Saját SOC-csal vagy kiszervezett felügyelettel rendelkezők
Megmutatja, hogy az észlelési szabályok, a riasztások és az elemzők a valós támadási technikákat is felismerik-e, és mennyi idő alatt reagálnak.
/ RED TEAMING
Red teaming
A red teaming azt a kérdést válaszolja meg, amelyre a hagyományos tesztek nem: ha egy elszánt támadó valóban célba venné a szervezetet, elérné-e a célját, és észrevenné-e valaki?
[ 01 ] / MI EZ
Mi a red teaming, és miben más, mint a penetrációs teszt?
Röviden
A red teaming célvezérelt, hosszabb idejű, valósághű támadásszimuláció, amely egy valódi támadó módszereit követi, hogy megmutassa, eléri-e a célját, és észleli-e a szervezet védelme a támadást. Nem az összes hibát keresi, hanem a legrövidebb támadási utat egy előre kijelölt, üzletileg értékes célhoz.
A penetrációs teszt célja, hogy minél több sérülékenységet találjon egy meghatározott rendszerben. A red teaming célja más: egy előre kijelölt cél elérése, például egy kritikus adatbázis megszerzése vagy egy üzleti folyamat megzavarása, úgy, hogy a támadó a védelem észrevétele nélkül, lehetőleg a legkevesebb zajjal halad. Ez a védelem három rétegét teszteli egyszerre: a technológiát, az embereket és a folyamatokat.
A szimuláció valódi támadói módszereket (taktikákat, technikákat és eljárásokat, TTP) használ, a MITRE ATT&CK keretrendszer szerint. A kiindulópont lehet külső támadó (például adathalászat vagy internetre kitett rendszer), feltételezett feltörés (assume breach), vagy belső, jogosultsággal rendelkező szereplő. A tesztet általában csak egy szűk vezetői kör ismeri, így a védelmi csapat valós körülmények között reagál.
A legnagyobb érték nem a „sikeres behatolás", hanem a tanulság: mit észleltünk, mit nem, mennyi idő alatt reagáltunk, és hol hibázott a technológia vagy a folyamat. Ezért a red teaming gyakran purple teaming lezárással végződik, ahol a támadók és a védők együtt újrajátsszák a lépéseket, és javítják az észlelést.
Módszertanok és keretrendszerek
- MITRE ATT&CK
- TIBER-EU
- CBEST
- PTES
- OWASP
- NIST SP 800-115
[ 02 ] / KINEK AJÁNLJUK
Kinek éri meg a red teaming?
A red teaming akkor ad igazán sokat, ha az alapvető védelem már rendben van, és a kérdés az, hogy a védelem együtt, a gyakorlatban is működik-e.
Pénzügyi szervezetek és kritikus szolgáltatók
A szabályozás (például DORA) a fenyegetésvezérelt, valósághű tesztelést is elvárhatja. A red teaming erre készít fel. Részletek: fenyegetésvezérelt behatolástesztelés.
Ismételt penetrációs tesztek után továbblépők
Ha a hagyományos tesztek már kevés új hibát találnak, a red teaming új szemszöget ad: nem a hibákat, hanem a védelem összjátékát vizsgálja.
Vezetők, akik reális képet akarnak
A vezetőség a támadási narratívából érthetően látja, mit érhetne el egy támadó, és mekkora üzleti kárt okozhatna.
Értékes szellemi tulajdont védő cégek
Ahol a kulcsadat vagy a technológia védelme a cél, a red teaming a legrövidebb, legvalószínűbb támadási utat mutatja meg.
Incidenskezelési képességüket gyakorlóak
A szimuláció valós körülmények között próbálja ki az incidenskezelési terveket, a kommunikációt és a döntési láncot.
[ 03 ] / MIT TARTALMAZ
A red teaming szolgáltatás elemei
Az egyes elemeket a célhoz, a kockázati étvágyhoz és a szervezet érettségéhez igazítjuk.
