Red Teaming
Проверете защитите си срещу истински противник.
Целева симулация по множество вектори, която преследва конкретни задачи през хора, процеси и технологии и измерва доколко добре откривате и реагирате, а не само къде са дефектите.
Цели, а не контролни списъци
Тестът за проникване картографира покритието. Операцията на red team преследва конкретна цел — Domain Admin, най-ценните данни, измамна транзакция — по всеки реалистичен път и толкова тихо, колкото би го направил истински нападател.
Резултатът е трезва оценка на видимостта и реакцията на вашия blue team и точно къде да инвестирате, за да затворите пропуските, които имат значение.
Какво включва
- Външен първоначален достъп, включително фишинг
- Сценарии с предполагаем пробив
- Странично движение и ескалация на привилегии
- Целеви достъп до данни и ексфилтрация
- Измерване на откриването и реакцията
- Сътрудничество с purple team, по избор
Защо има значение
Защо успешно преминат тест за проникване не е работеща защита
Тестът за проникване оценява слабостите в определени системи. Red team операцията проверява и дали организацията ще забележи реалистична атака и ще реагира навреме. Нападателят може да използва поредица от обичайни техники, които поотделно не привличат внимание. Проследяваме докъде достига такава атака, преди хората и инструментите ви да я открият и ограничат.
За ръководството основният въпрос е дали организацията би открила и спряла атака навреме. Операцията предоставя доказателства: хронология на действията, наблюденията на защитния екип и конкретни препоръки за съкращаване на времето за откриване и реакция. Така можете да насочите усилията и бюджета към установените пропуски.
Как протича
Цели и модел на заплахите
Договаряме задачите и профила на противника, който ще емулираме.
Проучване и първоначален достъп
Реалистични входни точки: външни, социални или предполагаем пробив.
Действия по целите
Незабелязано придвижване към целта, като проследяваме какво е засечено.
Обсъждане на резултатите и purple team
Повтаряме атаката заедно със защитниците ви, за да подсилим откриването.
Защо PXLSec
Какво ви дава операцията на red team, което тестът за проникване не може
Контролирана скрита операция
Съобразяваме темпото и техниките с поведението на нападател, който се стреми да остане незабелязан. Така оценяваме реалните възможности за откриване в рамките на договорените правила.
Оценка на откриването и реакцията
Оценяваме кога екипът ви е забелязал действията и как е реагирал. Съпоставяме хронологията на атаката с тази на откриването и реакцията, за да покажем пропуските.
Договорена цел и реалистични пътища
Преследваме договорена цел чрез реалистичните пътища, разрешени в обхвата. Проверяваме кои комбинации от действия могат да доведат до съществено въздействие.
Повторение с purple team
След операцията преглеждаме действията заедно с вашия защитен екип. Превръщаме пропуснатите техники в конкретни подобрения и проверки на откриването.
Какво получавате
Ясни резултати, договорени в предложението, без изненади в края на ангажимента.
- Разказ за атакатаПълна хронология на операцията, стъпка по стъпка.
- Пропуски в откриванетоКъде ни видяхте, къде не ни видяхте и защо.
- Съответствие с ATT&CKТехниките, съотнесени към MITRE ATT&CK за приоритизиране.
- План за укрепване на защитатаКонкретни подобрения в откриването и реакцията.
Кога ви е нужно
Кога операцията на red team е правилният избор
Red teaming е подходящ за организации, които вече обновяват дисциплинирано и сега трябва да разберат дали действително биха хванали истински нападател.
Валидиране на вашия SOC или MDR
Инвестирали сте в център за операции по сигурността или в доставчик на управлявано откриване и искате независимо доказателство, че той засича и ескалира реалистично проникване, а не само синтетични тестови сигнали.
Подготовка за DORA TLPT
Финансов субект, изправен пред задължения за тестване, водено от заплахи, може първо да проведе репетиция в контролирана операция и да открие и отстрани пропуските преди официалното упражнение под наблюдението на регулатора.
Проверка под натиск на зряла програма
Тестовете ви за проникване не откриват съществени слабости, а ръководството иска увереност, че защитата в дълбочина издържа срещу противник, който свързва малки слабости, вместо да разчита на един дефект.
Обосноваване на инвестиция в сигурност
Нуждаете се от доказателство за реална експозиция, подходящо за борда, за да приоритизирате разходи за откриване, реакция и хора, вместо за още един превантивен инструмент.
Методология и стандарти
Рамки и методологии, по които работим
- MITRE ATT&CK
- TIBER-EU
- DORA TLPT
- Тестване, водено от заплахи, в стил CBEST
- PTES
- OSSTMM
- NIST SP 800-115
Често задавани въпроси
Често задавани въпроси
По какво операцията на red team се различава от теста за проникване?
Тестът за проникване търси слабости в договорен набор от системи. Red team упражнението преследва конкретна цел, например достъп до чувствителни данни, и проверява реалистичните пътища до нея в разрешения обхват. Екипът се стреми да избегне откриване, за да измери реакцията на хората, процесите и технологиите. Целта е оценка на готовността, а не изчерпателен списък с уязвимости.
Ще наруши ли това работата на продукционните ни системи?
Планираме с приоритет към безопасността. Правилата на ангажимента, времевите прозорци, системите извън обхвата и контактите за спешни случаи се договарят писмено преди каквато и да е дейност. Избягваме разрушителни техники и спираме незабавно, ако нещо застраши стабилността, а white team от ваша страна може да постави операцията на пауза или да я пренасочи във всеки момент.
Трябва ли целият екип да знае предварително?
Обикновено уведомяваме само малка контролна група от доверени лица (white team), за да проверим реакцията на защитния екип при неочаквана атака. Участниците се договарят при определяне на обхвата. Ако е по-подходящо за организацията ви, можем да проведем открито съвместно упражнение.
Колко време отнема операцията?
Повечето операции продължават няколко седмици. Реалистичното поведение на нападател изисква време, а прибързаните действия могат да предизвикат сигнали и да променят резултата. Продължителността зависи от целите и средата. Потвърждаваме графика в предложението преди началото.
Какво се случва, ако екипът ви бъде открит рано?
Ранното откриване показва, че защитата работи. Предварително договаряме следващите стъпки: можем да преминем към по-късен етап от сценария, да продължим от позиция с допуснат вече получен достъп или да работим открито със защитния екип. Така проверяваме и останалите части от пътя за атака.
Помагате ли с подобренията след упражнението?
Да. Операцията завършва с обсъждане на резултатите и съвместно повторение с purple team. Показваме на защитния екип всяка стъпка, за да разработи и настрои подходящи правила за откриване. Можем да се върнем и за проверка на конкретни подобрения след внедряването им.
Свързани услуги
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност