Есть два предложения: обычный пентест и учения red team втрое дороже — стоит ли эта разница таких денег?

Цель red team — не просто проникнуть, а измерить способность blue team (защиты) к обнаружению. Если в вашей сети не собираются централизованные логи SIEM или EDR, учения теряют смысл. Пентест сейчас даёт куда более конкретный результат для закрытия уязвимостей на уровне кода вашего ПО.

мы два года назад воодушевились и заказали red team. ну ребята отправили фейковое письмо о доставке стажёру компании и вошли внутрь, потом написали отчёт на 40 страниц и ушли. ощущение что 50 тысяч SAR улетели в трубу, сначала надо было закрыть базовые дыры.

для платформы с 300 оптовиками стандартный пентест в среднем выявляет 8-12 уязвимостей среднего и высокого уровня. В нашем тесте за 25.000 SAR мы поймали 3 критических дыры с превышением прав и залатали их за две недели. Деньги, которые собирались потратить на red team, вложили в инфраструктуру.

Ваше решение должно быть очень простым: выбирайте пентест за 25.000 SAR, а рядом добавьте годовое ПО для обучения сотрудников и симуляции фишинга за 5.000-10.000 SAR. Социальную инженерию, которую попробовала бы red team, вы протестируете внутри себя гораздо дешевле.

Компании используют ярлык "red team" как понтовый маркетинговый аргумент и задирают цену в разы. Из 4 недель о которых они говорят, 3 недели — это пассивное ожидание и разведка. Для малого бизнеса это чаще всего не что иное, как роскошь.

Если у вас команда из 15 человек, учения red team вызовут в офисе ненужную паранойю все начнут смотреть друг на друга с подозрением. Сначала обезопасьте свой код и сервер. Не надо тестировать датчик на заднем дворе, пока дверь дома не заперта.

Когда у вас нет ни сигнализации, ни охраны, заплатить вору 75.000 SAR за "а слабо тебе незаметно пробраться внутрь" — это реально гениальное использование бюджета. Жалко этих денег, чтобы просто увидеть, как они войдут через открытую дверь.

А в ваших договорах с B2B-клиентами или в интеграциях с платёжными организациями, которым вы подчиняетесь есть особое условие типа "учения red team обязательны", или требуется просто общий аудиторский отчёт?

А как вы решили этот вопрос? Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Все, кто торопится с red team кибербезопасность, спотыкаются на одном и том же. Конечно, если ваша ситуация отличается, всё меняется.

Редко встретишь текст с такой ясностью изложения.

буду рад если напишете о результате.

Я тоже так считаю. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Интересно, есть ли те, кто делает иначе.

Сохранил.

Самое упускаемое из вида в теме red team кибербезопасность: Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Исправьте, если я ошибаюсь.

Хочу предупредить. Больше всего времени у нас уходило на то, что было непонятно кто принимает решения.

То, что делают все, не значит что это правильно.

Появились три разных мнения, они дополняют друг друга. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Если напишете результат здесь, это поможет и другим.

Вы правы. Ответ сильно зависит от отрасли, универсального правила нет.

Исправьте, если я ошибаюсь.

Согласен, хочу даже особо подчеркнуть. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Пишите если есть вопросы отвечу по мере возможности.