Red Team
Uma simulação de um atacante real que persegue um objetivo definido através das suas pessoas, processos e tecnologia. Ao contrário de um pentest, o que se mede sobretudo é a sua capacidade de deteção e resposta. As TTPs são associadas ao MITRE ATT&CK, e terminamos com uma sessão purple team para que os seus defensores aprendam com o exercício.
Pessoas, processos e tecnologia
Um Red Team é focado, orientado a objetivos e discreto. Mede se a sua organização consegue prevenir, detetar e responder, e não quantas vulnerabilidades existem. Usamos a violação presumida (assumed breach) para dedicar mais tempo ao objetivo e associamos cada técnica ao MITRE ATT&CK.
- OSINT e inteligência de ameaças para desenhar um cenário realista
- Acesso inicial através de phishing, engenharia social, acesso físico ou exploit, ou então assumed breach
- Ponto de apoio e comando e controlo, sem ser detetado (Stealth, Defense Impairment)
- Escalada de privilégios, movimento lateral e descoberta em direção às jóias da coroa
- Ação sobre os objetivos com uma simulação de exfiltração controlada
- Deteção e resposta da Blue Team medidas ao longo de todo o exercício
Baseado em objetivos, mapeado ao ATT&CK
Estruturamos o projeto segundo o PTES e associamos a atividade ao MITRE ATT&CK, recorrendo aos seus planos de emulação de adversários para desenhar os cenários. Tudo exige autorização prévia explícita, e os defensores normalmente não são avisados com antecedência para que o teste seja realista. Não há aprovação nem reprovação: o valor está no que a equipa aprende.
- 1
Pré-projeto e regras
Acordamos os objetivos, o âmbito, o perfil de ameaça e as regras de atuação, com autorização explícita e um NDA.
- 2
Threat intelligence e desenho de cenário
O OSINT e a threat intelligence (Reconnaissance, Resource Development) moldam um cenário à medida, mapeado ao ATT&CK.
- 3
Acesso inicial e ponto de apoio
Estabelecemos um ponto de apoio e o C2 através de phishing, engenharia social, acesso físico ou exploração, ou partimos de uma violação presumida.
- 4
Objetivos
Escalamos, movemo-nos lateralmente e perseguimos os objetivos acordados, mantendo-nos ocultos, com exfiltração controlada.
- 5
Relatório e sessão purple-team
Um relatório com a narrativa do ataque e uma sessão purple-team colaborativa transformam os achados em melhorias defensivas.
O que recebe
A entrega central mostra aquilo que os seus defensores viram e o que lhes escapou. É apresentada como a narrativa do ataque, com um heatmap ATT&CK, e depois trabalhada em conjunto.
- Sumário executivo em forma de relato do ataque
- Objetivos alcançados e não alcançados, face às metas acordadas
- Narrativa completa do ataque / kill chain mapeada ao MITRE ATT&CK
- Lacunas de deteção e desempenho da Blue Team: o achado central
- Um mapa de cobertura de técnicas ATT&CK / heatmap
- Remediação priorizada e uma sessão de trabalho purple-team
Assente no MITRE ATT&CK e no PTES
As técnicas são associadas ao MITRE ATT&CK (Enterprise v19, quinze táticas; a antiga tática Defense Evasion está agora dividida em Stealth e Defense Impairment). O projeto é estruturado segundo o PTES e usa os planos de emulação de adversários do ATT&CK. Um Red Team mede a deteção e a resposta. É um exercício de aprendizagem, sem aprovação nem reprovação.