bez wyprowadzania prawdziwych danych: osiągnięcie celu udowadniamy plikiem-wabikiem albo skrótem, a nie wynoszeniem Państwa rekordów klientów poza sieć. Bez włamań fizycznych i bez niecelowanego phishingu pracowników spoza uzgodnionej listy. Każde z tych działań jest dostępne jako osobno wyceniona praca, jeśli sobie Państwo tego życzą.
Pytania
Pokrycie kontra cel. Test penetracyjny wylicza jak najwięcej w obrębie zakresu i raportuje wszystko, co znajdzie. Ocena Red Team wybiera jeden cel i obiera do niego najcichszą dostępną drogę, co oznacza, że celowo zostawia większość Państwa środowiska nieprzetestowaną.
To Państwa decyzja i zostaje zapisana w zasadach prowadzenia działań. Najwięcej wartości daje sytuacja, w której szerszy zespół nie wie, ale wie co najmniej jedna wskazana z nazwiska osoba - tak, by można było ćwiczenie zatrzymać i by prawdziwy incydent nigdy nie został pomylony z testem.
Na podstawie ustaleń: zwykle jest to wcześniej umieszczony plik-wabik, skrót rekordu zamiast samego rekordu albo zrzut ekranu z zasłoniętą w momencie wykonania treścią wrażliwą. Ze środowiska nie wychodzi nic, na co nie umówiliśmy się, że może wyjść.
Zwykle od dwóch do czterech tygodni, bo działanie po cichu oznacza czekanie, a nie pośpiech. Okno ustalamy w ofercie.
Indywidualnie. Cel, pozycja startowa i długość okna ważą więcej niż jakakolwiek efektowna liczba opisująca zakres, więc cenę ustalamy w rozmowie i zapisujemy.
Proszę dobrze określić zakres przed zakupem.
Trzydzieści minut rozmowy, stała cena na piśmie w ciągu 24 godzin i uczciwa odpowiedź, jeśli to nie jest projekt, którego Państwo potrzebują.