Red Team
Имитация действий реального злоумышленника, который идёт к заданной цели через ваших людей, процессы и технологии. В отличие от пентеста, главное здесь то, как вы обнаруживаете атаку и реагируете на неё. TTP сопоставляются с MITRE ATT&CK, а в конце мы проводим разбор в формате purple team, чтобы ваши защитники извлекли из него уроки.
Люди, процессы и технологии
Red Team работает узко, скрытно и на конкретную цель. Она измеряет, способна ли ваша организация предотвратить атаку, обнаружить её и отреагировать, а не то, сколько у вас уязвимостей. Мы используем подход assumed breach, чтобы больше времени уходило на достижение цели, и сопоставляем каждую технику с MITRE ATT&CK.
- OSINT и разведка угроз для реалистичного сценария
- Первичный доступ через фишинг, социальную инженерию, физическое проникновение или эксплойт либо сценарий assumed breach
- Закрепление и управление (C2) незаметно для защиты (Stealth, Defense Impairment)
- Повышение привилегий, горизонтальное перемещение и разведка в сторону самого ценного актива
- Действия на цели с контролируемой имитацией эксфильтрации
- Обнаружение и реагирование blue team, измеряемые на всём протяжении
На основе задач, сопоставлено с ATT&CK
Работы выстраиваем по PTES, а действия сопоставляем с MITRE ATT&CK и используем его планы эмуляции противника при разработке сценариев. На всё нужно явное предварительное разрешение, а защитников обычно не предупреждают заранее, чтобы тест был реалистичным. Здесь нет зачёта или незачёта: ценность в том, чему научится команда.
- 1
Подготовка к работам и правила
Согласуем цели, объём, профиль угроз и правила проведения работ, получаем явное разрешение и подписываем NDA.
- 2
Разведданные об угрозах и проектирование сценария
OSINT и разведданные об угрозах (Reconnaissance, Resource Development) формируют индивидуальный сценарий, сопоставленный с ATT&CK.
- 3
Первичный доступ и закрепление
Закрепляемся и поднимаем C2 через фишинг, социальную инженерию, физический доступ или эксплойт либо начинаем со сценария assumed breach.
- 4
Достижение целей
Повышаем привилегии, перемещаемся горизонтально и преследуем согласованные цели, оставаясь незамеченными, с контролируемой эксфильтрацией.
- 5
Отчёт и разбор в формате purple team
Отчёт с описанием хода атаки и совместный разбор в формате purple team превращают находки в улучшения защиты.
Что вы получаете
Главный результат показывает, что ваши защитники заметили, а что упустили. Он оформляется как рассказ о ходе атаки с тепловой картой ATT&CK, и потом мы разбираем его вместе.
- Резюме для руководства в виде истории атаки
- Какие из согласованных целей достигнуты, а какие нет
- Полное описание атаки / kill chain с привязкой к MITRE ATT&CK
- Пробелы в обнаружении и работа blue team: это главная находка
- Карта / тепловая карта покрытия техник ATT&CK
- Приоритизированное исправление и воркшоп-разбор в формате purple team
Опирается на MITRE ATT&CK и PTES
Техники сопоставляются с MITRE ATT&CK (Enterprise v19, пятнадцать тактик; прежняя тактика Defense Evasion теперь разделена на Stealth и Defense Impairment). Работы выстроены по PTES и используют планы эмуляции противника ATT&CK. Red Team измеряет обнаружение и реагирование. Это учебное упражнение, а не проверка на зачёт или незачёт.