Red Team чи пентест: у чому різниця і що обрати?

Пентест шукає якомога більше слабких місць у заздалегідь погоджених системах, а Red Team перевіряє, чи помітить і зупинить ваша компанія реальну цільову атаку. Якщо ви ще не знаєте, де у вас діри, починайте з пентесту; Red Team має сенс, коли основні знахідки вже закриті і є люди, які стежать за безпекою та реагують на тривоги.

Нижче пояснення обох форматів простими словами, порівняльна таблиця, умови готовності до Red Team і правило, яке допоможе вирішити за п'ять хвилин.

Коротко

• Пентест відповідає на питання «які слабкі місця є в цих системах і що зловмисник може з ними зробити». Межі вузькі й чіткі, команда зазвичай знає про перевірку.
• Red Team відповідає на питання «чи дійде реальна атака до важливої цілі і чи хтось її помітить». Межі ширші: люди, процеси й технології разом, а про перевірку знає лише кілька людей.
• Пентест зазвичай триває від тижня. Red Team частіше займає кілька тижнів і довше, бо імітує терплячого зловмисника.
• Red Team без налаштованого моніторингу і людей, які реагують на тривоги, покаже лише очевидне: «ніхто не помітив».
• Для більшості компаній правильна послідовність така: сканування, потім пентест, а Red Team пізніше, коли є команда безпеки.

Що означає пентест і що означає Red Team

Пентест (тестування на проникнення) означає перевірку, під час якої фахівці в погоджених межах намагаються обійти захист конкретних систем так, як це зробив би зловмисник. NIST описує його саме так: імітація реальних атак, щоб знайти способи обійти захист застосунку, системи чи мережі, часто через поєднання кількох вразливостей. ^[3]

Red Team означає групу людей, яким дозволено імітувати можливого противника, щоб показати наслідки успішної атаки і перевірити, що реально працює в захисників. ^[1] Сама вправа, за NIST, відтворює реальні умови і дає оцінку безпеки всієї організації, а не однієї системи. ^[2] Захисників у цій термінології називають Blue Team (команда, що виявляє атаки й реагує).

Простіше кажучи: пентест перевіряє двері, вікна і замки. Red Team перевіряє, чи помітить охорона людину, яка вже йде коридором до сейфа.

Порівняння

Що ви дізнаєтесь від кожного формату

Після пентесту у вас є перелік конкретних проблем: наприклад, покупець бачить чужі замовлення, адмін-панель доступна з інтернету, пароль можна підібрати без обмежень. Кожна знахідка має опис, доказ і рекомендацію. Ви закриваєте їх і замовляєте повторну перевірку (ретест).

Після Red Team ви дізнаєтесь інше: чи спрацювала система виявлення, коли зловмисник уже був усередині, чи зрозумів черговий, що відбувається, скільки часу минуло від першого сигналу до реакції. Red Team може пропустити десятки дрібних вразливостей, бо йому достатньо однієї робочої дороги до цілі. Тому він не замінює пентест.

Для опису дій зловмисників зручно використовувати MITRE ATT&CK, відкриту базу тактик і технік, зібрану зі спостережень за реальними атаками. ^[4] Звіт Red Team часто показує, які з цих технік ваш захист помітив, а які ні.

Коли компанія готова до Red Team

Red Team корисний лише тоді, коли є що перевіряти. Ознаки готовності:

• критичні та високі знахідки останнього пентесту закриті і підтверджені ретестом;
• журнали подій (записи про входи, запуск програм, мережеві з'єднання) збираються централізовано;
• хтось реально переглядає тривоги: власна команда, черговий адміністратор або зовнішній сервіс моніторингу;
• є план реагування на інциденти, і люди знають, кому дзвонити;
• керівництво готове почути неприємний результат і виділити ресурси на виправлення;
• є людина, яка зможе керувати перевіркою зсередини і зупинити її, якщо щось піде не так.

Якщо більшість пунктів поки не про вас, Red Team покаже лише одне: атаку ніхто не помітив. Ці гроші краще вкласти в пентест і налаштування моніторингу.

Як Red Team роблять фінансові установи в Європі

Європейський центральний банк описує рамку TIBER-EU для етичного Red Team на основі розвідки загроз. ^[5] Тест імітує тактики й техніки реальних зловмисників, підібрані окремо під конкретну установу, і спрямований на її критичні функції.

