Киберучения (Red Teaming)

Контролируемая симуляция действий целевого злоумышленника для проверки эффективности средств и контролей защиты. Команда SOC заказчика может оказывать активное сопротивление, атакующая сторона действует скрытно и практически без ограничений в рамках согласованных правил. Учения проводят многократные призёры The Standoff.

Получить расчёт Чем отличается от пентеста

Паспорт услуги

Что проверяем: Средства защиты и способность SOC обнаружить и остановить целевую атаку
Методология: MITRE ATT&CK; комбинация внешнего и внутреннего пентеста, социальной инженерии и физического проникновения
Цель: Реализация согласованных недопустимых событий без реального ущерба
Сроки: От 6 недель, зависят от размера организации и целей
Результат: Отчёт с цепочками атак, временными отметками и оценкой работы мониторинга

Что такое киберучения

В рамках киберучений симулируются действия злоумышленников и проверяется эффективность средств и контролей защиты на стороне заказчика. Команда безопасности или SOC может оказывать активное сопротивление, при этом команда исполнителя практически не ограничена в действиях в пределах согласованных правил.

Учения позволяют оценить реальный уровень защищённости организации в условиях, максимально приближённых к реальной атаке, и выявить слабые места, которые могут быть использованы для проникновения в сеть и реализации недопустимых для бизнеса событий.

Red teaming и пентест: в чём разница

Это разные инструменты под разные задачи. Их часто используют последовательно: сначала закрывают уязвимости пентестом, затем проверяют оборону учениями.

Аспект	Пентест	Red teaming
Цель	Найти как можно больше уязвимостей в заданной области	Достичь конкретной цели и проверить, заметят ли это
Область	Согласованный перечень систем или приложений	Вся организация: ИТ, люди, физическая площадка
Осведомлённость защиты	ИБ-команда знает о работах и не мешает	Знает ограниченный круг лиц; SOC реагирует как на реальную атаку
Скрытность	Не является целью, важнее покрытие	Ключевой фактор: обход средств защиты и мониторинга
Главный результат	Перечень находок с рекомендациями по устранению	Оценка способности обнаружить и остановить целевую атаку

См. также обзор пентеста и социотехническое тестирование.

Методологии учений

В рамках одних учений методологии комбинируются для достижения согласованной цели — так, как это сделал бы реальный злоумышленник.

Внешнее тестирование на проникновение

Удалённое получение доступа во внутреннюю сеть организации через эксплуатацию уязвимостей в периметре.

Социальная инженерия

Методы социальной инженерии для получения доступа и повышения привилегий в системах заказчика. Подробнее на странице социотехнического тестирования.

Физическое тестирование на проникновение

Получение доступа во внутреннюю сеть непосредственно на территории организации, включая тестирование беспроводных сетей.

Внутреннее тестирование на проникновение

Повышение привилегий, закрепление, горизонтальное продвижение, извлечение данных и реализация недопустимых событий и бизнес-рисков.

Что оценивается на каждом этапе

Сценарий выстраивается по тактикам MITRE ATT&CK. Для заказчика важно не то, какие техники применяются, а что именно каждый этап проверяет в его обороне.

Тактика (MITRE ATT&CK)	Что делает атакующая сторона	Что это проверяет в защите
Разведка	Сбор данных об организации по открытым источникам	Какой объём чувствительной информации доступен снаружи и облегчает атаку
Первоначальный доступ	Проверка векторов проникновения через периметр, людей и площадку	Какой вектор срабатывает и фиксирует ли его мониторинг
Закрепление и управление	Активность на скомпрометированном узле	Способность средств защиты узла обнаружить и остановить активность
Повышение привилегий	Использование ошибок конфигурации и слабых мест учётных записей	Насколько быстро рядовой доступ превращается в административный
Доступ к учётным данным	Проверка защиты паролей и привилегированных учётных записей	Качество парольных политик и защита административного доступа
Горизонтальное продвижение	Перемещение между узлами и сегментами сети	Эффективность сегментации и мониторинга внутреннего трафика
Извлечение данных	Поиск и выгрузка чувствительных данных по разрешённым каналам	Контроль утечек и обнаружение аномального исходящего трафика
Воздействие	Демонстрация недопустимого события без реального ущерба	Достижима ли цель учений и за какое время её замечают

Процесс проведения учений

Порядок обеспечивает реалистичность сценария и безопасность для рабочих систем. Критические находки сообщаем немедленно.

