Firma sızma testi yerine purple team egzersizi öneriyor, bu nedir ve bize gerekir mi?

Teknik açıdan red team saldırır, blue team tespit etmeye çalışır. Purple team ise bir hakem veya ortak çalışma protokolüdür. Saldırgan belli bir teknik dener, mavi ekibe log düştü mü bakılır, düşmediyse kural yazılır. İçeride merkezi log ve EDR yönetimini aktif yapan kimse yoksa bu tatbikatın teknik çıktısını altyapınıza işleyemezsiniz.

Geçen yıl 45 kişilik ekibimizle benzer bir hevesle 14.500 dolar ödeyip bu egzersize girdik. Sistem mühendisimiz 10 gün boyunca toplantılardan kafasını kaldıramadı ve rutin sunucu güncellemelerimiz aksadı. Günün sonunda elimizde sadece onlarca ayar önerisi kaldı ama uygulayacak vaktimiz olmadı. Klasik teste dönünce rahatladık.

Güvenlik danışmanlık firmaları son dönemde rutin testlerin marjları düştüğü için sürekli bu tarz kavramlarla fatura kabartıyor. İki kişilik altyapı kadrosu olan yere 16.000 dolarlık ortak tatbikat satmaya çalışmak iyi niyetli bir danışmanlık yaklaşımı değil. Size uymayan bir hizmeti paketlemişler.

edit: telefondan yazdım, yazım hatalarım için kusura bakmayın.

Purple team çalışmasının verimli olması için şu üç şartın bulunması gerekir: 1) Merkezi log toplayıcı ve uç nokta tespit sisteminin kurulu olması, 2) Bu sistemleri her gün yöneten en az bir tam zamanlı mavi takım personelinin bulunması, 3) Temel sızma testi açıklarının geçmişte tamamen kapatılmış olması. Bunlar yoksa paranız boşa gider.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

bizim iki kişilik altyapı ekibi o toplantılarda kaybolur gider bir de iki hafat boyunca sistem yöneticilerini bağlamak şirketi operasyonel olarak da kilitler. klasik sızma testinden şaşmayın derim.

Firmaya açıkça şunu yazın: İç yapımızda özel bi siber savunma ekibi bulunmuyor, bu nedenle purple team kapsamını çıkarıp teklifi yalnızca harici ve dahili sızma testi olarak revize etmelerini rica ediyoruz. Kabul etmezlerse eski çalıştığınız veya başka bi bağımsız test firmasıyla ilerleyin.

benim bilmediğim bi konu, mavi takım dediğimiz şey dışarıdan hizmet olarak aldığımız destek firması olamıyor mu? onları da bu teste dahil edemez miyiz?

Kurumsal olgunluk modellerinde purple team ileri seviye bir süreçtir. Mevzuat veya büyük kurumsal müşteriler sizden bağımsız bir denetim raporu talep ettiğinde de purple team egzersiz tutanağı yerine resmi bir sızma testi raporu görmek isteyeceklerdir. Bu açıdan da klasik test önceliklidir.

Sizce bu her ölçekte işler mi? İki hafta boyunca not tutmak altı aylık tahminden iyi sonuç veriyor.

aynen öyle üstelik bu kdr bilinmiyor. ölçmeden kaarar verince hep aynı yere geliyoruz

olayların çoğu zafiyetten dgl sızmış bir paroladan başlıyor

Kesinlikle. Üstüne bi şey eklemek gerekirse: Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.

Kararı geri almak ne kadar zorsa o kadar yavaş verin.

Bunu biraz açabilir misiniz? purple team siber güvenlik konusunda acele eden herkes aynı yerde takılıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Benim başımdan geçeni yazayım, belki işinize yarar. valla yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

Not olarak bırakayım, lazım olur.

kendi tecrubemi yzaayim ve bi konuda uc fakrli ceavp aliyorsaniz soru yanlis sorulmustur.

unutulmuş test ortamlaı canlı sistemden daha sık kapı oluyor

Buraya kadar söylenenleri özetleyeyim. Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Kolay gelsin.

Tam zamanında bir konu.

Takipteyim. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Çok teşekkürler, bugün deneyeceğim.