Кілька корисних ідей із цієї рамки, які варто перейняти навіть без регулятора:

• Результат не «пройшли або провалили». Мета в тому, щоб побачити сильні й слабкі сторони захисту і вчитися на них.
• Про тест знає лише контрольна команда, невелика група всередині компанії. Команда захисту працює як у звичайний день.
• Сценарій будується на розвідці загроз: хто реально може атакувати саме вас і як.
• Після тесту складають план виправлень, а не просто кладуть звіт у шухляду.

Рамка розроблена для установ, що забезпечують ключову фінансову інфраструктуру, але, за словами ЄЦБ, її можна застосовувати в усіх критичних секторах. Вона також допомагає виконати вимоги регламенту DORA щодо тестування на проникнення під керівництвом загроз. ^[5]

Правило вибору

Обирайте пентест, якщо:

• безпеку ваших систем ще не перевіряли вручну або перевіряли давно;
• готуєте запуск продукту, велике оновлення чи нову інтеграцію;
• партнер, клієнт або регулятор просить звіт про перевірку конкретної системи;
• у компанії немає людей, які стежать за тривогами безпеки.

Обирайте Red Team, якщо:

• пентести вже робили регулярно, а знахідки закриті;
• є моніторинг і люди, що реагують на інциденти, і ви хочете перевірити саме їх;
• керівництво питає «чи помітимо ми атаку», а не «чи є в нас вразливості».

Якщо ви ще не впевнені навіть щодо пентесту, почніть зі статті пентест чи сканування вразливостей: там пояснено перший крок.

Типові помилки

• Замовити Red Team замість першого пентесту. Ви отримаєте дорогий звіт про те, що атаку не помітили, і майже не дізнаєтесь, що саме виправляти.
• Попередити всю команду. Тоді перевіряється не реакція, а уважність людей у день, коли вони чекають атаки.
• Не визначити цілі. У Red Team має бути зрозуміла ціль: доступ до платіжної системи, бази клієнтів чи пошти керівника. Без неї важко оцінити результат.
• Не погодити правила письмово. Межі, заборонені дії, контактна особа і спосіб зупинити перевірку фіксуються до початку робіт.

Чекліст: чи готові ви до Red Team

• Останній пентест був не пізніше ніж рік тому, критичні знахідки закриті і перевірені ретестом.
• Журнали подій з ключових систем збираються в одному місці.
• Хтось переглядає тривоги безпеки щодня, зокрема у вихідні.
• Є письмовий план реагування на інциденти з контактами.
• Визначено одну або кілька цілей: що для бізнесу найцінніше.
• Є контрольна група з двох-трьох людей, які знатимуть про перевірку.
• Межі, заборонені дії і письмовий дозвіл погоджені до старту.
• Бюджет і час на виправлення після звіту заплановані заздалегідь.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Чим Red Team відрізняється від пентесту простими словами?

Пентест шукає якомога більше слабких місць у конкретних системах. Red Team перевіряє, чи помітить і зупинить ваша компанія реальну атаку на важливу ціль, і для цього використовує один тихий шлях, а не всі можливі.

Чи може Red Team замінити пентест?

Ні. Red Team шукає один робочий шлях до цілі і не намагається знайти всі вразливості. Пентест і далі потрібен для перевірки конкретних систем, особливо після змін.

Скільки триває Red Team?

Залежить від цілей і меж. Зазвичай це кілька тижнів активної роботи плюс підготовка і звіт, тобто помітно довше, ніж типовий пентест.

Чи знатимуть наші співробітники про Red Team?

Зазвичай знає лише невелика контрольна група, яка керує перевіркою і може її зупинити. Решта команди працює як завжди, інакше реакцію перевірити неможливо.

Чи потрібен Red Team невеликій компанії?

Найчастіше ні, принаймні не на першому кроці. Невеликій компанії більше дасть пентест ключових систем і налаштування моніторингу. Red Team має сенс, коли є люди, які реагують на тривоги.

Посилання

1. NIST CSRC Glossary: Red Team csrc.nist.gov
2. NIST CSRC Glossary: Red Team Exercise csrc.nist.gov
3. NIST CSRC Glossary: Penetration Testing csrc.nist.gov
4. MITRE ATT&CK attack.mitre.org
5. ECB: What is TIBER-EU? ecb.europa.eu