Red Teaming e test di penetrazione basati sulle minacce

Verifica se riusciresti davvero a sventare un attacco

Il red teaming e i test basati sulle minacce vanno oltre l’individuazione delle vulnerabilità. Servono a valutare se il tuo team è in grado di individuare, rispondere e bloccare un attacco reale e mirato.

Parla di un intervento del Red Team

Dalla scansione delle vulnerabilità alla vera resilienza

Un test di penetrazione ti chiede quali sono i punti deboli. Il red teaming si chiede se il tuo team se ne accorgerebbe. Il test di penetrazione basato sulle minacce fa un passo in più. Usa informazioni reali sulle minacce per simulare gli avversari che con maggiore probabilità ti prenderanno di mira. Questo è il modello alla base di TIBER-EU e delle aspettative avanzate in materia di test di resilienza previste dal DORA per gli enti finanziari interessati.

evoila progetta interventi mirati, in linea con il modello MITRE ATT&CK, che mettono alla prova l’intera catena difensiva: prevenzione, rilevamento e risposta. Dato che evoila gestisce anche servizi SOC/MDR, l’intervento non si limita alla prospettiva dell’attaccante. Valuta come la tua configurazione difensiva si comporta realmente sotto pressione.

Vantaggi aziendali:

  • Misura la capacità di rilevamento e risposta, non solo l’esposizione alle vulnerabilità
  • Scenari basati sull’intelligence delle minacce, in linea con le aspettative di TIBER-EU e DORA
  • Un parametro di riferimento realistico per valutare il livello di preparazione di consigli di amministrazione, autorità di vigilanza e compagnie assicurative

Chiediti: in quanto tempo riusciamo a individuare e bloccare una violazione prima che si diffonda?

La maggior parte delle organizzazioni non si è mai posta la domanda più importante in caso di una vera e propria violazione: quanto ci metteremmo a rilevarla e riusciremmo a fermarla prima che il danno si diffonda?

La sfida

Un pentest ben fatto non dimostra che riusciresti a individuare un attacco

Molte organizzazioni superano i test di penetrazione, ma non hanno mai verificato se un aggressore silenzioso e paziente verrebbe effettivamente individuato. Gli strumenti di sicurezza generano avvisi, ma senza una campagna realistica e evasiva, nessuno sa su quali segnali il team interverrebbe, quali rilevamenti fallirebbero e per quanto tempo un aggressore potrebbe muoversi prima che qualcuno reagisca. Per gli istituti finanziari, ormai si tratta di una questione non solo di sicurezza, ma anche normativa. Il regolamento DORA richiede test avanzati di resilienza, mentre TIBER-EU fornisce l’approccio europeo consolidato.

Tempo di permanenza non rilevato

Gli hacker si muovono in silenzio negli ambienti per settimane quando i sistemi di rilevamento e risposta non sono mai stati testati insieme. Quando finalmente qualcuno se ne accorge, il danno è già fatto.

Investimenti nella sicurezza senza alcuna prova

Gli strumenti EDR, SIEM e SOC sono già in uso, ma la loro efficacia contro un avversario realistico e abile nell’eludere i controlli non è ancora stata testata. I fondi sono stati spesi, ma non si sa a che punto siamo con la preparazione.

Rischi di non conformità per i soggetti regolamentati

Gli enti finanziari soggetti alla normativa DORA devono eseguire test in stile TLPT secondo quadri di riferimento come il TIBER-EU. Le organizzazioni che non hanno un percorso per adeguarsi a tale standard si trovano ad affrontare un rischio normativo sempre maggiore.

Piani di risposta agli incidenti che non reggono

I piani di risposta sembrano solidi sulla carta. Ma crollano quando un vero aggressore è già dentro, il tempo stringe e il team non ha mai provato quello scenario.

La buona notizia: ognuna di queste lacune è misurabile e risolvibile

Un’operazione ben gestita mette in luce dove la catena di uccisione è passata inosservata e cosa bisogna sistemare per primo.

La nostra soluzione

Iniziative mirate che rafforzano le tue difese


evoila progetta attività di red team e simulazioni basate sulle minacce partendo da obiettivi realistici, anziché da una semplice lista di controllo. L’attività parte dall’obiettivo dell’attaccante, ad esempio raggiungere i dati bancari fondamentali o provocare un impatto simile a quello di un ransomware in una zona OT, per poi risalire a ritroso fino a definire uno scenario di minaccia realistico. La campagna è allineata al modello MITRE ATT&CK, viene eseguita in fasi e valutata in base a ciò che i tuoi difensori rilevano effettivamente e al modo in cui reagiscono.

