Purple Teaming
Превърнете атаките в по-добро откриване.
Изпълняваме известни техники на нападатели по контролиран начин, рамо до рамо с вашите защитници, за да измерим какво точно засичат инструментите ви — и след това ги настройваме, докато започнат да засичат повече. Разработване на механизми за откриване, доказан срещу реално поведение.
Първо измерване, после подобрение
Да закупите инструменти за откриване не е същото като да откривате. Изпълняваме техники от матрицата на MITRE ATT&CK, докато екипът ви наблюдава, записваме какво се е задействало и какво не, и работим с вас, за да затворим пропуските — след което изпълняваме отново, за да докажем подобрението.
Това е най-бързият начин констатация на red team („вашият SOC пропусна това“) да се превърне в конкретно, изпробвано правило за откриване.
Какво обхващаме
- Изпълнение на техники от MITRE ATT&CK
- Валидиране на откриването и известяването
- Преглед на покритието на EDR, SIEM и SOAR
- Разработване и настройка на правила за откриване
- Валидиране на процеса по реакция
- Докладване на покритието и повторно изпълнение
Защо има значение
Защо да притежаваш инструменти за откриване не е същото като да откриваш
Наличието на EDR, SIEM и правила за откриване не доказва, че реална атака ще бъде забелязана. Може да липсват нужните данни, правилата да са настроени неправилно или сигналът да остане необработен. Purple teaming проверява тези зависимости контролирано: изпълняваме конкретни техники и заедно с екипа ви установяваме дали очакваните сигнали се създават и обработват.
Ръководството получава измерими резултати за покритието. Виждате кои техники се откриват, кои остават незабелязани и дали настройките на екипа отстраняват пропуските. Това помага да оцените ефекта от инвестициите в сигурност чрез работещи механизми за откриване, а не само чрез броя закупени инструменти и създадени правила.
Как протича
Планиране
Договаряме техниките и критериите за успех.
Съвместно изпълнение
Изпълняваме техниките на живо заедно с вашите защитници.
Анализ
Съотнасяме засеченото към ATT&CK и откриваме пропуските.
Настройка и повторно изпълнение
Подобряваме откриването и доказваме подобрението.
Защо PXLSec
Как нашият purple teaming работи на практика
Съвместна работа със защитния екип
Нашите оператори работят заедно с вашия защитен екип в реално време. Ако техника не задейства очаквания сигнал, заедно установяваме причината и проверяваме промяната.
Изпълнение на техники поотделно
Изпълняваме техниките една по една по определен, повторяем начин. Така свързваме всеки сигнал с конкретното действие и можем да повторим теста след поправката.
Покритие, което можете да измерите
Съотнасяме всяка техника към MITRE ATT&CK и записваме дали е открита, частично открита или пропусната. Матрицата показва покритието на събирането на данни и сигнализирането по отделни тактики.
Разработване и проверка на правила
Помагаме да създадете и настроите правилата за откриване, след което повтаряме техниката. Резултатът включва проверени правила, които отстраняват установените пропуски.
Какво получавате
Ясни резултати, договорени в предложението, без изненади в края на ангажимента.
- Матрица на покритието по ATT&CKКакво засичат защитите ви, техника по техника.
- Пропуски в откриванетоТочно къде липсва телеметрия или известяване.
- Настроени правила за откриванеНови и подобрени правила, разработени с вашия екип.
- Резултати от повторното изпълнениеДоказателство, че пропуските са затворени.
Кога ви е нужно
Кога purple teaming е правилният избор
Purple teaming е подходящ за екипи, които вече имат инструменти за откриване и сега искат да разберат и да подобрят какво те реално улавят.
Валидиране на нов EDR или SIEM
Внедрили сте или сте мигрирали инструменти за откриване и се нуждаете от обективно доказателство, че те генерират телеметрията и сигналите, които сте очаквали, преди да разчитате на тях при инцидент.
Превръщане на пропуск от red team в правило
Red team или реален пробив е показал, че защитниците ви са пропуснали нещо. Purple teaming възпроизвежда това поведение контролирано и изгражда изпробвано правило за откриване, така че то да не бъде пропуснато отново.
Изграждане на покритие за откриване
Вашият SOC иска измерена база спрямо MITRE ATT&CK и приоритизиран план за разширяване на покритието върху техниките, най-подходящи за вашия модел на заплахите.
Повишаване на квалификацията на защитниците ви
Искате вашите анализатори да видят реално поведение на нападатели и да усвоят разработване на механизми за откриване на практика, работейки заедно с опитни оператори, а не от теория.
Методология и стандарти
Рамки и методологии, по които работим
- MITRE ATT&CK
- Atomic Red Team
- MITRE D3FEND
- Правила за откриване SIGMA
- Откриване като код
- MITRE ATT&CK Navigator
Често задавани въпроси
Често задавани въпроси
По какво purple teaming се различава от операцията на red team?
Операцията на red team работи тихо и независимо, за да провери дали изобщо откривате реалистично проникване. Purple teaming е открито съвместен: нашите оператори и вашите защитници работят заедно, изпълняват известни техники и наблюдават резултатите на живо, с изричната цел да подобрят откриването, а не да го заобиколят.
Нужни ли са ни собствени SOC, EDR или SIEM предварително?
Purple teaming е най-ценен, когато вече имате инструменти за откриване и екип, който да ги настройва, защото упражнението измерва и подобрява това, което тези инструменти улавят. Ако все още изграждате способност за откриване, можем да дадем съвет за приоритетите, но практическата работа по настройката предполага, че има какво да се настройва.
Ще изложи ли изпълнението на тези техники средата ни на риск?
Изпълняваме техниките контролирано и по договорен начин, една по една, и избягваме разрушителни действия. Обхватът, целевите системи и правилата на ангажимента се определят писмено предварително, а тъй като екипът ви наблюдава през цялото време, всичко неочаквано може да бъде спряно незабавно.
Какво получаваме в края?
Получавате матрица, която свързва проверените техники с MITRE ATT&CK и показва резултатите от откриването. Документираме пропуските, новите или променените правила, разработени с вашия екип, и резултатите от повторното изпълнение на техниките.
Можете ли да работите с нашите съществуващи правила и инструменти?
Да. Работим във вашите собствени EDR, SIEM и SOAR платформи и надграждаме правилата, които вече имате, като ги настройваме и разширяваме, вместо да ги заменяме. Правилата за откриване остават във вашата среда и под ваш контрол след ангажимента.
Колко време отнема ангажимент с purple team?
Зависи колко техники искате да покриете и колко настройка следва, но повечето ангажименти отнемат от няколко дни до две седмици. Договаряме набора от техники и критериите за успех по време на планирането, така че обхватът и сроковете да са ясни, преди да започнем.
Свързани услуги
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност