Red Teaming i testy penetracyjne ukierunkowane na zagrożenia

Sprawdź, czy rzeczywiście udałoby Ci się złapać atakującego

Testy typu „red teaming” i testy oparte na scenariuszach zagrożeń wykraczają poza samo wykrywanie luk w zabezpieczeniach. Pozwalają one sprawdzić, czy Twój zespół jest w stanie wykryć, zareagować na i powstrzymać prawdziwy, ukierunkowany na osiągnięcie celu atak.

Omówienie działania zespołu „red team”

Od skanowania podatności do prawdziwej odporności

Test penetracyjny ma na celu ustalenie, co jest podatne na ataki. W ramach ćwiczeń typu „red teaming” sprawdza się, czy Twój zespół w ogóle by to zauważył. Testy penetracyjne oparte na zagrożeniach idą o krok dalej. Wykorzystują one rzeczywiste dane wywiadowcze dotyczące zagrożeń, aby symulować działania przeciwników, którzy najprawdopodobniej będą atakować właśnie Ciebie. Taki model leży u podstaw TIBER-EU oraz zaawansowanych wymagań dotyczących testów odporności określonych w ramach DORA dla podmiotów finansowych objętych tym zakresem.

Firma evoila opracowuje ukierunkowane na konkretne cele działania zgodne z modelem MITRE ATT&CK, które sprawdzają cały łańcuch obronny: zapobieganie, wykrywanie i reagowanie. Ponieważ evoila świadczy również usługi SOC/MDR, działania te nie ograniczają się wyłącznie do perspektywy atakującego. Pozwalają one ocenić, jak Twoja infrastruktura obronna faktycznie sprawdza się w warunkach presji.

Korzyści dla firmy:

  • Ocenia zdolność do wykrywania i reagowania, a nie tylko narażenie na luki w zabezpieczeniach
  • Scenariusze oparte na analizie zagrożeń, zgodne z wytycznymi TIBER-EU i DORA
  • Realistyczny punkt odniesienia w zakresie gotowości dla zarządów, organów nadzorczych i ubezpieczycieli

Zadaj sobie pytanie: Jak szybko możemy wykryć i powstrzymać naruszenie bezpieczeństwa, zanim się rozprzestrzeni?

Większość organizacji nigdy nie sprawdziła odpowiedzi na pytanie, które ma największe znaczenie w przypadku rzeczywistego naruszenia bezpieczeństwa: jak szybko zdołalibyśmy je wykryć i czy udałoby nam się je powstrzymać, zanim szkody się rozprzestrzenią?

Wyzwanie

Pomyślnie przeprowadzony test penetracyjny nie gwarantuje, że udałoby się wykryć atak

Wiele organizacji przechodzi testy penetracyjne, ale nigdy nie sprawdziło, czy cichy, cierpliwy atakujący zostałby faktycznie wykryty. Narzędzia bezpieczeństwa generują alerty, ale bez realistycznej kampanii mającej na celu uniknięcie wykrycia nikt nie wie, na które sygnały zespół zareagowałby, które wykrycia zawiodłyby i jak długo atakujący mógłby działać, zanim ktokolwiek zareagowałby. Dla podmiotów finansowych jest to obecnie kwestia nie tylko bezpieczeństwa, ale także zgodności z przepisami. Rozporządzenie DORA wymaga przeprowadzania zaawansowanych testów odporności, a TIBER-EU stanowi ugruntowane europejskie podejście w tym zakresie.

Czas przebywania bez wykrycia

Atakujący poruszają się niezauważenie po środowiskach przez całe tygodnie, gdy systemy wykrywania i reagowania nigdy nie były testowane wspólnie. Zanim ktokolwiek to zauważy, szkoda jest już wyrządzona.

Inwestycje w bezpieczeństwo bez dowodów

Wdrożono narzędzia EDR, SIEM i SOC, ale ich skuteczność w walce z realistycznym, potrafiącym uniknąć wykrycia przeciwnikiem pozostaje niesprawdzona. Środki budżetowe zostały wydane, ale poziom gotowości pozostaje nieznany.

