Red Team Operations — μπορεί κάποιος να πετύχει τον στόχο χωρίς να τον δείτε;
Το ζητούμενο δεν είναι πόσες ευπάθειες υπάρχουν. Είναι αν κάποιος φτάνει στον στόχο.
Ορίζουμε μαζί σας έναν συγκεκριμένο επιχειρησιακό στόχο — πρόσβαση σε ένα σύστημα, σε ένα σύνολο δεδομένων, σε έναν λογαριασμό — και δοκιμάζουμε αν είναι εφικτός με τα μέσα που θα χρησιμοποιούσε ένας πραγματικός επιτιθέμενος. Παράλληλα καταγράφουμε τι είδε και τι δεν είδε η άμυνά σας.
Ένας κατάλογος ευρημάτων δεν απαντά στο ερώτημα της διοίκησης
Η διοίκηση δεν ρωτά πόσα CVE έχετε ανοιχτά. Ρωτά αν κάποιος μπορεί να φτάσει στα δεδομένα των πελατών, να σταματήσει την παραγωγή ή να μεταφέρει χρήματα.
Αυτά τα ερωτήματα δεν απαντιούνται με λίστα. Απαντιούνται μόνο όταν κάποιος προσπαθήσει — με χρόνο, με υπομονή, και χωρίς να έχει τη διευκόλυνση ενός προσυμφωνημένου καταλόγου στόχων.
Υπάρχει και δεύτερο σκέλος, εξίσου σημαντικό. Ακόμη κι αν η επίθεση πετύχει, το κρίσιμο ερώτημα είναι σε ποιο σημείο θα έπρεπε να είχε γίνει αντιληπτή και γιατί δεν έγινε.
Δύο υπηρεσίες που συχνά μπερδεύονται
| Κριτήριο | Penetration Testing | Red Team Operations |
|---|---|---|
| Ερώτημα | Ποιες αδυναμίες μπορούν να αξιοποιηθούν; | Είναι εφικτός ο συγκεκριμένος στόχος; |
| Εύρος | Ορισμένο σύστημα ή εφαρμογή | Ο οργανισμός, με έναν στόχο |
| Κάλυψη | Όσο το δυνατόν πληρέστερη | Όσο χρειάζεται για να φτάσουμε |
| Διάρκεια | Ημέρες | Εβδομάδες |
| Ομάδα άμυνας | Συνήθως ενημερωμένη | Συνήθως όχι |
| Μέσα | Τεχνικά | Τεχνικά, ανθρώπινα, ενίοτε φυσικά |
| Αποτέλεσμα | Ευρήματα με proof-of-concept | Η πορεία προς τον στόχο + τι εντόπισε η άμυνα |
Πότε τι. Αν δεν έχετε κάνει ποτέ δομημένο έλεγχο, ξεκινήστε από penetration testing — το red team σε οργανισμό με πολλά ανοιχτά βασικά δεν προσθέτει πληροφορία. Το red team έχει νόημα όταν υπάρχει ήδη άμυνα και θέλετε να μάθετε αν αντέχει.
Πέντε φάσεις, με γραπτά όρια
Τρία επίπεδα ταυτόχρονα
Τεχνολογία
Εκτεθειμένες υπηρεσίες, αδύναμα σημεία εισόδου, δικαιώματα που επιτρέπουν κλιμάκωση, διαδρομές που συνδέουν το περιφερειακό με το κρίσιμο.
Άνθρωποι
Πώς αντιδρά ο οργανισμός σε στοχευμένη προσπάθεια. Όχι για να «πιαστεί» κάποιος, αλλά για να φανεί αν οι διαδικασίες αναφοράς λειτουργούν στην πράξη.
Διαδικασίες & ανίχνευση
Σε ποιο βήμα υπήρχε σήμα και δεν αξιολογήθηκε. Ποιο alert έφτασε στο SOC και τι έγινε μετά. Πόσος χρόνος πέρασε από την πρώτη ένδειξη μέχρι την αντίδραση.
Η διαδρομή, η αντίδραση και το τι αλλάζει
Αφήγηση της επιχείρησης
Διαβάζεται και από μη τεχνικό αναγνώστη.
- Πλήρες χρονολόγιο: κάθε βήμα, πότε, τι πέτυχε
- Ποιο μέσο χρησιμοποιήθηκε σε κάθε φάση
- Ο χρόνος από την πρώτη πρόσβαση μέχρι τον στόχο
Αποτίμηση ανίχνευσης
Αντιπαραβολή με τα δικά σας δεδομένα.
- Τι κατέγραψε το σύστημα και τι σήμανε
- Τι έφτασε σε άνθρωπο και τι αγνοήθηκε
- Σε ποιο βήμα υπήρχε σήμα που χάθηκε
Ευρήματα, αποκατάσταση & debrief
Το πιο χρήσιμο μέρος του engagement.