Progettazione dello scenario

Obiettivi basati sulle informazioni sulle minacce, personalizzati in base al tuo settore e al tuo profilo di rischio. Gli attacchi sono pensati in base a chi prende effettivamente di mira organizzazioni come la tua, non a schemi generici.

Simulazione dell’avversario

Test evasivi in più fasi che coprono l’accesso iniziale, il movimento laterale e l’impatto, in linea con l’intera kill chain di MITRE ATTandCK.

Purple teaming

I rossi e i blu collaborano in tempo reale per migliorare i rilevamenti, tecnica dopo tecnica. L’obiettivo è andare oltre la semplice valutazione.

Valutazione del rilevamento e della risposta

Misurare MTTD e MTTR in risposta a un attacco reale e realistico per definire un elenco concreto di azioni da intraprendere per migliorare il rilevamento.

Preparazione al TLPT

Aiutiamo gli istituti finanziari a prepararsi ai test in linea con lo standard TIBER-EU, come previsto dal DORA, fornendo la documentazione, la governance e la metodologia necessarie.

Tech-Deep-Dive

Come funziona un approccio basato sulle minacce

Un’attività di “red team” o TLPT è una campagna controllata e basata sull’intelligence che mette alla prova contemporaneamente persone, processi e tecnologia.

Prima di tutto, le informazioni sulle minacce

evoila analizza gli autori delle minacce più rilevanti per il tuo settore e traduce le loro tattiche in scenari di attacco realistici. Questa è la logica alla base delle aspettative di TIBER-EU e DORAin materia di test avanzati incentrati sulle minacce.

Esecuzione di MITRE ATTandCK

La campagna copre l’intera kill chain di ATTandCK, compresi l’accesso iniziale, l’esecuzione, la persistenza, l’escalation dei privilegi, il movimento laterale e l’impatto. Si usano tecniche evasive per testare il rilevamento in condizioni realistiche, e ogni azione viene registrata per poterla poi riprodurre in modo strutturato.

Valutare la squadra blu

A differenza di un pentest, i difensori fanno parte dell’intervento. evoila misura il tempo medio di rilevamento e il tempo medio di risposta, tiene traccia delle tecniche che hanno attivato gli allarmi e individua i punti in cui la kill chain è passata inosservata. Il risultato è un elenco concreto di azioni da intraprendere per migliorare il rilevamento.

Opzione “Purple Teaming”

Quando l’obiettivo è migliorare piuttosto che limitarsi alla semplice misurazione, i team rosso e blu collaborano direttamente e ottimizzano i sistemi di rilevamento tecnica per tecnica. Questo rafforza immediatamente la copertura del SOC/MDR.

Sicurezza e governance

Le operazioni si svolgono secondo rigide regole di ingaggio con un gruppo di controllo, pensate per evitare interruzioni operative.

Per le organizzazioni che non sono ancora pronte per un red team completo, ti consigliamo di iniziare con il purple teaming o con un test di penetrazione mirato, per poi passare gradualmente a test basati sulle minacce.

Vantaggi tecnici

Cosa ottieni da un progetto ben gestito

1. Rilevamento, non solo esposizione

I risultati vanno ben oltre un semplice elenco di vulnerabilità. Ogni risultato è collegato a un indicatore reale di rilevamento e risposta, così il tuo SOC sa esattamente cosa migliorare.

2. Scenari basati sull’intelligence sulle minacce

Gli scenari di attacco rispecchiano gli avversari che prendono effettivamente di mira il tuo settore, non casi di test generici tratti da un modello.

3. Risultati mappati su MITRE ATTandCK

Questi risultati si traducono direttamente in miglioramenti nel rilevamento SOC, perché ogni tecnica è mappata su ATT&CK. Non va perso nulla nella traduzione.

4. Miglioramento del Purple Team

I rilevamenti vengono ottimizzati tecnica per tecnica insieme al tuo blue team. La valutazione e il miglioramento avvengono nell’ambito dello stesso progetto.