Ryzyko związane z przestrzeganiem przepisów w przypadku podmiotów podlegających regulacji

Podmioty finansowe podlegające regulacjom DORA są zobowiązane do przeprowadzania testów typu TLPT w oparciu o ramy takie jak TIBER-EU. Organizacje, które nie mają możliwości dostosowania się do tego standardu, narażone są na rosnące ryzyko regulacyjne.

Plany reagowania na incydenty które się nie sprawdzają

Plany reagowania wyglądają solidnie na papierze. Okazują się jednak nieskuteczne, gdy prawdziwy atakujący jest już w środku, presja czasu jest ogromna, a zespół nigdy nie przećwiczył takiego scenariusza.

Dobra wiadomość: każdą z tych luk można zmierzyć i naprawić

Dobrze przeprowadzona analiza pozwala ustalić, w którym miejscu łańcucha ataku nie dostrzeżono zagrożenia i co należy naprawić w pierwszej kolejności.

Nasze rozwiązanie

Działania ukierunkowane na cele, które wzmacniają Twoje zabezpieczenia


Firma evoila opracowuje działania typu „red team” oraz scenariusze oparte na zagrożeniach w oparciu o realistyczne cele, a nie o listę kontrolną. Działanie rozpoczyna się od określenia celu atakującego – na przykład uzyskania dostępu do kluczowych danych bankowych lub wywołania skutków podobnych do ataku ransomware w strefie OT – a następnie przechodzi do stworzenia realistycznego scenariusza zagrożenia. Kampania jest dostosowana do modelu MITRE ATT&CK, realizowana etapami i oceniana pod kątem tego, co faktycznie wykrywają Państwa obrońcy oraz w jaki sposób reagują.

Projektowanie scenariuszy

Cele oparte na analizie zagrożeń, dostosowane do Twojej branży i profilu ryzyka. Ataki są opracowywane w oparciu o rzeczywistych sprawców, którzy atakują organizacje takie jak Twoja, a nie na podstawie ogólnych schematów działania.

Symulacja działania przeciwnika

Wielostopniowe testy z zastosowaniem technik unikania, obejmujące etapy wstępnego dostępu, przemieszczania się w sieci i ataku, odwzorowane na pełny łańcuch ataku MITRE ATT&CK.

Purple teaming

Czerwoni i niebiescy współpracują w czasie rzeczywistym, aby udoskonalać wykrywanie krok po kroku. Celem jest tutaj poprawa wyników, a nie tylko sama ocena.

Ocena wykrywania i reagowania

Pomiar wskaźników MTTD i MTTR w kontekście rzeczywistego ataku w celu stworzenia konkretnego planu działań mających na celu poprawę wykrywalności.

Gotowość do TLPT

Przygotowanie podmiotów finansowych do testów zgodnych ze standardem TIBER-EU, wymaganych na mocy rozporządzenia DORA, wraz z niezbędną dokumentacją, zasadami zarządzania i metodologią.

Dogłębna analiza technologii

Jak działa podejście oparte na zagrożeniach

Operacja typu „red team” lub TLPT to kontrolowana kampania oparta na danych wywiadowczych, której celem jest kompleksowe przetestowanie personelu, procesów i technologii.

Najpierw informacje o zagrożeniach

evoila przedstawia profile podmiotów stanowiących zagrożenie, które mają największe znaczenie dla danej branży, i przekłada ich taktyki na realistyczne scenariusze ataków. To właśnie ta logika stanowi podstawę zaawansowanych wymagań dotyczących testów opartych na zagrożeniach, określonych w ramach TIBER-EU i DORA.

Realizacja modelu MITRE ATT&CK

Kampania obejmuje cały łańcuch ataku ATT&CK, w tym dostęp początkowy, wykonanie, utrwalenie, eskalację uprawnień, ruch boczny oraz skutki. W celu przetestowania wykrywalności w realistycznych warunkach stosowane są techniki unikania wykrycia, a każde działanie jest rejestrowane w celu późniejszego odtworzenia w uporządkowany sposób.

