Assumed breach e prontidão para ransomware
Todo incidente de ransomware dos últimos cinco anos teve o mesmo primeiro ato: alguém conseguiu uma credencial. A parte interessante é o que aconteceu nos oito dias seguintes. Começamos onde o atacante começou e medimos a distância, incluindo a parte que a maioria dos testes pula: se os seus backups são alcançáveis a partir daquilo que você está fazendo backup.
O que está incluído
- Um ponto de apoio inicial concedido, acordado de antemão
- Mapeamento do raio de impacto a partir desse ponto de apoio
- Alcance do backup e da recuperação a partir de privilégio comprometido
- Exposição de credenciais: em cache, armazenadas e em scripts em compartilhamentos alcançáveis
- Caminhos de saída disponíveis para preparação e exfiltração
- Quando possível, se a sua ferramenta registrou alguma coisa disso
O que você recebe
- Mapa do raio de impacto: até onde chega um ponto de apoio e em quantos saltos
- Achado explícito sobre a sobrevivência dos backups
- Evidência de cada sistema alcançável, com o caminho percorrido
- Correção ordenada por quanto do raio cada mudança elimina
- Apresentação ao vivo
- Carta de atestado para auditores e clientes, mediante solicitação
- Atestado de correção após o reteste, como documento separado
Formato do projeto
- A partir de US$ 1.500Fixado por escrito antes de os testes começarem. 5 a 10 dias úteisJanela usual. Construída em torno do seu prazo, se houver. Como funcionam os preços
A pergunta sobre backup, feita do jeito certo
A maioria das organizações consegue dizer se existem backups e se as restaurações foram testadas. Menos conseguem responder à pergunta que decide o desfecho de um incidente de ransomware: a conta que acaba como administrador de domínio também consegue excluir, criptografar ou alterar os backups? Se o servidor de backup está no domínio, se a conta de serviço de backup é administradora de domínio, ou se o armazenamento imutável está protegido apenas por uma credencial alcançável, então os backups fazem parte do raio de impacto em vez de serem a saída dele.
Testamos esse caminho específico e o reportamos como um achado nomeado, seja a resposta boa ou ruim, porque é essa a pergunta que o seu conselho vai fazer.
Nada é criptografado
Não implantamos ransomware, simulado ou não, e não criptografamos nada. A prontidão é medida demonstrando o acesso que tornaria a criptografia possível: mostramos que esta conta consegue escrever naquele compartilhamento, excluir aqueles snapshots e alcançar aquele catálogo de backup, e aí paramos. A evidência é uma listagem de diretório e uma prova de permissões, não um estrago.
Onde isto se encaixa entre os outros projetos
Se você quer o levantamento completo do que está errado em todo o parque, isso é um projeto de rede ou de Active Directory. Se você quer saber se os seus defensores pegam alguém se movendo, isso é purple team ou uma avaliação de Red Team. Este projeto responde a uma pergunta mais estreita e mais acionável: dado um comprometimento, quanto do negócio fica a jusante dele?
Perguntas
Não. Nada é criptografado e nada é destruído. Provamos o acesso que tornaria a criptografia possível e paramos aí, com provas de permissão e listagens de diretório como evidência.
Do que for realista para o seu modelo de ameaça e acordado de antemão. Normalmente uma conta de usuário de domínio padrão, ou acesso local em uma estação como se um notebook tivesse caído em phishing. Ambos são definidos por escrito.
Testamos se eles são alcançáveis e modificáveis a partir do privilégio que um atacante obteria. Essa é uma pergunta diferente de saber se as restaurações funcionam, algo que a sua própria equipe deveria exercitar; e diremos isso no relatório se parecer que ninguém está fazendo.
De cinco a dez dias úteis, dependendo do tamanho do parque e de quantos sistemas distintos de backup e armazenamento estão no escopo.
A partir de US$ 1.500, com escopo semelhante ao de um projeto de rede interna.
Defina bem o escopo antes de comprar.
Trinta minutos de conversa, um preço fixo por escrito em até 24 horas e uma resposta honesta se este não for o projeto de que você precisa.