Приходят предложения по «red team/blue team» — в чём реальная разница и что из этого нам нужно?

Нанимать red team, когда нет синей команды и мониторинга — это как нанять профессионального домушника со словами «а ну-ка вскрой меня», не поставив на дверь нормальный замок и сигналку. Естественно, он войдёт, а вы просто выкинете деньги. Сначала строят забор, потом проверяют.

Принимая решение, пройдитесь по трём пунктам: 1) Есть ли у вас мониторинг подозрительной активности 24/7? Если нет — сначала blue team. 2) Проходят ли регулярные пентесты без критических замечаний? Если там куча дыр — red team пока не нужен. 3) Если защита уже отстроена и надо проверить её устойчивость к реальным атакам — вот тогда берут red team.

Мы в своей команде из 40 человек повелись на моду и сразу отдали 95.000 AED за red team. За две недели они проникли вообще везде и принесли отчёт. В конце добавили: «Ваша синяя команда нас даже не заметила» — ну так у нас её и не было, следить некому было. Пользы ноль, надо было начинать с мониторинга.

Консалтинговые конторы обожают впаривать малому бизнесу модные слова. Внимательно вчитайтесь в требования ваших заказчиков: в 90% случаев им нужен не red team, а обычный качественный пентест веб-приложения от независимого аудитора.

Если мечетесь между двумя вариантами, спросите у подрядчиков про формат purple team («пурпурная команда»). Там нападение и защита работают открыто: хакер применяет технику, а ваши разрабы тут же смотрят в экран и пишут правило детекта. Для бюджета это в разы полезнее и нагляднее.

мы тоже в финтехе и получали такие же сметы. в итоге сначала подняли мониторинг и сбор логов с серверов вышло в разы дешевле.. потом без мониторинга заказывать атакующие тесты — чистой воды понты.

edit: исправил несколько опечаток.

Регуляторы в сфере финансовых технологий в первую очередь требуют ведения аудит-логов, строгого разграничения прав доступа и непрерывного мониторинга. На текущем этапе развития компании инвестиции в защиту и мониторинг более приоритетны как с юридической, так и с операционной точки зрения.

180.000 AED в год для штата в 35 человек — это огромные деньги, не сливайте бюджет. Закройте требования клиентов обычным пентестом и базовым сбором логов а до больших симуляций дорастёте позже.

У меня было наоборот, поэтому и пишу. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

мне тоже интересно.

Именно так и при этом об этом мало кто знает. Спешка в решениях оборачивается исправлениями через полгода.

То что делают все, не значит, что это правильно. Это мое мнение, не утверждаю, что оно единственно верное.

На это стоит обратить внимание. Ошибка, сделанная на стороне красная команда синяя команда, обычно исправима, но дорого.

Надеюсь, это будет полезно.

Вы правы. Непроверенная резервная копия — не резервная копия.

Согласен хочу даже особо подчеркнуть. Не полагайтесь на одну меру защиты; действуйте слоями.

Оставлю как заметку, пригодится.

Спасибо, что написали об этом, это действительно так. Чем сложнее отменить решение, тем медленнее его принимайте.

Здесь описано ровно то, что пережили мы. Автоматический отчет о сканировании и пентест — это не одно и то же.

Это мое мнение, не утверждаю, что оно единственно верное.

Я думаю иначе. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения. Интересно, есть ли те, кто делает иначе.

Редко встретишь текст с такой ясностью изложения.