Ci hanno proposto un'attività di red teaming — cos'è e che differenza c'è con un pentest per la nostra scala?

Il pentest è come un inventario: scansiona porte, servizi ed errori di codice, poi vi fa un report per farveli sistemare. Il red team invece punta a non farsi beccare. Conduce l'attacco poco a poco per non finire nei log del firewall o dell'antivirus. Se dentro l'azienda non c'è un SIEM o qualcuno che analizza attivamente i log, nessuno vedrà mai l'attacco e il test perde completamente di senso.

L'anno scorso, con lo stesso entusiasmo, abbiamo speso 210.000 TL per un'attività di red team sulla nostra infrastruttura e-commerce da 80 persone. Il risultato? Un dipendente ha cliccato su una finta mail di un corriere e da lì hanno preso i privilegi di dominio. L'80% del report finale riguardava cose risolvibili con un po' di formazione base al personale e una restrizione dei permessi. Col senno di poi, avremmo fatto meglio a usare quei soldi per completare i backup e l'isolamento dei server.

Sembra proprio la classica mossa del commerciale che deve chiudere il target. Con il budget attuale vi conviene ampliare il perimetro del pentest annuale, ad esempio aggiungendo l'analisi del codice sorgente o il test di sicurezza sulle API. Fare il salto da 65.000 TL a 260.000 TL per la vostra dimensione è prematuro.

Che tipo di scenario ha proposto l'azienda? Quante settimane di lavoro prevedono e il perimetro include solo la parte digitale o anche intrusioni fisiche in ufficio e chiamate di social engineering? Sono dettagli che cambiano parecchio il prezzo.

Prima che un'azienda sia pronta per un red team servono queste tre condizioni: 1) Aver azzerato le vulnerabilità critiche e alte con regolari pentest, 2) Avere un sistema centralizzato di log e allarmi attivo 24/7 sulla rete aziendale, 3) Avere un piano di incident response testato che stabilisca chi fa cosa in caso di attacco.

lo hanno fatto anche nella mia vecchia azienda hanno clonato la mail del dg e la contabile ha subito dato la password. confermo, non serve spendere un quarto di milione di lire per capire 'sta cosa.

Visto che i margini sui pentest sono scesi, le società di consulenza provano sempre a vendere pacchetti fighi tipo red team o purple team. Ma se non c'è una squadra a difendere, contro chi giocano? Fanno gol a porta vuota e poi vi compilano il report.

Risparmiatevi quei soldi... Con un quarto di quella cifra fate fare al team un ottimo corso di secure coding e con il resto aggiornate i tool di vulnerability scanning. Anche solo una sessione interna di formazione sulla sicurezza vi sarà più utile di quel report.

C'è una cosa a cui prestare attenzione. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Buon lavoro.

Scusate, ma questo non vale in ogni caso. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Correggetemi se sbaglio.

Racconto la mia esperienza. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Se scrivete qui il risultato, sarà utile anche ad altri.

Il mio dubbio è stato chiarito, grazie.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

È tutto, scusate se mi sono dilungato.

Bisogna fare una distinzione qui. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se avete domande, scrivete, rispondo per quanto possibile.

Hai fatto bene ad aprire questo thread. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Se non ho capito male, stai dicendo che: Il vero problema non è il numero, ma su cosa si basa quel numero.

Sì, per quanto riguarda cos'è il red team la situazione è esattamente così. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Questa è la mia opinione, non la scrivo come verità assoluta.

esattamente così ma ogni punto non scritto è un punto che in futro le due parti ricorderanno diversamente.

se scrvete qui il risultato sarà utile anche ad altri.