L'azienda propone un esercizio di purple team al posto del penetration test: cos'è e ci serve davvero?

Dal punto di vista tecnico, il red team attacca e il blue team cerca di rilevare. Il purple team funge da arbitro o protocollo di lavoro congiunto. L'attaccante prova una determinata tecnica, si controlla se compare il log per il blue team e, in caso contrario, si scrive la regola. Se internamente non c'è nessuno che gestisca attivamente i log centralizzati e l'EDR, non riuscirete a implementare l'output tecnico di questa simulazione nella vostra infrastruttura.

L'anno scorso con il nostro team di 45 persone ci siamo fatti prendere dallo stesso entusiasmo e abbiamo pagato 14.500 dollari per questo esercizio. Il nostro ingegnere di sistema non è riuscito a staccare la testa dalle riunioni per 10 giorni e gli aggiornamenti di routine dei server ne hanno risentito. Alla fine ci siamo ritrovati solo con decine di suggerimenti di configurazione che non abbiamo mai avuto il tempo di applicare. Quando siamo tornati al test classico abbiamo tirato un sospiro di sollievo.

Di recente le società di consulenza sulla sicurezza gonfiano le fatture con questi concetti perché i margini sui test di routine sono calati. Cercare di vendere 16.000 dollari di esercitazione congiunta a una realtà con due persone di infrastruttura non è un approccio consulenziale in buona fede. Vi hanno impacchettato un servizio non adatto alle vostre esigenze.

edit: ho scritto da telefono, scusate gli errori di battitura.

Affinché un'attività di purple team sia davvero efficace, devono esserci queste tre condizioni: 1) Presenza di un sistema centralizzato di raccolta log e di rilevamento endpoint, 2) Almeno una persona dedicata a tempo pieno al blue team che gestisca questi sistemi quotidianamente, 3) Le vulnerabilità emerse nei precedenti penetration test di base devono essere state completamente risolte. Senza questi requisiti, sono solo soldi buttati.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

il nostro team infrastruttura di due persone si perderebbe completamente in quei meeting. comunque bloccare i sistemisti x due settimane paralizzerebbe l'azienda anche a livello operativo. secondo me restate sul classico penetration test.

Scrivete chiaramente all'azienda: non disponiamo di un team interno dedicato alla cyber defence, pertanto vi chiediamo cortesemente di scorporare la parte di purple team e revisionare l'offerta limitandola al solo penetration test interno ed esterno. Se non dovessero accettare, rivolgetevi alla società con cui collaboravate prima o a un altro fornitore terzo.

È un argomento che non conosco bene, ma questo blue team non può essere la società di supporto esterno da cui acquistiamo i servizi? boh non possiamo coinvolgere anche loro in questo test?

Nei modelli di maturità aziendale, il purple team rappresenta un processo avanzato. Inoltre, qualora le normative o i grandi clienti corporate vi richiedessero un report di audit indipendente, vorranno vedere un report ufficiale di penetration test e non il verbale di un'esercitazione di purple team. Anche da questo punto di vista, il test tradizionale ha la priorità.

Secondo voi funziona a tutte le scale? Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

esatto, e non è nemmeno così noto. boh quando decidiamo senza misurare, finiamo sempre nello stesso punto.

la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Assolutamente. Se devo aggiungere qualcosa: Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Può approfondire un po'? Chiunque abbia fretta su purple team sicurezza informatica si blocca nello stesso punto.

Se scrivete qui il risultato, sarà utile anche ad altri.

Racconto cosa mi è successo, magari vi è utile. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Lascio una nota potrebbe servire.

racconto la mia esperienza e insomma se ricevete tre risposte diverse su un argomento la domanda è posta male.

gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Riassumo quanto detto finora. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Buon lavoro.

Argomento molto attuale.

Ti seguo. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Se scrivete qui il risultato, sarà utile anche ad altri.

Grazie mille, proverò oggi.