Red team czy test penetracyjny: czego potrzebujesz?
Krótka odpowiedź: Test penetracyjny znajduje i klasyfikuje jak najwięcej podatności możliwych do wykorzystania w zdefiniowanym zakresie, za wiedzą Twojego zespołu. Red team dąży do jednego celu tak, jak zrobiłby to prawdziwy napastnik, po cichu, aby sprawdzić, czy Twoje osoby odpowiedzialne za obronę je wykryją i powstrzymają. Jeśli nigdy nie przeprowadzano u Ciebie testów bezpieczeństwa lub musisz spełnić wymagania audytora bądź ubezpieczyciela, potrzebujesz testu penetracyjnego. Do red teamu przechodzi się wtedy, gdy ma się już zespół bezpieczeństwa warty przetestowania.
Prezentacje handlowe używają pojęć "red team" i "test penetracyjny" tak, jakby była to ta sama usługa premium pod dwiema różnymi nazwami. Tak nie jest. Odpowiadają na inne pytania, mają inny zakres i nie bez powodu różnią się ceną. Jeśli kupujesz te usługi, pomylenie ich ze sobą to prosty sposób na wydanie budżetu na red team na zadanie, które wykonałby pentest, albo na zakup pentestu, gdy tak naprawdę chcesz się dowiedzieć, czy ktoś zauważyłby intruza wewnątrz sieci. Oto uczciwe omówienie różnic.
Do czego służy test penetracyjny
Test penetracyjny odpowiada na jedno pytanie: co w zdefiniowanym zakresie może wykorzystać napastnik i jak poważne będą tego skutki. Testerzy badają systemy objęte zakresem, znajdują słabe punkty i, jeśli zasady na to pozwalają, udowadniają realny wpływ poprzez łączenie ich w łańcuchy ataków. Amerykański Narodowy Instytut Standardów i Technologii w swoim przewodniku NIST SP 800-115 opisuje testy penetracyjne jako testy bezpieczeństwa, w których audytorzy symulują rzeczywiste ataki, aby zidentyfikować sposoby obejścia zabezpieczeń aplikacji, systemu lub sieci.
Chodzi o pokrycie. Dobry pentest próbuje znaleźć jak najwięcej podatnych problemów w ramach zakresu i okna czasowego testów. Twój zespół zazwyczaj wie o testach, ponieważ celem jest głębia ustaleń, a nie dyskrecja. W rezultacie otrzymujesz priorytetyzowaną listę podatności oraz informację, co należy naprawić w pierwszej kolejności.
Do czego służy red team
Działania typu red team odpowiadają na inne pytanie: gdyby prawdziwy przeciwnik dążył do konkretnego celu, czy Twoi ludzie, procesy i technologie zdołaliby go powstrzymać i czy ktoś w ogóle by to zauważył. NIST definiuje ćwiczenia red team jako symulowaną próbę ataku odzwierciedlającą rzeczywiste warunki, mającą na celu naruszenie zadań lub procesów biznesowych organizacji oraz ocenę zdolności do zapewnienia bezpieczeństwa przez system i organizację.
Przeczytaj to uważnie. Red teamu nie ocenia się po liczbie wypisanych podatności. Ocenia się go na podstawie osiągnięcia celu, na przykład uzyskania dostępu do konkretnej bazy danych lub systemu płatności, przy użyciu dowolnej skutecznej ścieżki: niezałatanej usługi, wiadomości phishingowej, drzwi fizycznych czy powtórnie użytego hasła. Symuluje on sposób działania rzeczywistych przeciwników, często w oparciu o publiczną bazę wiedzy o zachowaniach atakujących, taką jak MITRE ATT&CK. Dyskrecja jest częścią testu, ponieważ jednym z badanych elementów jest Twoja zdolność do detekcji i reagowania.
Regulatorzy również traktują to w ten sposób. Opublikowany w 2018 roku przez Europejski Bank Centralny standard TIBER-EU wykorzystuje testy red team oparte na rozpoznaniu zagrożeń do badania odporności instytucji finansowych na realistyczne ataki, właśnie dlatego, że mierzy reakcję, a nie tylko poziom ekspozycji.
Rzeczywiste różnice, zestawienie
| Test penetracyjny | Red team | |
|---|---|---|
| Cel | Maksymalizacja liczby wykrytych podatności w zakresie | Osiągnięcie jednego celu i raportowanie uzyskanego poziomu dostępu |
| Zakres | Lista zasobów i technik | Cel i zasady, przy znacznie szerszym wachlarzu dozwolonych ścieżek |
| Dyskrecja | Zazwyczaj znany Twojemu zespołowi | Ukryty, ponieważ sprawdza, czy zostanie wykryty |
| Co testuje | Twoje systemy | Zarówno zespół obronny, jak i Twoje systemy |
| Koszt i czas trwania | Krótszy, tańszy | Dłuższy, bardziej dyskretny, droższy |
| Najlepsze dla | Pierwsze testy, audyty, ubezpieczyciele, klienci korporacyjni | Dojrzałe zespoły weryfikujące swoją detekcję i reagowanie |
Assumed breach: przydatny kompromis
Nie każdy projekt red team rozpoczyna się od zera. Popularnym wariantem jest "assumed breach", w którym przekazuje się zespołowi punkt zaczepienia, np. jeden laptop lub jedno konto pracownika, i sprawdza, jak daleko jest w stanie się stamtąd przedostać. Pozwala to pominąć powolną fazę uzyskiwania dostępu początkowego i przeznaczyć budżet na przetestowanie tego, co dzieje się, gdy intruz jest już wewnątrz, co dla większości firm stanowi bardziej niepokojące i realistyczne pytanie.
