Red Team Exercise: co obejmuje kontrolowane zlecenie

Co to jest

Red Team Exercise to ukierunkowana na cel symulacja przeciwnika prowadzona w ścisłych ramach nadzoru. Może obejmować autoryzowany rekonesans, uzgodnione cele uzyskania początkowego dostępu, ograniczony ruch boczny oraz obserwacje wykrywania i reagowania, ale wyłącznie wtedy, gdy działania te zostały dopuszczone na piśmie. Sukces nie jest definiowany wyłącznie jako uzyskanie dostępu. Użyteczne ćwiczenie może pokazać, gdzie komunikacja, eskalacja, kontrola tożsamości, widoczność, podejmowanie decyzji lub koordynacja reakcji wymagają uwagi, nawet jeśli cel nie zostanie osiągnięty. Dowody mają charakter wyłącznie potwierdzający i są obsługiwane zgodnie z uzgodnionym procesem. Socjotechnika jest domyślnie wyłączona i wymagałaby wyraźnej, zgodnej z prawem zgody w odrębnym zakresie. Działania typu odmowa usługi, działania destrukcyjne, OT/ICS, środowiska krytyczne dla bezpieczeństwa, systemy dostawców bez ich zgody oraz eksfiltracja danych wykraczająca poza uzgodnione artefakty potwierdzające pozostają domyślnie wyłączone.

Dla kogo

To zlecenie jest odpowiednie dla zespołów, które:

• Mają poparcie kierownictwa dla nadzorowanego ćwiczenia sprawdzającego wybrane założenia dotyczące obrony, wykrywania, komunikacji i reagowania
• Potrzebują, aby interesariusze z obszaru bezpieczeństwa, wykrywania, inżynierii i reagowania uczyli się na podstawie tych samych autoryzowanych dowodów i wspólnego podsumowania
• Mogą zatwierdzić jednoznaczne cele, założenia, dozwolone metody, zakazane działania, kontakty, okna wyłączone i warunki przerwania
• Chcą ocenić ścieżki ukierunkowane na cel w kontrolowanym, autoryzowanym ćwiczeniu

Co pomaga wyjaśnić

Zlecenie pomaga wyjaśnić:

• Czy uzgodnione kontrole prewencyjne, granice tożsamości, sygnały wykrywania, ścieżki komunikacji i decyzje dotyczące reakcji wspierają określone cele
• Jak autoryzowana ścieżka przebiegała w ramach zasad i gdzie zespół zaobserwował lukę w przekazaniu, widoczności, eskalacji lub podejmowaniu decyzji
• Które ustalenia są poparte artefaktami potwierdzającymi, a które pozostają poza zakresem, ponieważ cel, metoda, dostawca lub środowisko zostały wyłączone
• Które priorytety naprawcze lub dalsze oceny są właściwe

Co jest zawarte

• Podpisana autoryzacja kierownictwa, pisemne zasady prowadzenia testów, zatwierdzone cele, założenia, dozwolone metody, zakazane działania, kontakty, zasady komunikacji i warunki natychmiastowego przerwania
• Okna wyłączone, ustalenia dotyczące wstrzymania i powiadomienie dostawców, jeśli jest wymagane
• Autoryzowany rekonesans, uzgodnione cele uzyskania początkowego dostępu i ograniczony ruch boczny wyłącznie w ramach zasad
• Obserwacje wykrywania i reagowania, dowody o charakterze wyłącznie potwierdzającym, bezpieczne postępowanie z nimi, raportowanie, artefakty do odtworzenia przebiegu i wspólne podsumowanie
• Ustalenia dla kierownictwa i zespołów technicznych wraz z ograniczeniami i wskazówkami naprawczymi uszeregowanymi według priorytetu

Co nie jest uwzględnione

• Nieautoryzowane lub nieograniczone działania, odmowa usługi, działania destrukcyjne ani taktyki zakłócania działania
• Domyślnie: socjotechnika, technologia operacyjna, przemysłowe systemy sterowania, środowiska krytyczne dla bezpieczeństwa, dostawcy bez ich zgody i systemy stron trzecich
• Eksfiltracja danych wykraczająca poza uzgodnione artefakty potwierdzające, certyfikacja, poświadczenie zgodności, ciągły monitoring, SOC, MDR ani reagowanie na trwające incydenty
• Obietnice wykrycia każdej słabości, udanego włamania, skutecznego wykrycia, zatwierdzenia bezpieczeństwa ani równoważności z rzeczywistym atakującym

Kiedy to wybrać

Red Team Exercise warto wybrać, gdy kierownictwo ma określony cel i chce zrozumieć, jak wybrane kontrole organizacyjne współdziałają pod nadzorowaną presją. Dobrze pasuje po wdrożeniu podstawowych praktyk bezpieczeństwa, ustaleniu odpowiedzialności i kontaktów do reagowania oraz wtedy, gdy interesariusze mogą zobowiązać się do procesu opartego na pisemnych zasadach prowadzenia testów. Sprawdza się przy autoryzowanych, niezakłócających działania testach uzgodnionych celów, a socjotechnika jest uwzględniana wyłącznie po odrębnej zgodzie. Do ukierunkowanego przeglądu słabości technicznych bardziej odpowiedni może być standardowy test penetracyjny. Trwający incydent wymaga odrębnych ustaleń dotyczących reagowania. Ćwiczenie należy planować dopiero wtedy, gdy sponsorzy, właściciele techniczni i właściwi dostawcy mogą wspierać uzgodnione zabezpieczenia.

Nasze podejście

Ćwiczenie budujemy wokół celu organizacyjnego i zabezpieczeń, które utrzymują proporcjonalność prac. Etap planowania potwierdza podpisane upoważnienie, granice celów, założenia, dozwolone metody, zakazane działania, postępowanie z dowodami, okna wyłączone, wskazane kontakty, komunikację i warunki natychmiastowego przerwania. Autoryzowany zespół podąża następnie wyłącznie uzgodnionymi ścieżkami, rejestruje dowody o charakterze wyłącznie potwierdzającym i natychmiast wstrzymuje prace, gdy zachodzi warunek przerwania lub obowiązuje okno wyłączone. Obserwacje wykrywania i reagowania są zapisywane jako wiedza organizacyjna, powiązana z kontrolami, których ćwiczenie faktycznie dotyczyło. Po ćwiczeniu interesariusze z kierownictwa i zespołów technicznych otrzymują jasną narrację, ustalenia techniczne, artefakty do odtworzenia przebiegu, ograniczenia i uszeregowane według priorytetu pytania do dalszych działań. Wspólne podsumowanie łączy te ustalenia z planowaniem napraw po stronie klienta, pozostawiając ciągły monitoring, reagowanie na żywo i szersze zapewnienia poza zleceniem. Zachowuje to dyscyplinę określonego ćwiczenia, a jednocześnie daje liderom użyteczne dowody do kolejnej decyzji.

Często zadawane pytania

Artykuły pokrewne