5. Allineamento tra DORA e TIBER-EU

Per gli istituti finanziari, questi incarichi si collegano direttamente al tuo programma di conformità e offrono un percorso documentato verso un TLPT conforme alle normative.

6. Progettato per la sicurezza operativa

Regole di intervento rigorose, un gruppo di controllo concordato in anticipo e limiti ben definiti garantiscono la protezione dei sistemi di produzione, mantenendo al contempo il test realistico.

Il tuo partner ideale

Conosciamo entrambi i lati della questione

La maggior parte dei red team consegna un rapporto e se ne va. evoila sta sviluppando la propria attività di red team in stretta sinergia con le operazioni SOC/MDR. Questo significa che la stessa organizzazione che simula l’attacco capisce anche come vengono creati i rilevamenti, come vengono valutati gli avvisi e come funziona davvero la risposta quando la pressione è reale. L’intervento porta quindi a un miglioramento della difesa, non è solo un racconto drammatico di ciò che è successo.

Competenze in attacco e in difesa

Tester certificati CEH, PNPT e PJPT, perfettamente in linea con l’area SOC/MDR di evoila.

Processi certificati ISO 27001

Tutti gli incarichi vengono svolti secondo processi certificati, con regole di intervento rigorose e una governance ben definita.

Metodologia DORA / TIBER-EU

Gli istituti finanziari hanno a disposizione un percorso documentato e conforme per eseguire test orientati alle minacce secondo gli standard normativi.

Integrazione SOC/MDR

I risultati del Red Team vengono integrati direttamente nei servizi di rilevamento di evoila. I miglioramenti vengono effettivamente implementati, non solo suggeriti.

Tecnologie e partner

Realizzato sui framework che contano davvero

I nostri interventi si basano sul modello MITRE ATTandCK e, per gli enti finanziari, sul framework TIBER-EU che sta alla base dei requisiti TLPT previsti dal DORA. Uniamo le informazioni aggiornate sulle minacce a strumenti offensivi standard del settore e a tecniche operative manuali. evoila è certificata ISO 27001. I risultati del Red Team si integrano direttamente con i servizi di rilevamento SOC/MDR di evoila.

Scoprilo prima che lo faccia un hacker

Parti dal livello di maturità che hai oggi. Che si tratti di purple teaming, di un pentest mirato o di un intervento completo incentrato sulle minacce, evoila ti dirà qual è la soluzione più adatta alla tua situazione.

Parla di un intervento del Red Team

Parla con qualcuno che vede entrambe le facce della medaglia

I nostri specialisti del Red Team collaborano anche direttamente con il team SOC/MDR di evoila. Questo significa che riceverai una risposta chiara su quale livello di coinvolgimento sia più adatto alle tue esigenze, senza tentativi di venderti servizi più costosi.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

FAQs

Domande frequenti sul Red Teaming e sui test di penetrazione basati sulle minacce

Un test di penetrazione individua e dimostra la presenza di vulnerabilità in un ambito ben definito. Il red teaming è una simulazione discreta e mirata che verifica anche se il tuo team è in grado di individuare le minacce e reagire di conseguenza. Il test di penetrazione misura l’esposizione; il red teaming misura la resilienza e la capacità di risposta.

I test di penetrazione basati sulle minacce utilizzano informazioni reali sulle minacce per simulare gli avversari più propensi ad attaccarti. DORA richiede alle principali entità finanziarie di eseguire test avanzati basati sulle minacce, utilizzando TIBER-EU come quadro di riferimento europeo consolidato.

Se non hai ancora una vera e propria capacità di rilevamento, un red team completo spesso è una scelta prematura. In quel caso, evoila di solito consiglia di iniziare con un pentest o un purple teaming, per poi arrivare gradualmente a test basati sulle minacce.

Sì. Le operazioni si svolgono secondo rigide regole di ingaggio, con un gruppo di controllo e limiti prestabiliti, pensate per evitare interruzioni operative e allo stesso tempo garantire che il test sia realistico per chi deve difendersi.

Avrai una visione chiara del percorso dell’attacco, delle metriche di rilevamento e risposta come MTTD e MTTR, delle tecniche mappate su MITRE ATT&CK e di un elenco di attività da svolgere, ordinato per priorità, relativo al rilevamento e al miglioramento dei processi, su cui il tuo team di sicurezza e la dirigenza potranno intervenire direttamente.