Una simulazione, guidata da un obiettivo, di un avversario reale contro persone, processi e tecnologie, per testare se un attacco verrebbe rilevato e fermato.
Un penetration test chiede quali vulnerabilità esistono. Un’operazione di Red Team pone una domanda diversa: se un avversario capace decidesse di raggiungere un obiettivo specifico nella tua organizzazione, qualcuno se ne accorgerebbe, e quanto rapidamente verrebbe fermato?
L’operazione è pianificata attorno agli obiettivi che definisci tu, come l’accesso al sistema di pagamento o al codice sorgente, e attorno agli avversari che realisticamente li perseguirebbero. Ne è a conoscenza solo un piccolo gruppo di controllo nella tua organizzazione. I difensori affrontano l’operazione come affronterebbero un attacco reale.
01Perimetro
Che cosa testiamo
Threat intelligence: chi ti attaccherebbe, perché e come
Ricognizione dell’organizzazione, delle sue persone e dei suoi fornitori
Accesso iniziale: phishing, servizi esposti, canali di fornitori e partner
Ingegneria sociale via email, telefono e messaggistica, entro limiti concordati
Assumed breach: partenza da una postazione di lavoro o da un account compromessi
Persistenza, escalation dei privilegi, movimento laterale, elusione delle difese
Azioni sugli obiettivi, dimostrate senza danni ai dati o all’operatività
Purple teaming: replay tecnica per tecnica con i difensori
02Approccio
Come si svolge il lavoro
01
Obiettivi e modello di minaccia
Insieme al gruppo di controllo definiamo gli obiettivi e scegliamo gli avversari da emulare, con le loro tecniche note.
02
Preparazione
Infrastruttura, pretesti e strumenti vengono preparati per questa operazione. Controlli del rischio, contatti per l’escalation e condizioni di arresto vengono concordati per iscritto.
03
Esecuzione
L’operazione dura settimane, non giorni, al ritmo di un avversario reale. Il gruppo di controllo viene informato a ogni passo significativo.
04
Replay con i difensori
Dopo l’operazione l’attacco viene ripercorso passo per passo con i difensori. Ogni tecnica viene confrontata con i log: è stata vista, ha generato un allarme, ha portato a un’azione.
Pianificazione, regole di ingaggio e conduzione dei test tecnici.
NIST
06Domande
Domande su questo servizio
È un penetration test guidato dalla minaccia ai sensi di DORA?
Il metodo segue il framework TIBER-EU su cui si basano gli standard di test di DORA: threat intelligence, una fase di Red Team e una fase di chiusura con replay. Un test formale ai sensi di DORA è supervisionato dalla tua autorità di vigilanza e stabilisce requisiti per i fornitori, tra cui referenze e assicurazione. La nostra idoneità per il tuo test viene valutata rispetto a quei requisiti durante la definizione del perimetro, prima di qualsiasi impegno.
Non abbiamo mai fatto un penetration test. Dovremmo iniziare con un Red Team?
No. Un’operazione di Red Team testa il rilevamento e la risposta. Se le vulnerabilità di base non sono state trovate e corrette, un penetration test dà molto di più a parità di impegno.
Quali sono i limiti dell’ingegneria sociale?
Vengono stabiliti per iscritto prima dell’operazione. Nessun pretesto fa leva su minacce, difficoltà personali o salute, nessun account o dispositivo privato dei dipendenti viene preso di mira, e nessun dipendente viene nominato nel report per aver sbagliato.
Che cosa succede se trovate tracce di un vero attaccante?
L’operazione si ferma e il gruppo di controllo viene informato immediatamente. Tutto ciò che abbiamo osservato viene consegnato a supporto della tua risposta all’incidente.
Un’esercitazione congiunta: i nostri operatori eseguono le tecniche di attacco una per una mentre i tuoi difensori mettono a punto rilevamento e risposta.