Ocena zespołu niebieskiego

W odróżnieniu od testów penetracyjnych, w tym projekcie biorą udział również specjaliści ds. bezpieczeństwa. evoila mierzy średni czas wykrycia i średni czas reakcji, śledzi, które techniki wywołały alerty, oraz identyfikuje miejsca, w których łańcuch ataku pozostał niezauważony. Efektem jest konkretna lista zadań do realizacji, mająca na celu usprawnienie wykrywania.

Opcja „purple teaming”

Gdy celem jest raczej poprawa niż sam pomiar, zespoły czerwony i niebieski współpracują bezpośrednio i dostosowują mechanizmy wykrywania, analizując je jeden po drugim. To natychmiastowo zwiększa zasięg działania SOC/MDR.

Bezpieczeństwo i zarządzanie

Operacje są prowadzone zgodnie z rygorystycznymi zasadami działania z udziałem grupy kontrolnej, co ma na celu uniknięcie zakłóceń w funkcjonowaniu.

Organizacjom, które nie są jeszcze gotowe na wdrożenie pełnego modelu „red team”, zalecamy rozpoczęcie od modelu „purple team” lub testu penetracyjnego o ograniczonym zakresie, a następnie stopniowe przechodzenie w kierunku testów opartych na zagrożeniach.

Zalety techniczne

Co zyskujesz dzięki dobrze przeprowadzonej kampanii

1. Wykrywanie, a nie tylko ujawnianie

Wyniki wykraczają poza zwykłą listę luk w zabezpieczeniach. Każde wykrycie jest powiązane z rzeczywistym wskaźnikiem wykrywalności i reagowania, dzięki czemu zespół SOC dokładnie wie, co należy poprawić.

2. Scenariusze oparte na analizie zagrożeń

Scenariusze ataków odzwierciedlają rzeczywistych przeciwników atakujących właśnie Państwa sektor, a nie ogólne przypadki testowe zaczerpnięte z szablonu.

3. Wyniki przyporządkowane do modelu MITRE ATT&CK

Wyniki tych badań przekładają się bezpośrednio na poprawę wykrywalności SOC, ponieważ każda technika jest przyporządkowana do modelu ATT&CK. Nic nie ginie w procesie przekładu.

4. Wzmocnienie drużyny fioletowej

Detekcje są dostosowywane dla poszczególnych technik we współpracy z zespołem „blue team”. Ocena i udoskonalanie odbywają się w ramach tego samego projektu.

5. Zgodność DORA i TIBER-EU

W przypadku podmiotów finansowych zlecenia te są bezpośrednio powiązane z programem zapewnienia zgodności i stanowią udokumentowaną ścieżkę prowadzącą do osiągnięcia poziomu TLPT zgodnego z wymogami regulacyjnymi.

6. Zaprojektowany z myślą o bezpieczeństwie eksploatacji

Rygorystyczne zasady postępowania, wcześniej uzgodniona grupa kontrolna oraz jasno określone granice zapewniają ochronę systemów produkcyjnych, a jednocześnie gwarantują realistyczny charakter testu.

Twój idealny partner

Znamy obie strony tej sprawy

Większość zespołów typu „red team” przekazuje raport i wycofuje się. Firma evoila buduje swoją praktykę w zakresie działań typu „red team” w ścisłej współpracy z działami SOC i MDR. Oznacza to, że ta sama organizacja, która symuluje atak, rozumie również, w jaki sposób tworzone są mechanizmy wykrywania, jak klasyfikowane są alerty oraz jak faktycznie przebiega reakcja w sytuacji rzeczywistego zagrożenia. Dzięki temu takie działanie przyczynia się do poprawy zabezpieczeń, a nie jest jedynie dramatyczną relacją z tego, co się wydarzyło.

Umiejętności ofensywne i defensywne

Testerzy posiadający certyfikaty CEH, PNPT i PJPT, których wiedza i umiejętności są bezpośrednio dostosowane do praktyki firmy evoila w zakresie SOC/MDR.

Procesy posiadające certyfikat ISO 27001

Wszystkie projekty są realizowane w ramach certyfikowanych procesów, z zachowaniem ścisłych zasad postępowania i określonych zasad zarządzania.

Metodologia DORA / TIBER-EU

Podmioty finansowe zyskują udokumentowaną i zgodną z przepisami ścieżkę prowadzącą do testów opartych na zagrożeniach, spełniających wymogi regulacyjne.