01
Célok és játékszabályok
Közösen meghatározzuk a támadási célokat, a tiltott területeket, a kapcsolattartási és leállítási szabályokat (rules of engagement), hogy a teszt biztonságos maradjon.
02
Felderítés és fenyegetésmodellezés
Feltárjuk a szervezet nyilvános lábnyomát, és a releváns támadói csoportok módszereit követő forgatókönyveket építünk.
03
Kezdeti hozzáférés
Internetre kitett rendszerek, adathalászat, hozzáférési adatok, ellátási lánc vagy feltételezett feltörés kiindulópontokból szerezzük meg a belépést.
04
Mozgás a hálózaton és jogosultságnövelés
Active Directory, felhő és identitásrendszerek ellen végzett oldalirányú mozgás, jogosultságnövelés és perzisztencia valós technikákkal.
05
Social engineering és fizikai vizsgálat
Megegyezés esetén adathalászat, telefonos és fizikai behatolási kísérletek, mert a támadók gyakran az embereken keresztül jutnak be.
06
Cél elérése és bizonyítás
A kijelölt cél elérését bizonyítékkal dokumentáljuk, kárt okozó tevékenység nélkül.
07
Észlelési és reagálási elemzés
Összevetjük a támadói naplót a védők naplójával: mit láttak, mikor, és hogyan reagáltak.
08
Purple teaming workshop
A lezáráskor közösen újrajátsszuk a lépéseket, és javítjuk az észlelési szabályokat, a folyamatokat és a reagálási lépéseket.
[ 04 ] / HOGYAN ZAJLIK
A red teaming folyamata
A folyamat szigorú kontroll alatt zajlik: a szimuláció valósághű, de a szervezet működését soha nem veszélyezteti.
Előkészítés és engedélyezés
Megállapodunk a célokról, a szabályokról és a szűk vezetői körről, amely ismeri a tesztet. Tisztázzuk a jogi és üzemeltetési kereteket.
Felderítés és tervezés
Összegyűjtjük a nyilvános információkat, és kidolgozzuk a releváns fenyegetési szereplők módszereit követő forgatókönyvet.
Végrehajtás
Hetekig tartó, fokozatos támadási szimuláció a kezdeti hozzáféréstől a cél eléréséig, folyamatos kapcsolattal a kontrollcsoporttal.
Bizonyítás és dokumentálás
Minden lépést naplózunk időbélyeggel, hogy később a védelmi csapat naplóival összevethető legyen.
Jelentés és vezetői beszámoló
Átadjuk a támadási narratívát, az észlelési hiányosságokat és a priorizált javítási javaslatokat, vezetői és technikai szinten is.
Purple teaming és újrajátszás
Közösen újrajátsszuk a kritikus lépéseket, hogy az észlelések és a reagálás valóban javuljanak, majd szükség esetén ellenőrző teszttel zárunk.
[ 05 ] / MIT OLD MEG
Mit old meg a red teaming, és miért éri meg?
A védelem ereje nem az egyes eszközökön, hanem az összjátékukon múlik. A red teaming megmutatja, hol szakad meg ez a lánc: melyik támadási lépést nem észlelte senki, melyik riasztás maradt reagálás nélkül, és hol hiányzik egy kontroll vagy egy döntési pont.
Az eredmény konkrét és mérhető: az észlelési lefedettség, a reagálási idő és a támadási útvonalak megszüntetésének sorrendje. A vezetőség valós forgatókönyvön látja, mekkora kockázatot jelent egy kitartó támadó, és a beruházásokat az ellen tudja célozni.
