Наступальне тестування
Red team-оцінка
Перевіряємо, чи помітить ваш захист кваліфікованого зловмисника, який тижнями просувається організацією, і що станеться, коли помітить.
ЯК МИ ЦЕ РОБИМО
СИМУЛЯЦІЯ НА ОСНОВІ ЦІЛЕЙ
Ми проводимо симуляції дій зловмисника на основі узгоджених цілей, а не за чеклістом. Периметр проєкту вибудовуємо навколо того, що справді зашкодить бізнесу: доступ до ядра банківської системи, до платіжного потоку, до продакшн-даних, до прав адміністратора домену (повний контроль над мережею). Усе інше — це шлях, а не мета.
ДВА РІЗНІ ПИТАННЯ
Обидва підходи належать до наступального тестування, але відповідають на різні питання і дають різні докази.
ТЕСТУВАННЯ НА ПРОНИКНЕННЯ
Тестування на проникнення відповідає на питання, що можна зламати у визначеному периметрі. Ваша команда зазвичай знає про нього заздалегідь, а результат — перелік знахідок за рівнем критичності.
RED TEAM-ОЦІНКА
Red team-оцінка відповідає на питання, чи здатен зловмисник дістатися критичної для бізнесу мети, лишившись непоміченим. Периметром тут є сама мета, а шлях до неї — відкритий. Про тестування знає лише невелика контрольна група, а результат — це шлях атаки та оцінка того, як спрацювали виявлення й реагування.
З ЧОГО ПОЧАТИ
Якщо ви ще не проводили наступального тестування, почніть із тестування на проникнення. Red team-оцінка виправдовує свою вартість тоді, коли у вас уже є команда безпеки, моніторинг і процес реагування на інциденти, які можна перевірити під тиском. Тестувати виявлення, якого у вас ще немає, — марно: це не скаже нічого нового.
КОМУ ЦЕ ПІДХОДИТЬ
Банкам і небанківським фінансовим установам, фінтех- і платіжним провайдерам, операторам критичної інфраструктури та організаціям, які вже мають SOC і хочуть знати, чи він справді працює. Якщо вашу установу визначено для тестування на проникнення на основі розвідки загроз за DORA, регульована форма цього тестування — TLPT за статтею 26.
ЯК МИ ПРАЦЮЄМО
Кожен проєкт починається з письмових правил проведення: цілі, системи в периметрі й поза ним, дозволені техніки, контакти на випадок надзвичайної ситуації та умова зупинки. Тестування проводять конкретні фахівці, яких ми називаємо заздалегідь, а відповідальність лежить на нас як на компанії, а не на інструменті. Ми не залежимо від вендорів і не перепродаємо продуктів, які рекомендуємо.
Що ми робимо
Розвідка та первинний доступ
Зовнішні сервіси, ланцюг постачання, витоки облікових даних і соціальна інженерія — якщо її включено в периметр і юридично погоджено письмово.
Закріплення в мережі та горизонтальне переміщення
Підвищення привілеїв, збір облікових даних і рух до узгодженої мети. Кожну техніку — від первинного доступу до досягнення мети — ми фіксуємо за MITRE ATT&CK, тож ваша команда потім зможе відтворити весь шлях.
Досягнення мети
Ми демонструємо вплив, а не лише описуємо його: отриманий доступ, дані, до яких можна дістатися, транзакцію, яку можна було б здійснити.
Розбір шляху атаки
Ми крок за кроком проходимо весь шлях атаки разом із вашою командою захисту й визначаємо, де виявлення спрацювало, де воно спрацювало, але лишилося без реакції, а де його не було взагалі. Саме ця сесія зазвичай дає найбільше цінності.
Наратив атаки
Що ми робили, у якому порядку, з часовими мітками й доказами для кожного кроку.
Оцінка виявлення й реагування
Які дії було зафіксовано в логах, за якими спрацювали алерти, які ескалювали — і скільки часу це зайняло.
Пріоритизовані рекомендації
Рекомендації з усунення, поділені на виправлення, які ваші інженери можуть зробити вже зараз, і зміни, що потребують архітектурної роботи.
Повторна перевірка
Узгоджені знахідки перевіряємо повторно, щоб ви могли довести, що прогалини закрито, а не просто задокументовано.
Розкажіть про ваші цілі, і ми запропонуємо периметр і правила проведення.
Скільки триває red team-оцінка?
Зазвичай кілька тижнів, а не днів, бо суть — у тривалому тиску, а не в разовому скануванні. Точна тривалість залежить від мети, розміру інфраструктури та того, чи входить соціальна інженерія в периметр. Ми визначаємо обсяг після розмови про периметр і письмово підтверджуємо його до початку робіт.
Чи знатиме наша команда про тестування?
Зазвичай про це знає лише невелика контрольна група — щоб чесно перевірити виявлення й реагування. Контрольна група може зупинити тестування в будь-який момент.
Чи безпечно проводити це на продакшн-середовищі?
Так, за умови правил проведення, які чітко визначають, що заборонено, і умови зупинки, узгодженої заздалегідь. Ми не виконуємо деструктивних дій і не викрадаємо реальні дані клієнтів: доступ демонструємо, не вилучаючи дані.
Чи надаєте ви докази для аудиторів і регуляторів?
Так. Звіт структуровано так, щоб його можна було передати аудитору чи наглядовому органу: периметр, методологія, знахідки, усунення та результати повторної перевірки в одному документі.
НАШІ СЕРТИФІКАТИ
ПОРТФОЛІО КОМАНДИ
З ЧОГО ПОЧАТИ?
Ви можете копіювати матеріали сайту, лише переконавшись у безпеці своїх сервісів.
Цей сайт захищено reCAPTCHA, на нього поширюються Політика конфіденційності та Умови використання Google.