Popis riešenia
Porovnanie s penetračnými testami
Popis služby Red Teaming začneme na lepšie pochopenie porovnaním s penetračnými testmi. O pojme penetračné testovanie pravdepodobne už počul každý informovanejší človek pohybujúci sa v rámci IT a hlavne v odvetví jeho bezpečnosti. Penetračné testy sú s obľubou popisované ako simulácia útoku voči zadanej IT oblasti. Predmetom penetračného testu je vždy určitá izolovaná časť IT ekosystému spoločnosti ako napríklad webová aplikácia, desktopová aplikácia, či sieťová infraštruktúra. Slovo izolovaná v predchádzajúcej vete by si zaslúžilo dvakrát podčiarknuť. Práve v tejto izolovanosti tkvie najväčšia slabina penetračných testov. Ako výsledok periodického uskutočňovania týchto testov môžeme mať informáciu, že všetky bezpečnostné riziká boli znížené na akceptovateľnú úroveň a testovaný systém je odolný voči útoku.
Čo nám už výsledok penetračného testu nepovie je, že systém je možné kompromitovať zaslaním e-mailu s malwarom v prílohe jeho správcu, že je možné dostať sa k dátam kompromitáciou úplne iného systému, ktorý však s pôvodným zdieľa rovnaké dátové úložisko a tak ďalej. Penetračné testy sú jednoducho úzkoprofilovo zamerané na konkrétne oblasti a z podstaty veci nemôžu pokryť komplexnosť previazanosti celého ekosystému spoločnosti a z toho vyplývajúcich rizík.
|
Penetračný test |
Red Teaming |
- Metodický prístup
- Striktne daný rozsah
- Obvyklá dĺžka trvania 1–3 týždne
- Dopredu ohlásený
- Cieľom je identifikácia zraniteľností konkrétnej oblasti
| - Flexibilní prístup
- Neobmedzený rozsah
- Obvyklá dĺžka trvania 1–3 mesiace
- Tajný, o realizácii vie len White Team
- Cieľom je otestovať odolnosť celého prostredia spoločnosť voči útoku
|
Red Teaming
V tomto bode prichádza na radu práve Red Teaming. Tento pojem je odvodený od výrazu Red Team, ktorý označuje tím skúsených etických hackerov, ktorý simulovaný útok realizuje a využíva pri tom rovnako sofistikované prostriedky ako reálni útočníci. Red Teaming pokrýva veľmi široký rozsah vektorov útokov a cieli na ľudí, technológie i fyzické aktíva. Okrem pokusu o prienik zneužitím zraniteľností v danej technológii využíva aj prostriedky sociálneho inžinierstva, zberu informácií z otvorených zdrojov (OSINT, dumpster diving) či fyzického prieniku.
Proti Red Teamu stojí na strane cieľovej spoločnosti tzv. Blue Team, čo je tím odborníkov, ktorý sa stará o prevenciu, detekciu a riešenie kybernetických incidentov. Jeho cieľom je urobiť všetko pre to, aby útok nebol úspešný a pokiaľ už útok úspešný je, potom ho čo najrýchlejšie odhaliť, zadržať a zabrániť jeho opakovaniu. V dnešnej dobe sa u väčších spoločností jedná o oddelenie Security Operations (SOC) či Cyber Defense Centra (CDC).
Red Team vs Blue Team
Úlohy Red Teamu a Blue Teamu sú asymetrické. V prvotnej fáze, keď sa útočiaci tím pokúša preniknúť do internej siete chránenej obranným tímom, má navrch Red Team. Blue Team musí zabezpečiť každý z mnoho potenciálnych vektorov útoku, avšak toto pole je veľmi široké. Útočiacemu tímu stačí nájsť jednu zraniteľnosť, jedno pochybenie, zneužiť dôveru jedného zo zamestnancov a získa tak prístup do vnútra siete.
V tomto momente sa však situácia obracia. Výhoda sa preklápa do rúk obranného tímu. Útočiaci tím sa dostáva na neznámu pôdu internej siete, ktorú má pevne pod kontrolou Blue Team. Akonáhle tu urobí Red Team jedinú chybu, začne sa chovať príliš “hlučne", aktivuje honeypot alebo na svoju aktivitu upozorní iným spôsobom, je z vnútornej siete nemilosrdne Blue Teamom vystrčený a jeho práca začína nanovo. Prirovnanie s pomyselnou hrou na mačku a myš je tu tak viac než na mieste.
Pokiaľ už sa Red Team dostane na ihrisko Blue Teamu, čo je vlastne jeho cieľom? Cieľom je nepozorovane získať tzv. Flag teda vlajku, ktorá je definovaná spolu so zadávateľom na začiatku Red Teaming cvičenia. Môže sa napríklad jednať o prístup do určitého segmentu internej siete, prístup ku konkrétnemu serveru či predom nachystaným dátam v databáze, fyzický prístup do serverovne, odcudzenie notebooku či inštalácia HW backdooru. Princípom je definovať Flag spôsobom, aby po jeho dosiahnutí Red Teamom bolo možné konštatovať, že zabezpečenie na úrovni technickej, fyzickej a procesnej nie je dostatočné na zabránenie cielenej infiltrácie z vonka. V rámci výsledného reportu je potom celý útok vrátane slepých ciest či nepodarených infiltrácií detailne analyzovaný a popísaný a taktiež sú navrhnuté odporúčania na úspešnú obranu naprieč rôznymi oblasťami.
Z vyššie uvedeného vyplýva, že na dosiahnutie čo najvernejších výsledkov je nevyhnutné, aby o implementácii Red Teamingu neboli informovaní zamestnanci, predovšetkým ľudia z IT jednotiek (IT Operations, SOC, CDC) cieľovej spoločnosti. Na strane zadávateľa vie o uskutočňovaní Red Teamingu iba úzka skupina ľudí, tzv. White Team, ktorý sa stará o súčinnosť v priebehu procesu dodania služby. Podľa dohody môžu útoky prebiehať i mimo pracovnú dobu, je tak nevyhnutné, aby bola kontaktná osoba neustále dostupná. V prípade fyzických prienikov dostávajú členovia Red teamu tzv. Get Out of Jail Free kartu, ktorou sa legitimujú v prípade, že sú úspešne odhalený.
