Riceviamo offerte per «Red Team / Blue Team» — qual è la differenza pratica e di cosa abbiamo davvero bisogno?

Ingaggiare un Red Team senza avere prima un Blue Team (cioè il monitoraggio difensivo) è un po' come assumere un ladro professionista per vedere se riesce a entrare in casa vostra quando non avete nemmeno montato una serratura o un allarme. Chiaro che ci riesce, e voi avete buttato soldi. Prima costruite le difese.

Per decidere guardate questi 3 punti: 1) Avete una struttura che monitora i comportamenti sospetti sui sistemi h24? Se no, serve il Blue Team. 2) I pentest svolti 2 volte all'anno risultano puliti? Se no, niente Red Team. 3) Se la difesa è solida e volete testarne la resilienza, allora prendete il Red Team.

Noi nel nostro team di 40 persone ci siamo fatti prendere dall'entusiasmo e abbiamo speso 95.000 AED direttamente per un Red Team. In due settimane sono entrati nell'infrastruttura e ci hanno consegnato il report. Ci hanno detto: 'Il vostro Blue Team non si è accorto di nulla', ma grazie, non avevamo nessuno a monitorare. Non ci è servito a niente, avremmo dovuto impostare prima il monitoraggio.

Alle società di consulenza piace un sacco vendere pacchetti alle PMI usando paroloni fighi. Leggete bene i requisiti che vi chiedono i clienti: di solito non serve un Red Team, ma un solido penetration test per applicazioni web condotto da una terza parte indipendente.

Se siete indecisi tra i due modelli, chiedete se offrono un'attività di 'Purple Team'. Nel Purple Teaming chi attacca e chi difende non lavora a scatola chiusa: mentre viene eseguita una tecnica di attacco, si analizza lo schermo insieme ai vostri sviluppatori e si scrive contestualmente la regola difensiva. In termini di budget è infinitamente più formativo.

lavoriamo nel fintech e avevamo ricevuto offerte simili. boh prima abbiamo messo su un sistema di monitoraggio per raccogliere i log dei server, la sesa è stata molto + ragionevole. fare test di attacco senza monitoraggio è solo fumo negli occhi.

edit: ho corretto alcuni errori di battitura.

Le normative del settore fintech impongono in via prioritaria la conservazione dei log di audit, i controlli degli accessi e capacità di monitoraggio continuo. Al livello di maturità attuale della vostra azienda, gli investimenti focalizzati sulla difesa e sul monitoraggio devono avere la precedenza sia dal punto di vista legale che operativo.

Cifre come 180.000 AED all'anno non sono certo bruscolini per un'azienda di 35 persone, non prosciugate subito il budget. comunque sistemate i pentest minimi richiesti dai contratti e il monitoraggio log di base; a simulazioni così avanzate ci passerete man mano che l'azienda cresce.

A me è successo l'esatto contrario, per questo scrivo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

mi chiiedo anch'io.

Esatto, e non è nemmeno così noto. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Questa è la mia opinione non la scrivo come verità assoluta.

C'è una cosa a cui prestare attenzione. comunque l'errore commesso da red team blue team è generalmente reversibile ma costoso.

Spero che le sia utile.

Ha ragione. Un backup non testato non è un backup.

Sono d'accordo, anzi vorrei sottolinearlo. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Lascio una nota potrebbe servire.

Grazie per averlo scritto, è proprio così. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Questa è la mia opinione, non la scrivo come verità assoluta.

La penso diversamente. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Raro trovare articoli che spiegano le cose così chiaramente.