Безопасники вместо пентеста предлагают purple team — что это вообще и нужно ли нам?

С технической стороны: red team атакует, blue team детектит. Purple team — это регламент их взаимодействия. Атакер крутит пейлоад, смотрим — упал лог или нет; не упал — пишем правило. Если у вас некому админить централизованный сбор логов и EDR, профита от таких учений инфраструктура не получит.

Мы в прошлом году повелись на эту тему, в команде 45 человек, отвалили 14.500 долларов. В итоге системный инженер 10 дней не вылезал из созвонов, штатные апдейты серверов встали. На выходе получили простыню рекомендаций по тюнингу, которые некому внедрять. Вернулись к обычному пентесту и выдохнули.

Консалтеры сейчас пушат эти модные термины, потому что на базовых пентестах маржа просела. Впаривать учения за 16.000 долларов конторе с двумя админами — чистый апсейл, а не забота о клиенте. Вам продают то, к чему вы инфраструктурно не готовы.

edit: писал с телефона, извините за опечатки.

Для того чтобы Purple Team отработал эффективно, необходимо соблюдение трех условий: 1) Наличие развернутых систем централизованного сбора логов и EDR, 2) Как минимум один штатный специалист Blue Team, администрирующий эти системы на ежедневной основе, 3) Полное устранение базовых уязвимостей, выявленных на прошлых пентестах. Если этого нет, деньги просто улетят на ветер.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

наша инфраструктурная команда из двух человек на этих созвонах просто утонет... привязать сисадминов на две недели — это парализовать всю операционку в компании... имхо не выпендривайтесь и берите классический пентест.

Напишите компании прямо: у нас внутри нет выделенной команды киберзащиты, поэтому просим исключить Purple Team из скоупа и пересмотреть КП, оставив только внешний и внутренний пентест. Если откажутся, работайте со старыми подрядчиками или найдите другую независимую фирму.

Тема для меня новая: а то что мы называем Blue Team, не может быть компанией на аутсорсе у которой мы техподдержку покупаем? честно разве нельзя их тоже подключить к этому тесту?

В моделях зрелости информационной безопасности Purple Team относится к продвинутому уровню. Кроме того, когда регуляторы или крупные корпоративные клиенты запрашивают у вас отчет независимого аудита, они ожидают увидеть официальный отчет о проведении пентеста, а не протокол учений Purple Team. С этой точки зрения классический тест также находится в приоритете.

Как думаете, это сработает в любом масштабе? Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

именно так, и при этом об этом мало кто знает. без измерений мы всегда приходим к одному и тому же.

большинство инцидентов начиинается не с уязвимости а с украденного пароля.

Абсолютно. Если добавить к этому: При принятии решений записывайте и худший сценарий, а не только лучший.

Чем сложнее отменить решение, тем медленнее его принимайте.

Не могли бы вы это пояснить? Все, кто торопится с purple team кибербезопасность спотыкаются на одном и том же.

Если напишете результат здесь, это поможет и другим.

Расскажу что было у меня, вдруг пригодится. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Оставлю как заметку, пригодится.

поделюсь своим опытом но кстати если на один вопрос вы плучаете три разных ответа вопрос задан неправильно.

забыттые тестовые среды становятся входом в систему чаще чем продакшн.

Позвольте подвести итог сказанному выше. Процесс по которому не ведется учет, не улучшается потому что вы не знаете, что именно улучшать.

Удачи.

Очень актуальная тема.

Слежу за темой. Если делаете впервые, начните с малого, масштабирование потом.

Если напишете результат здесь, это поможет и другим.

Большое спасибо, сегодня попробую.