- a védelem valós, összetett működésének ellenőrzése
- észlelési és reagálási hiányosságok feltárása
- a SOC és az incidenskezelés gyakorlása éles körülmények között
- megalapozott biztonsági beruházási döntések
- szabályozói elvárásokra (például DORA TLPT) való felkészülés
Amit kézhez kap
- vezetői összefoglaló a kockázatról
- részletes támadási narratíva időrenddel
- észlelési és reagálási elemzés
- MITRE ATT&CK szerinti lefedettségi térkép
- priorizált javítási és fejlesztési terv
- purple teaming workshop és újrajátszási eredmények
[ 06 ] / MIÉRT A QYNTAR
Miért a Qyntar végezze a red teaminget?
Mert a red teaming sikere a gyakorlati tapasztalaton és a biztonságos lebonyolításon múlik.
Valódi támadói tapasztalat
A csapatunk tagjai korábban maguk is hands-on támadói munkát végeztek, ezért a forgatókönyvek reálisak, és nem tesztkönyvi sablonok.
Biztonságos lebonyolítás
Szigorú játékszabályokkal, kapcsolattartó kontrollcsoporttal és leállítási feltételekkel dolgozunk, így a szimuláció az éles működést nem veszélyezteti.
Vezetői és technikai érthetőség
A támadási narratíva a vezetőknek üzleti nyelven, a szakembereknek technikai részletekben is érthető.
Tanulásra épülő lezárás
A purple teaming workshopon közösen javítjuk az észlelést, így a teszt után nem csak jelentés, hanem működő fejlesztés marad.
[ 07 ] / GYAKORI KÉRDÉSEK
Gyakran ismételt kérdések – red teaming
Mi a különbség a red teaming és a penetrációs teszt között?
A penetrációs teszt minél több sérülékenységet keres egy meghatározott hatókörben. A red teaming egy kijelölt célt próbál elérni, valósághű támadói módszerekkel, és a védelem észlelését és reagálását is teszteli. A penetrációs teszt szélesebb, a red teaming mélyebb és élethűbb.
Mikor érdemes red teamingbe kezdeni?
Akkor, ha az alapvető védelem (javítások, hardening, rendszeres tesztek) már rendben van, és a kérdés az, hogy a védelem összességében is működik-e. Éretlenebb szervezetnél a penetrációs teszt vagy a sérülékenységvizsgálat többet ad.
Tudnak róla a munkatársak és az IT-csapat?
Általában csak egy szűk vezetői kör ismeri a tesztet, hogy a védelmi csapat valódi körülmények között reagáljon. A szűk kört és a kapcsolattartást előre egyeztetjük, hogy bármikor leállíthassuk a szimulációt.
Okozhat a red teaming kárt vagy üzemzavart?
A szimuláció nem okoz tényleges kárt: a cél elérését bizonyítjuk (például egy fájl elolvasásával), nem destruktív műveletekkel. Szigorú szabályok és leállítási feltételek védik az éles működést.
Mi az a purple teaming?
A purple teaming a támadók (red) és a védők (blue) együttműködése: közösen újrajátsszák a támadás lépéseit, és azonnal javítják az észlelést és a reagálást. A red teaming lezárásaként különösen hatékony.
Mennyi ideig tart egy red teaming projekt?
A cél és a hatókör függvényében általában több hét, a felderítéstől a jelentésig akár két-három hónap. A pontos ütemezést az előkészítés után adjuk meg.
Összefügg a red teaming a DORA TLPT-vel?
Igen, a DORA fenyegetésvezérelt behatolástesztelése (TLPT) a red teaming egy szabályozott, fenyegetési információkra épülő formája. Részletek: fenyegetésvezérelt behatolástesztelés és DORA.
[ 08 ] / KAPCSOLÓDÓ SZOLGÁLTATÁSOK
Ezek is érdekelhetik
[ + ] / KAPCSOLAT
Kapcsolat
E-mail
Mondja el, milyen biztonsági kihívással áll szemben.
Egy konkrét technikai kérdéstől a komplex biztonsági projektekig segítünk tisztázni a lehetőségeket, a prioritásokat és a továbblépés irányát.
Mutasd az e-mail címet
info
qyntar
com