Uzbrukumu simulācija pārbauda aizsardzību pret iepriekš definētu scenāriju vai mērķi. Atkarībā no jautājuma tā var būt tehniska pretinieka uzvedības emulācija, plašāks Red Team uzdevums vai Tabletop vingrinājums incidenta vadībai. Formāti atšķiras pēc metodes un riska, bet tiem ir kopīgs princips. Pirms darba nosakām, ko vēlamies pārbaudīt un pēc kādiem kritērijiem vērtēsim rezultātu.
Uzbrukumu simulācija nav viens standartizēts tests. Pirms darba nosakām, vai jānovērtē tehniskās detekcijas, spēja apturēt noteiktu pretinieka uzvedību, incidenta vadība vai plašāks biznesam nozīmīgs uzbrukuma mērķis. No tā izriet scenārijs, iesaistītās komandas un testēšanas metode.
Tehniskā simulācijā var izmantot apdraudējumam vai mērķim atbilstošas taktikas un paņēmienus, tostarp tos strukturējot pēc MITRE ATT&CK. Pretinieka emulācijā uzsvars ir uz noteiktu uzvedību un aizsardzības spēju to atklāt vai ierobežot. Plašākā Red Team uzdevumā galvenais var būt definēta mērķa sasniegšana, vienlaikus pārbaudot cilvēku, procesu un tehnoloģiju aizsardzību. Precīzu formātu un pieļaujamās metodes nosaka Rules of Engagement.
Tabletop nav tehnisks uzbrukums sistēmām. Tas ir vadīts incidenta scenārijs, kurā iesaistītās lomas saņem situācijas attīstību un pieņem lēmumus tā, kā rīkotos reālā notikumā. Var pārbaudīt eskalāciju, atbildību, iekšējo un ārējo komunikāciju, incidenta vadību, darbības nepārtrauktību, atjaunošanu un citus scenārija mērķus. Rezultātā dokumentējam ne tikai diskusiju, bet arī uzlabojamos procesus un atbildības.
Izvēli nenosaka princips, ka viens formāts ir vienkāršāks un otrs nobriedušāks. Ja jānoskaidro, vai cilvēki zina savas lomas incidentā, piemērots var būt Tabletop. Ja jāvalidē konkrētas detekcijas un tehniskās kontroles, vajadzīga tehniska simulācija. Ja jānovērtē aizsardzība pret plašāku mērķorientētu operāciju, var būt vajadzīgs Red Team uzdevums. Formātus var kombinēt, ja katram ir skaidrs mērķis.
Definējam, ko simulācija pārbaudīs, kādi ir veiksmes un aizsardzības kritēriji un kāda informācija nepieciešama scenārija izveidei. Tehniskai simulācijai papildus saskaņojam mērķus, sistēmas, atļautās metodes, sensitīvos aktīvus, eskalāciju un apturēšanas nosacījumus.
Veicam saskaņoto tehnisko scenāriju vai vadām Tabletop sesiju un dokumentējam būtiskos notikumus. Tehniskā darbā saglabājam operatora darbību laika līniju un pierādījumus; Tabletop fiksējam lēmumus, informācijas plūsmu, neskaidras atbildības un citus vingrinājuma mērķiem nozīmīgus novērojumus.
Rezultātus salīdzinām ar sākumā noteiktajiem mērķiem. Tehniskā simulācijā analizējam, ko aizsardzība novērsa, pamanīja, izmeklēja vai nepamanīja. Tabletop vingrinājumā vērtējam lēmumu pieņemšanu, eskalāciju, komunikāciju, plānu izmantojamību un citas scenārijā pārbaudītās spējas.
Dokumentējam tehniskus un organizatoriskus uzlabojumus, atbildības un prioritātes. Pēc izmaiņām var izveidot atkārtotu, salīdzināmu scenāriju, kas pārbauda noteiktu spēju progresu un nav vienkārši iepriekšējā vingrinājuma atkārtojums.
Pārbaudiet aizsardzību pret konkrētu scenāriju
Aprakstiet sistēmas, risku vai incidenta scenāriju, kuru vēlaties pārbaudīt. Atbildēsim vienas darba dienas laikā un precizēsim piemērotāko simulācijas formātu.
“Pārbaudīt drošību” ir pārāk plašs uzdevums. Noderīga simulācija sākas ar konkrētu jautājumu, piemēram, vai noteikta uzbrucēja uzvedība rada detekciju, vai SOC spēj izmeklēt un eskalēt notikumu, vai vadība spēj pieņemt lēmumus ransomware scenārijā un vai incidenta laikā darbojas rezerves komunikācija. Kad mērķis ir skaidrs, varam izvēlēties scenāriju, dalībniekus, pierādījumus un rezultāta kritērijus.
Tehniskā simulācija ir aktīva testēšana un rada zināmu risku. Tāpēc pirms tās nepieciešams rakstisks pilnvarojums un Rules of Engagement. Tabletop sistēmām neuzbrūk, taču arī tam iepriekš jādefinē dalībnieki, lomas, scenārija robežas un informācija, kas pēc vingrinājuma tiks dokumentēta.