Purple team
Tespit kapsaması genellikle bir çerçevenin yüzdesi olarak anlatılır. O sayı, kural adlarını okumaktan çıkar. Bir kuralın tetiklenip tetiklenmediğini öğrenmenin tek yolu, birinin konsolu izlediği sırada o kuralın yakalaması gereken şeyi yapmak ve ne belirdiğini yazmaktır.
Neler dahil
- MITRE ATT&CK'ten ve sahada gördüklerimizden derlenmiş, önceden mutabık kalınmış bir teknik listesi
- Tespit ekibinizle yan yana, gerçek zamanlı yürütme
- Teknik başına sonuç: uyarı üretti, uyarı üretmeden günlüğe yazıldı ya da hiç telemetri yok
- Az kalsın tetiklenecek kurallar için ince ayar önerileri
- Zaman elverdiğinde, ince ayardan sonra başarısız tekniklerin aynı proje içinde yeniden çalıştırılması
Ne alırsınız
- İki taraftan da zaman damgalarıyla, teknik teknik sonuç tablosu
- Yalnızca kapsamanın düşük olduğu değil, eksik olan belirli günlük kaynakları
- Gerçekte kullandığınız sorgu dilinde yazılmış tespit mantığı önerileri
- Önce neyin düzeltileceğine dair kısa bir liste; tekniğin yaygınlığına göre sıralanır
- Tespit ekibiyle değerlendirme
- Talep üzerine denetçiler ve müşteriler için doğrulama mektubu
- Yeniden testten sonra, ayrı bir belge olarak giderme doğrulaması
Projenin biçimi
- Tek tek kapsamlandırılırTestler başlamadan önce yazılı olarak sabitlenir. Yerinde ya da uzaktan iki ila beş günOlağan pencere. Varsa son tarihinize göre kurgulanır. Fiyatlandırma nasıl işler
Genellikle ne çıkar
Sık karşılaşılan sonuç, tespitin hiç olmaması değildir. Telemetri vardır, kural vardır, ama ikisi buluşmaz: kural, ilgili günlük kaynağının yazmadığı bir tabloyu sorgular; ya da tekniğin kullanmadığı bir süreç adına göre filtreler; ya da gece ikide kimsenin okumadığı bir kanala düşer. Birinin bunun olduğunu kanıtlamasının ardından, bunların hepsini düzeltmek ucuzdur.
İkinci sık sonuç, hiçbir şeyin sorgulamadığı, gayet düzgün bir günlük kaydı üreten bir tekniktir. Bu listedeki en ucuz bulgudur ve yalnızca belge incelemesiyle gözden kaçması en kolay olanıdır.
Bir oturum nasıl işler
Önce teknik listesinde anlaşırız; böylece kimse şaşırmaz ve ekibiniz sorgularını hazırlayabilir. Gün geldiğinde her tekniği sırayla uygular, uygularken duyurur, ekibiniz de ne gördüğünü ve ne zaman gördüğünü bildirir. İki taraf da zaman damgası kaydeder. Bir teknik hiçbir şey üretmediğinde durur ve devam etmeden önce sorunun günlük kaynağında mı, kuralda mı, yoksa yönlendirmede mi olduğunu belirleriz.
Bu ne değildir
Bu, gizli değil işbirlikçi bir tatbikattır. Ekibinizin, yakalanmamaya çalışan birini yakalayıp yakalamadığını bilmek istiyorsanız, o bir Red Team değerlendirmesidir ve başka bir şeyi ölçer. Ayrıca tespit yeteneğinizi işletmez, izlemez ya da kadro sağlamayız. Onu test eder, ince ayarına yardım eder ve sahiplerine geri veririz.
Sorular
Günlüklerin düştüğü bir yere ve onları sorgulayabilen birine ihtiyacınız var. Olgun olması şart değil. En yararlı oturumlardan bazıları, SIEM kurulumunun üçüncü ayındaki, hangi varsayımlarının tuttuğunu öğrenmek isteyen bir ekiple yapıldı.
MITRE ATT&CK'ten önceden mutabık kalınarak seçilir ve gerçekte kullanıldığını gördüklerimize ağırlık verilir: kimlik bilgisi erişimi, yanal hareket, sertifika istismarı ve kalıcılık. Kapsanmasını istediğiniz belirli bir tehdit modeliniz ya da sektörünüzde yaşanan güncel bir olay varsa getirin.
Mantığı öneririz ve kullandığınız dilde sorgu taslakları teslim ederiz; genellikle Microsoft Sentinel için KQL. Onları sahiplenmek, test etmek ve yayına almak ekibinize düşer; çünkü kurumda kimsenin anlamadığı kurallar bir sonraki boşluğa dönüşür.
Evet; projenin zaman penceresi elverdiğinde başarısız teknikleri aynı oturumda yeniden çalıştırırız. Bu, mevcut en hızlı geri bildirim döngüsüdür.
Tek tek; teknik listesinin büyüklüğüne ve pencerenin uzunluğuna göre. Görüşmeden sonra yazılı olarak sabitlenir.
Satın almadan önce kapsamını doğru belirleyin.
Görüşmede otuz dakika, 24 saat içinde yazılı sabit fiyat ve ihtiyacınız olan proje bu değilse dürüst bir yanıt.