Integracja SOC/MDR

Wyniki analizy zespołu „Red Team” są bezpośrednio wykorzystywane w usługach wykrywania firmy evoila. Wprowadzane są rzeczywiste ulepszenia, a nie tylko zalecenia.

Technologie i partnerzy

Oparte na najważniejszych frameworkach

Nasze działania opierają się na modelu MITRE ATT&CK, a w przypadku podmiotów finansowych – na ramach TIBER-EU, stanowiących podstawę wymagań TLPT określonych w dyrektywie DORA. Łączymy aktualne dane wywiadowcze dotyczące zagrożeń ze standardowymi w branży narzędziami ofensywnymi oraz ręcznymi technikami operacyjnymi. Firma evoila posiada certyfikat ISO 27001. Wyniki działań zespołu „Red Team” są bezpośrednio integrowane z usługami wykrywania SOC/MDR firmy evoila.

Dowiedz się o tym, zanim zrobi to osoba atakująca

Zacznij od obecnego poziomu dojrzałości Twojej organizacji. Niezależnie od tego, czy chodzi o ćwiczenia typu „purple teaming”, ukierunkowany test penetracyjny, czy też kompleksowe wdrożenie oparte na analizie zagrożeń — evoila wskaże Ci rozwiązanie najlepiej dopasowane do Twojej sytuacji.

Omówienie działania zespołu „red team”

Porozmawiaj z kimś, kto dostrzega obie strony sprawy

Nasi specjaliści z zespołu „red team” współpracują również bezpośrednio z działem SOC/MDR firmy evoila. Oznacza to, że otrzymujesz jasną odpowiedź na pytanie, jaki poziom współpracy jest dla Ciebie odpowiedni, bez prób nakłaniania do zakupu droższych usług.

Patrick Cosic

Patrick Cosic

Business Unit Lead Security

Najczęściej zadawane pytania

Najczęściej zadawane pytania dotyczące testów typu „Red Teaming” i testów penetracyjnych ukierunkowanych na zagrożenia

Test penetracyjny pozwala wykryć i potwierdzić istnienie luk w zabezpieczeniach w określonym zakresie. Red teaming to dyskretna, ukierunkowana na konkretny cel symulacja, która sprawdza również, czy Twój zespół potrafi wykryć zagrożenie i odpowiednio na nie zareagować. Test penetracyjny mierzy narażenie na zagrożenia; red teaming mierzy odporność i zdolność reagowania.

Testy penetracyjne oparte na zagrożeniach wykorzystują rzeczywiste dane wywiadowcze dotyczące zagrożeń w celu symulacji ataków ze strony przeciwników, którzy najprawdopodobniej zaatakują daną organizację. Rozporządzenie DORA nakłada na duże podmioty finansowe obowiązek przeprowadzania zaawansowanych testów opartych na zagrożeniach, przy czym jako uznane europejskie ramy służy system TIBER-EU.

Jeśli nie dysponujesz jeszcze rzeczywistymi możliwościami wykrywania zagrożeń, utworzenie pełnego zespołu „red team” jest często przedwczesne. W takim przypadku firma evoila zazwyczaj zaleca rozpoczęcie od testów penetracyjnych lub współpracy z zespołem „purple team”, a następnie stopniowe zwiększanie dojrzałości w kierunku testów ukierunkowanych na zagrożenia.

Tak. Działania te są prowadzone zgodnie z rygorystycznymi zasadami, z udziałem grupy kontrolnej i w ramach wcześniej ustalonych granic, co ma na celu uniknięcie zakłóceń w funkcjonowaniu organizacji, a jednocześnie zapewnienie, że test będzie realistyczny z punktu widzenia osób odpowiedzialnych za ochronę.

Otrzymujesz przejrzysty obraz ścieżki ataku, wskaźników wykrywania i reagowania, takich jak MTTD i MTTR, technik przyporządkowanych do modelu MITRE ATT&CK, a także uszeregowaną według priorytetów listę zadań dotyczących wykrywania i usprawniania procesów, na podstawie której Twój zespół ds. bezpieczeństwa i kierownictwo mogą bezpośrednio podejmować działania.