Assumed Breach tests apzināti izlaiž sākotnējās ielaušanās posmu. Sākam no saskaņota foothold, piemēram, standarta lietotāja konta vai darbstacijas, un pārbaudām, kādas privilēģijas, sistēmas un kritiskie aktīvi no tā kļūst sasniedzami. Vienlaikus, ja tas ietilpst mērķī, vērtējam, ko no šīs aktivitātes pamana Jūsu aizsardzības kontroles un komanda.
Šī pieeja sākas ar iepriekš definētu kompromitācijas pieņēmumu. Mēs netērējam testa laiku, lai vispirms iegūtu ārēju piekļuvi, bet saņemam saskaņotu sākumpunktu un koncentrējamies uz to, kas var notikt pēc tam. Tas ļauj mērķtiecīgi pārbaudīt identitāšu drošību, privilēģiju robežas, segmentāciju, iekšējo uzbrukuma virsmu un aizsardzības spēju atklāt uzbrucēja darbības.
Assumed Breach nav incidents un nav mēģinājums paredzēt visas iespējamās uzbrucēja darbības. Tas ir kontrolēts scenārijs ar definētiem mērķiem un robežām, kas parāda, kādus uzbrukuma ceļus iespējams realizēt no šī sākumpunkta testa laikā.
Pārbaudām, vai no sākotnējās identitātes vai ierīces iespējams iegūt plašākas tiesības, piekļūt citām sistēmām vai izmantot uzticības attiecības starp kontiem, servisiem un infrastruktūras komponentēm. Mērķis ir identificēt konkrētus ceļus, kas palielina sākotnējā kompromitējuma ietekmi.
Pirms testa kopā definējam, kuri aktīvi scenārijā ir būtiski, piemēram, privileģētas identitātes, administrēšanas sistēmas, sensitīvi dati vai kritiski biznesa servisi. Pārbaudām, vai un ar kādu uzbrukuma ķēdi no sākumpunkta tos iespējams sasniegt, nepārsniedzot saskaņotās robežas.
Ja tas ir daļa no testa mērķa, dokumentējam darbības, kurām vajadzētu radīt telemetriju vai brīdinājumus, un pēc scenārija salīdzinām tās ar Jūsu aizsardzības puses redzēto. Tas ļauj atrast nepilnības žurnalēšanā, detekcijas loģikā, triāžā un eskalācijā. Šādu rezultātu vērtējam pēc iepriekš saskaņotiem mērķiem, nevis pēc pieņēmuma, ka jebkura nepamanīta komanda automātiski nozīmē aizsardzības kļūmi.
Šo testu izvēlas, ja svarīgākais jautājums ir par post-compromise risku, proti, ko var izdarīt ar jau iegūtu sākotnējo piekļuvi un kur aizsardzība šo ceļu pārtrauc. Tas nav obligāti nākamais solis pēc pentesta un nav pilna Red Team operācija. Pentests, Assumed Breach un plašāka uzbrukuma simulācija atbild uz atšķirīgiem jautājumiem, tāpēc metodi izvēlamies pēc drošības mērķa.
Definējam sākuma punktu, testa mērķus un kritiskos aktīvus, iekļautās un izslēgtās sistēmas, atļautās metodes, datu apstrādi, laika logus, kontaktpersonas, eskalāciju un apturēšanas nosacījumus. Aktīvā testēšana sākas tikai pēc nepieciešamās autorizācijas.
Dokumentējam validētos ceļus no sākotnējās piekļuves līdz iegūtajām privilēģijām un sasniegtajiem mērķiem. Katram būtiskam solim saglabājam nepieciešamos tehniskos pierādījumus, lai komanda var saprast, kuras kontroles ķēdē jāmaina.
Apkopojam, kādas privilēģijas un aktīvi bija sasniedzami un kāda būtu to nozīme Jūsu vidē. Ja testā pārbaudām arī aizsardzības pusi, salīdzinām veikto darbību laika līniju ar žurnāliem, brīdinājumiem un komandas reakciju, lai atrastu redzamības un detekcijas trūkumus.
Prioritizējam izmaiņas, kas pārrauj būtiskākās uzbrukuma ķēdes. Tās var skart identitāšu un privilēģiju pārvaldību, segmentāciju, konfigurāciju, akreditācijas datu aizsardzību, žurnalēšanu, detekcijas vai citus scenārijā pierādītus kontroles punktus.
Uzziniet, cik tālu uzbrucējs tiktu
Pastāstiet, kādu post-compromise risku vēlaties pārbaudīt un kāda ir vide. Atbildēsim vienas darba dienas laikā un precizēsim sākumpunktu, mērķus un informāciju, kas vajadzīga testa apjoma sagatavošanai.
Assumed Breach ir aktīva testēšana iekšējā vidē, tāpēc nevaram apsolīt, ka tai nav nekāda darbības riska. To samazinām ar Rules of Engagement. Ierobežojam darbības, kas var ietekmēt pieejamību vai datus, iepriekš saskaņojam sensitīvus mērķus un nodrošinām kontaktu un apturēšanas procedūru neparedzētai situācijai.
Arī pierādīšanas dziļums tiek kontrolēts. Ja mērķa sasniedzamību iespējams pietiekami pierādīt bez sensitīvu datu kopēšanas vai destruktīvas darbības, testu tur nepadziļinām. Mērķis ir iegūt lēmumam pietiekamu pierādījumu ar samērīgu risku.