L'agenzia propone il "Red Teaming": cosa significa esattamente per un'azienda di 20 persone?

Proporre il Red Teaming a un'azienda di 20 persone è palesemente un modo dell'agenzia per gonfiare il preventivo. Se non avete un team interno di difesa informatica (Blue Team) che monitora gli attacchi e gestisce gli allarmi cosa dovrebbe testare il Red Team? Attaccheranno da soli dicendo "guardate siamo entrati" e vi staccheranno una fattura da 24.000 EUR. Statene assolutamente alla larga.

Il Red Teaming include scenari di social engineering, bypass della sicurezza fisica e permanenza non rilevata all'interno del sistema (persistence). Di solito dura settimane. Se non siete soggetti a rigidi requisiti di conformità come ISO 27001 o TISAX, per una PMI un penetration test mirato su infrastruttura cloud ed endpoint API è più che sufficiente.

Scegliete il penetration test da 6.500 EUR ma definite bene il perimetro: "Includere configurazione server cloud, interfaccia web e controlli di autorizzazione API". All'agenzia dite semplicemente: "Non abbiamo ancora un security operations center interno, quindi non siamo pronti per una simulazione di Red Team", e chiuderanno lì il discorso.

Siamo una società di consulenza finanziaria di 35 persone. Due anni fa abbiamo accettato una proposta simile. Risultato: hanno fatto cliccare a un dipendente un finto link di tracciamento pacchi, sono entrati in ufficio fingendosi stagisti e hanno preso una chiavetta USB da una scrivania vuota. Abbiamo pagato 20.000 EUR e l'unica cosa imparata è stata che il personale deve fare più attenzione. Ottenevamo la stessa consapevolezza con un corso interno da 2.000 EUR.

I vostri clienti sono grandi colossi della logistica? A volte i grandi clienti corporate inseriscono nei contratti con i fornitori la clausola di un "Red Teaming annuale o simulazione avanzata delle minacce". Se non avete questo obbligo contrattuale, per un team di 20 persone è pura fantascienza.

correzione: mi ricordavo male il numero, era un po' più basso.

il pentest controlla se porte e finestre dell'edificio sono chiuse a chiave, il red team prova a scalare il palazzo e calarsi dal camino... se non hai ancora le chiavi alla porta non ha senso mettere l'allarme sul camino. fate il test standard e andate sul sicuro.

Nella software house da 25 persone in cui lavoravo prima, l'agenzia ci fece un Red Team. Un tipo entrò fingendosi il fattorino della pizza, prese la password del Wi-Fi dalla bacheca in cucina e se ne andò. Scrissero un report fighissimo, ma alla fine ciò che interessava ai nostri clienti era avere tutte le patch di sicurezza applicate sul server. Bisogna saper distinguere le priorità.

Bisogna fare una distinzione qui. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi. Io seguirei questa strada.

Ho vissuto la stessa cosa due anni fa. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Grazie mille, era la risposta che cercavo.

Grazie mille, era la risposta che cercavo. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

È tutto, scusate se mi sono dilungato.

Sono d'accordo, anzi vorrei sottolinearlo. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Se scrivete qui il risultato, sarà utile anche ad altri.

esatto, e non è nemmeno così noto ma insomma chiunque abbia fretta su significato di red teaming si blocca nello stessso punto.

prenere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi poi insomma correggetemi se sbaglio.

Vorrei fare una domanda. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Il vero problema non è il numero, ma su cosa si basa quel numero.

C'è un errore comune che si commette facendo questo. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Buon lavoro.

vorrei fare una domanda poi cioè avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Ci proverò.

Sono d'accordo, anzi vorrei sottolinearlo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.