01
Планирование и подготовка
Определяем цели и границы учений, недопустимые события, которые нужно попытаться реализовать, и правила взаимодействия. Готовим команду и инструменты, согласуем контакты для экстренной связи.
02
Разведка и сбор информации
Собираем информацию о целевой организации, её инфраструктуре, сотрудниках и используемых технологиях по открытым источникам, чтобы выстроить реалистичный сценарий.
03
Проведение учений
Реализуем согласованные сценарии: внешнее и внутреннее тестирование на проникновение, социальная инженерия и физическое проникновение. Команда SOC заказчика может оказывать активное сопротивление, атакующая сторона практически не ограничена в действиях в рамках правил.
04
Документирование и анализ
Фиксируем все действия, использованные векторы и временные отметки существенных событий. Эти данные позволяют затем разобрать, что и когда зафиксировал мониторинг заказчика.
05
Отчётность и рекомендации
Готовим отчёт с выявленными уязвимостями, цепочками атак, временными отметками и рекомендациями по улучшению системы безопасности и процессов обнаружения.

Отчёт по результатам

Отчёт содержит как описания отдельных уязвимостей и векторов, так и цепочки атак, приведшие к реализации рисков и недопустимых событий. Временные отметки существенных действий позволяют разобрать эффективность работы мониторинга на стороне заказчика.

Методология и структура отчёта

Уязвимости и векторы: Описание выявленных уязвимостей и векторов атак с оценкой риска
Цепочки атак: Последовательности, приведшие к реализации рисков и недопустимых событий
Временные отметки: Хронология существенных действий для разбора работы мониторинга
Оценка обнаружения: Что и когда зафиксировал SOC, где реакция запоздала или отсутствовала
Рекомендации: Приоритизированные меры по улучшению защиты и процессов обнаружения

Вопросы о киберучениях

Чем red teaming отличается от обычного пентеста?

Пентест ищет как можно больше уязвимостей в заданной области, и ИБ-команда знает о работах. Red teaming — это скрытая симуляция целевой атаки на всю организацию, включая людей и физическую площадку, с конкретной целью вроде доступа к платёжной системе. Главный результат учений — не список уязвимостей, а ответ на вопрос, способны ли средства защиты и SOC обнаружить и остановить реального нарушителя.

Что проверяют киберучения?

Эффективность средств и контролей защиты и работу центра мониторинга (SOC): увидит ли он атаку, как быстро отреагирует и сможет ли остановить продвижение. Попутно выявляются слабые места, которые позволяют выстроить цепочку атаки до критичных систем, и проверяется возможность реализации недопустимых событий, согласованных на старте.

Когда компании стоит заказывать red teaming, а не пентест?

Когда базовые уязвимости уже закрыты, есть собственный или внешний SOC и средства защиты, и нужно проверить их в условиях, приближенных к реальной атаке. Если процессы ИБ только выстраиваются, обычно эффективнее начать с пентеста инфраструктуры и приложений, а к учениям перейти позже.

Безопасны ли киберучения для рабочих систем?

Да. Недопустимые события демонстрируются без реального ущерба, разрушающие действия и отказ в обслуживании исключаются, а правила и контакты для экстренной связи фиксируются до начала. Критические находки сообщаем немедленно.

Кто в компании должен знать о проведении учений?

Чтобы проверка мониторинга была честной, о работах знает ограниченный круг лиц со стороны заказчика, а команда SOC реагирует как на реальный инцидент. Состав посвящённых и порядок деконфликтинга согласуются заранее.

Что входит в отчёт по результатам учений?

Описание выявленных уязвимостей и векторов, цепочки атак, приведшие к реализации рисков и недопустимых событий, временные отметки существенных действий, оценка эффективности работы мониторинга и приоритизированные рекомендации по улучшению защиты.

Сколько длятся киберучения?

Как правило, от шести недель: разведка, подготовка сценариев и собственно продвижение занимают больше времени, чем в обычном пентесте, за счёт требований к скрытности. Точные сроки зависят от размера организации и целей и фиксируются после скоупинга.

Заказать киберучения

Опишите, какие недопустимые события важно проверить и есть ли у вас SOC или средства мониторинга. Согласуем цели, правила и состав работ и зафиксируем стоимость и сроки после скоупинга. NDA подписываем до обсуждения деталей.

Почта: info@deteact.ru
Телефон: +7 499 444-12-46
Офис: Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия: ФСТЭК России №Л024-00107-00/00581935

Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.