Red Team Exercise: co zahrnuje řízená zakázka

Co to je?

Red Team Exercise je simulace protivníka vedená cílem, prováděná v přísném rámci řízení. Může zahrnovat autorizovaný průzkum, dohodnuté cíle počátečního přístupu, ohraničený laterální pohyb a pozorování detekce a reakce, avšak pouze tam, kde jsou tyto činnosti písemně povoleny. Úspěch není definován pouze jako získání přístupu. Užitečné cvičení může ukázat, kde komunikace, eskalace, kontroly identit, viditelnost, rozhodování nebo koordinace reakce vyžadují pozornost, i když cíle dosaženo není. Důkazy slouží výhradně jako doklad a nakládá se s nimi podle dohodnutého postupu. Sociální inženýrství je ve výchozím stavu vyloučeno a vyžadovalo by výslovné, zákonné a samostatně vymezené schválení. Činnosti typu odepření služby, destruktivní akce, OT/ICS, prostředí kritická z hlediska bezpečnosti, systémy dodavatelů bez jejich souhlasu a vynášení dat nad rámec dohodnutých dokladových artefaktů zůstávají ve výchozím stavu vyloučeny.

Pro koho to je?

Tato zakázka je vhodná pro týmy, které:

• Mají podporu vedení pro řízené cvičení, které prověří vybrané předpoklady obrany, detekce, komunikace a reakce
• Potřebují, aby se zainteresované strany z bezpečnosti, detekce, vývoje a reakce učily ze stejných autorizovaných důkazů a společného vyhodnocení
• Dokážou schválit výslovné cíle, záměry, povolené metody, zakázané akce, kontakty, okna zákazu činnosti a podmínky zastavení
• Chtějí posoudit cesty vedené cílem v řízeném a autorizovaném cvičení

Co to pomůže objasnit

Zakázka pomáhá ujasnit:

• Zda dohodnuté preventivní kontroly, hranice identit, detekční signály, komunikační cesty a rozhodnutí o reakci podporují stanovené cíle
• Jak autorizovaný postup v rámci pravidel pokračoval a kde tým zaznamenal mezeru v předávání, viditelnosti, eskalaci nebo rozhodování
• Která zjištění jsou podložena dokladovými artefakty a která zůstávají mimo rozsah, protože cíl, metoda, dodavatel nebo prostředí byly vyloučeny
• Které priority nápravy nebo navazující posouzení jsou vhodné

Co je zahrnuto

• Podepsaná autorizace vedení, písemná pravidla zapojení, schválené cíle, záměry, povolené metody, zakázané akce, kontakty, pravidla komunikace a podmínky okamžitého zastavení
• Okna zákazu činnosti, ujednání o pozastavení a informování poskytovatelů, pokud je potřeba
• Autorizovaný průzkum, dohodnuté cíle počátečního přístupu a ohraničený laterální pohyb pouze v rámci pravidel
• Pozorování detekce a reakce, důkazy sloužící výhradně jako doklad, bezpečné nakládání s nimi, reporting, artefakty pro přehrání průběhu a společné vyhodnocení
• Manažerská a technická zjištění s omezeními a prioritizovanými doporučeními k nápravě

Co není součástí

• Neautorizovaná nebo neomezená činnost, odepření služby, destruktivní akce ani taktiky provozního narušení
• Sociální inženýrství ve výchozím stavu, provozní technologie, průmyslové řídicí systémy, prostředí kritická z hlediska bezpečnosti, dodavatelé bez souhlasu a systémy třetích stran
• Vynášení dat nad rámec dohodnutých dokladových artefaktů, certifikace, osvědčení o souladu, průběžný monitoring, SOC, MDR ani živá reakce na incidenty
• Přísliby odhalení každé slabiny, úspěšné kompromitace, úspěšné detekce, bezpečnostního schválení nebo rovnocennosti se skutečným útočníkem

Kdy si ji vybrat

Red Team Exercise zvolte, když má vedení definovaný cíl a chce pochopit, jak vybrané organizační kontroly spolupracují pod řízeným tlakem. Dobře se hodí poté, co jsou zavedeny základní bezpečnostní postupy, vlastnictví a kontakty pro reakci, a když se zainteresované strany mohou zavázat k procesu písemných pravidel zapojení. Hodí se pro povolené testování dohodnutých cílů, které nenarušuje provoz, přičemž sociální inženýrství se zahrnuje jen se samostatným schválením. Pro cílený přezkum technických slabin může být vhodnější standardní penetrační test. Probíhající incident vyžaduje samostatné ujednání o reakci. Cvičení by mělo být naplánováno pouze tehdy, když sponzoři, techničtí vlastníci a relevantní poskytovatelé mohou dohodnuté kontroly podpořit.

Náš přístup

Cvičení rámujeme kolem organizačního cíle a ochranných opatření, která udržují práci přiměřenou. Fáze plánování potvrzuje podepsané oprávnění, hranice cílů, záměry, povolené metody, zakázané akce, nakládání s důkazy, okna zákazu činnosti, jmenované kontakty, komunikaci a podmínky okamžitého zastavení. Autorizovaný tým poté postupuje pouze dohodnutými cestami, zaznamenává důkazy sloužící výhradně jako doklad a okamžitě se zastaví, jakmile nastane podmínka zastavení nebo okno zákazu činnosti. Pozorování detekce a reakce se zachycují jako poznatky pro organizaci, propojené s kontrolami, kterých se cvičení skutečně dotklo. Po cvičení obdrží manažerské a technické zainteresované strany jasný popis průběhu, technická zjištění, artefakty pro přehrání průběhu, omezení a prioritizované navazující otázky. Společné vyhodnocení propojuje tato zjištění s plánováním nápravy, za kterou odpovídá klient, přičemž průběžný monitoring, živá reakce a širší ujištění zůstávají mimo zakázku. Zachovává se tak disciplína definovaného cvičení a vedení zároveň získává užitečné důkazy pro další rozhodnutí.

Často kladené otázky

Související články