Test di sicurezza
Trovarlo prima che lo trovi qualcun altro.
Un test risponde a una domanda a cui un audit non arriva: dato ciò che è davvero esposto, che cosa se ne può fare? Lo verifichiamo su incarico scritto, entro un perimetro concordato, e mostriamo il nostro lavoro.
La gravità dipende dal contesto. Lo stesso difetto tecnico può essere una nota a piè di pagina in un sistema e un problema esistenziale in un altro. Valutiamo i riscontri in base a ciò che raggiungono nel vostro ambiente, il che significa capire l'attività prima di valutare qualsiasi cosa.
Il problema
L'output di uno scanner non è un test.
Gli strumenti automatici trovano schemi noti e producono lunghi elenchi, in gran parte rumore e senza alcun concatenamento. Quello che non possono dirvi è se tre problemi di bassa gravità si combinano in un percorso che va da Internet fino alla vostra banca dati clienti.
Usiamo gli strumenti dove sono efficienti, poi spendiamo il tempo dove non lo sono: sulla logica del vostro sistema specifico, sulle ipotesi che fa sui propri utenti e sui percorsi fra componenti che nessuno ha disegnato sullo schema di architettura.
Perimetro
Che cosa si può verificare.
Ognuna di queste voci è un perimetro a sé, con il proprio incarico, i propri tempi e le proprie regole di ingaggio.
- Modellazione delle minaccePercorso strutturato nel sistema con i vostri ingegneri: beni, attori, punti di ingresso e ciò che farebbe davvero male.
- Test web e APIAutenticazione, autorizzazione, logica di business, trattamento degli input, gestione delle sessioni, separazione fra tenant.
- Configurazione cloudPercorsi di identità e permessi, storage esposto, raggiungibilità di rete ed elevazione di privilegi fra account.
- Rete internaChe cosa raggiunge un attaccante dopo la caduta di una postazione — movimento laterale, credenziali esposte, segmentazione nella pratica.
- Esercitazione red teamApproccio silenzioso orientato all'obiettivo, che misura anche se il vostro rilevamento e la vostra risposta se ne accorgono.
- Verifica successivaUn secondo passaggio mirato dopo le correzioni, che dichiara riscontro per riscontro se è chiuso.
Sequenza
Come si svolge un test.
Autorizzare
Perimetro scritto, elenco dei bersagli, finestra temporale, tecniche ammesse, contatti di emergenza e la condizione che ci fa interrompere subito.
Mappare
Censire ciò che è davvero esposto. Qui accade la maggior parte delle sorprese utili, prima che si sfrutti qualsiasi cosa.
Verificare e concatenare
Confermare a mano ogni indizio e seguirlo fin dove il perimetro consente — un riscontro è reale solo una volta dimostrato.
Riferire e discutere
Descrizioni riproducibili, una revisione dal vivo con i vostri ingegneri e l'accordo su che cosa correggere per primo.
Risultati
Che cosa resta sul tavolo alla fine.
Riscontri riproducibili
Ciascuno con i passi esatti, il componente interessato, il risultato osservato e l'impatto sull'attività.
Racconto dell'attacco
I percorsi che hanno funzionato, dall'inizio alla fine, così la correzione colpisce la strada e non solo l'ultimo passo.
Note sul rilevamento
Che cosa il vostro monitoraggio ha visto di quello che abbiamo fatto, e che cosa no — di solito la metà più utile.
Trattamento
Che fine fa ciò che troviamo.
Cifrato da capo a fondo
Riscontri, evidenze e rapporti sono cifrati a riposo e in transito, e scambiati su un canale che approvate.
Cancellato a scadenza
Dati di prova ed evidenze vengono distrutti a una data concordata dopo la consegna. La durata di conservazione è nel contratto.
Mai una referenza
Non nominiamo clienti, non pubblichiamo riscontri e non riutilizziamo il vostro ambiente come esempio senza permesso scritto.
Pronti a far mettere alla prova le vostre ipotesi?
Inviate il sistema, il confine che vi sta a cuore e la data entro cui serve il rapporto. Perimetro, impegno e regole di ingaggio si concordano per iscritto prima che si tocchi qualsiasi cosa.