Due preventivi: penetration test normale e simulazione di red team a prezzo triplo — vale la pena spendere così tanto?

Lo scopo del red team non è solo bucare la sicurezza, ma misurare la capacità di detection del blue team (la difesa). Se non raccogliete log centralizzati tramite SIEM o EDR sulla rete, l'attività perde completamente di senso. Il pentest adesso vi dà risposte molto più concrete per sistemare le falle a livello di codice.

noi due anni fa ci siamo fatti prendere dall'entusiasmo e abbiamo preso un red team. sti tipi hanno mandato una finta mail di un corriere allo stagista sono entrati e poi ci hanno mollato un report di 40 pagine e ciao. ci siamo sentiti come se avessimo buttato 50 mila sar prima bisognava sistemare le falle basilari.

Per una piattaforma con 300 grossisti, un penetration test standard rileva in media tra le 8 e le 12 vulnerabilità di livello medio e alto. Nel nostro test da circa 25.000 SAR abbiamo individuato 3 falle critiche di privilege escalation e le abbiamo patchate in due settimane. I soldi che avremmo speso per il red team li abbiamo investiti nell'infrastruttura.

La decisione dovrebbe essere molto semplice: scegliete il penetration test da 25.000 SAR e aggiungeteci un software annuale di awareness e simulazione phishing per i dipendenti sui 5.000-10.000 SAR. In questo modo testerete internamente la social engineering che farebbe il red team, spendendo molto meno.

Le aziende usano l'etichetta "red team" come una figata di marketing per gonfiare i prezzi. Delle 4 settimane di cui parlano, 3 sono solo attesa passiva e ricognizione. Per le piccole imprese la maggior parte delle volte è fumo negli occhi un lusso inutile.

Se il vostro team è di 15 persone, un'esercitazione di red team crea solo paranoia inutile in ufficio, iniziano tutti a guardarsi con sospetto. Blindate prima il codice e i server. Inutile testare il sensore in giardino se la porta di casa non è nemmeno chiusa a chiave.

Dare 75.000 SAR a un ladro per dirgli "vediamo se riesci a intrufolarti senza farti beccare", quando non hai né allarme né guardiano, è davvero una gestione geniale del budget. Soldi buttati solo per scoprire che entrano perché la porta era spalancata.

Ma nei contratti con i vostri clienti B2B o nelle integrazioni con gli istituti di pagamento a cui siete soggetti c'è espressamente una clausola del tipo "obbligatoria simulazione di red team", o richiedono semplicemente un report di audit generico?

Come avete risolto questo? Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Chiunque abbia fretta su red team cyber security si blocca nello stesso punto. Naturalmente cambia se la vostra situazione è diversa.

Raro trovare articoli che spiegano le cose così chiaramente.

mi farebbe piacere se scrivesse il risultato.

Sono della stessa opinione. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Salvato.

Il punto più trascurato riguardo a red team cyber security è questo: Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Correggetemi se sbaglio.

Lascio un avvertimento. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Sono emerse tre opinioni diverse, si completano a vicenda. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Se scrivete qui il risultato, sarà utile anche ad altri.

Ha ragione. La risposta varia molto in base al settore, non esiste una regola generale.

Correggetemi se sbaglio.

Sono d'accordo anzi vorrei sottolinearlo. Se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Se avete domande, scrivete rispondo per quanto possibile.