- Τα ευρήματα που έκαναν την πορεία εφικτή
- Ιεράρχηση κατά το πόσο συντόμευσαν τη διαδρομή
- Κοινή συνάντηση offensive και defensive πλευράς
Απάντηση σε τέσσερα ερωτήματα που ρωτά η διοίκηση
Τι μαθαίνει η διοίκηση
Με στοιχεία, όχι εκτιμήσεις.
- Είναι εφικτός ο στόχος; Ναι ή όχι, με απόδειξη.
- Πόσο γρήγορα; Ο χρόνος από την πρώτη πρόσβαση μέχρι τον στόχο είναι το πιο χρήσιμο μέγεθος που θα πάρετε.
- Θα το βλέπαμε; Σε ποιο βήμα υπήρχε σήμα και τι έγινε με αυτό.
- Τι αλλάζει αν διορθώσουμε τρία πράγματα; Ποιες διορθώσεις θα είχαν σταματήσει ή καθυστερήσει ουσιαστικά την πορεία.
Ελεγχόμενη εκτέλεση
Ισχύουν σε κάθε επιχείρηση, γραπτά.
- Γραπτή εξουσιοδότηση και ρητά εξαιρούμενα συστήματα.
- Ορισμένο σημείο επαφής για άμεση διακοπή, οποιαδήποτε στιγμή.
- Καμία καταστροφική ενέργεια.
- Καμία εξαγωγή πραγματικών δεδομένων πελατών πέρα από την ελάχιστη απόδειξη πρόσβασης.
- MITRE ATT&CK για τη χαρτογράφηση τεχνικών · PTES για τη δομή.
Συχνές ερωτήσεις για Red Team Operations
Χρειάζεται να ξέρει η ομάδα ασφάλειας ότι γίνεται;
Στην κλασική μορφή, όχι — αυτό είναι που καθιστά την αποτίμηση ανίχνευσης αξιόπιστη. Γνωρίζει πάντα ένας περιορισμένος κύκλος στη διοίκηση, ώστε να μπορεί να διακοπεί άμεσα αν χρειαστεί.
Πόσο διαρκεί;
Τυπικά τρεις έως έξι εβδομάδες, ανάλογα με τον στόχο και το μέγεθος του οργανισμού. Μικρότερη διάρκεια συνήθως σημαίνει ότι ζητάτε penetration test, όχι red team.
Τι γίνεται αν πετύχει από την πρώτη εβδομάδα;
Σταματάμε, το αναφέρουμε αμέσως, και συμφωνούμε αν θα συνεχίσουμε με δεύτερο στόχο ή αν το engagement ολοκληρώθηκε. Δεν «τραβάμε» χρόνο για να γεμίσει η αναφορά.
Περιλαμβάνει phishing;
Όπου συμφωνηθεί. Το social engineering είναι ένα από τα διαθέσιμα μέσα, όχι υποχρεωτικό. Μπορεί επίσης να παραγγελθεί αυτόνομα ως ξεχωριστή υπηρεσία.
Περιλαμβάνει φυσική πρόσβαση;
Μόνο αν περιλαμβάνεται ρητά στο scope και υπάρχει γραπτή εξουσιοδότηση από τον ιδιοκτήτη ή τον διαχειριστή του χώρου.
Πώς αποφεύγεται η διακοπή της παραγωγής;
Με ρητά εξαιρούμενα συστήματα, με συμφωνημένους κανόνες για το τι δεν αγγίζεται, και με σημείο επαφής που μπορεί να σταματήσει την επιχείρηση οποιαδήποτε στιγμή.
Είναι το ίδιο με προσομοίωση ransomware;
Όχι. Η προσομοίωση ransomware είναι εστιασμένο σενάριο γύρω από ένα συγκεκριμένο είδος περιστατικού. Το red team ορίζει επιχειρησιακό στόχο και επιλέγει ελεύθερα τη διαδρομή.
Ορίστε τον στόχο — εμείς θα δοκιμάσουμε αν είναι εφικτός
Πείτε μας τι θα ήταν το χειρότερο σενάριο για τον οργανισμό σας και ποιες άμυνες θεωρείτε ότι το αποτρέπουν. Θα προτείνουμε σενάριο, διάρκεια και όρια — και θα σας πούμε ευθέως αν ένα penetration test θα σας έδινε περισσότερη αξία αυτή τη στιγμή.
Red Team Operations — αίτημα επικοινωνίας
Έξι πεδία. Απαντάμε με πρόταση εύρους και επόμενα βήματα, όχι με αυτόματη τιμή.
Προτιμάτε απευθείας επικοινωνία; [email protected] · +30 210 9839367