Czego tak naprawdę potrzebuje Twoja firma
Oto coś, czego większość dostawców nie powie wprost. Red team testuje Twój blue team. Jeśli nie masz blue teamu, czyli ludzi i narzędzi monitorujących incydenty i reagujących na nie, red team nie ma czego mierzyć, a Ty zapłacisz dużo więcej za informacje, które pentest dostarczyłby taniej. Detekcja, której nie posiadasz, nie wykryje również red teamu.
Podsumowując w skrócie:
- Nigdy nie przeprowadzano u Ciebie testów bezpieczeństwa. Nie potrzebujesz red teamu. Zacznij od ustalenia, co jest wystawione na świat zewnętrzny i co można wykorzystać do ataku. To obszar właściwy dla pentestu i analizy powierzchni ataku.
- Musisz spełnić wymagania audytora, ubezpieczyciela lub klienta korporacyjnego. Prawie zawsze mają na myśli test penetracyjny. Potwierdź dokładne sformułowanie przed zakupem czegokolwiek, ponieważ słowo "red team" w umowie bywa po prostu synonimem pentestu.
- Regularnie wykonujesz pentesty, masz zespół bezpieczeństwa i chcesz sprawdzić, czy wykryłby on prawdziwego przeciwnika. Wtedy red team jest wart swojej ceny.
Czynnikiem decydującym jest dojrzałość. Red teaming to krok, do którego przechodzi się po zabezpieczeniu podstaw, a nie punkt wyjścia.
Zacznij od poznania swojej powierzchni ataku
Niezależnie od obranego kierunku, pierwszy uczciwy krok jest taki sam: dowiedz się, co atakujący może już teraz zobaczyć z zewnątrz, ponieważ od tego zaczyna każdy z nich, zarówno pentester, jak i członek red teamu.
Nasza weryfikacja za 100 $ to właśnie takie pierwsze, rzetelne spojrzenie: ukierunkowany przegląd Twojej zewnętrznej powierzchni ataku, w zakresie potwierdzonym i upoważnionym na piśmie, przeanalizowany przez doświadczonego specjalistę i omówiony podczas 30-minutowej prezentacji wyników. Należy jasno sprecyzować, czym ta usługa jest. To nie jest red team ani pełny test penetracyjny. To tani, uczciwy punkt wyjścia, który na podstawie konkretnych dowodów wskaże, czego naprawdę potrzebujesz w następnej kolejności.
Red team a test penetracyjny: szybkie odpowiedzi
Jaka jest różnica między red teamem a testem penetracyjnym?
Test penetracyjny znajduje i klasyfikuje jak najwięcej podatności możliwych do wykorzystania w zdefiniowanym zakresie, zazwyczaj za wiedzą Twojego zespołu. Red team dąży do jednego celu tak, jak zrobiłby to prawdziwy napastnik, po cichu, aby sprawdzić, czy Twoje osoby odpowiedzialne za obronę je wykryją i powstrzymają. Pentest testuje Twoje systemy, natomiast red team testuje zarówno systemy, jak i ludzi.
Czy red team jest bardziej dokładny niż test penetracyjny?
Nie do końca. Red team działa głębiej na wąskiej ścieżce prowadzącej do jednego celu oraz w zakresie detekcji i reagowania, natomiast test penetracyjny szerzej bada występowanie podatności w całym zakresie. Odpowiadają na inne pytania, więc to, co jest "bardziej dokładne", zależy od tego, jak brzmi Twoje pytanie.
Co mała firma powinna wybrać w pierwszej kolejności?
Prawie zawsze test penetracyjny lub jeszcze tańszą weryfikację powierzchni ataku. Red team ocenia Twój blue team, więc jeśli nie masz jeszcze ludzi ani narzędzi monitorujących naruszenia, usługa ta nie ma czego mierzyć i zapłacisz znacznie więcej za wiedzę, którą dałby Ci pentest.
Czy audytor lub ubezpieczyciel wymagający "red teamu" naprawdę ma na myśli red team?
Często mają na myśli test penetracyjny i używają tych pojęć potocznie. Przed zakupem potwierdź dokładne wymagania na piśmie, ponieważ różnica w cenie jest znaczna.
Powiązane artykuły
Nie masz pewności, czego potrzebujesz?
Większość firm potrzebuje testu penetracyjnego, a nie red teamu, a najtańszym pierwszym krokiem jest po prostu poznanie poziomu swojej ekspozycji. Nasza weryfikacja za 100 $ to właśnie takie pierwsze spojrzenie.
Zamów weryfikację za 100 $