Fonte: Acunetix
Il Red Teaming (attacco della "red team") è una simulazione complessiva di attacchi reali con l'obiettivo di valutare la sicurezza informatica dei sistemi. La "red team" rappresenta un gruppo (specialisti che eseguono test di penetrazione sui sistemi). Possono essere sia assunti dall'esterno che membri della tua organizzazione, ma in ogni caso il loro ruolo è lo stesso: simulare le azioni di attaccanti malevoli e tentare di penetrare nel tuo sistema.
Accanto alle "red team" nella sicurezza informatica esistono anche altre. Ad esempio, la "blue team" (Blue Team) lavora insieme alla red, ma la sua attività è focalizzata sul miglioramento della sicurezza dell'infrastruttura del sistema dall'interno. La "purple team" (Purple Team) funge da collegamento, aiutando le altre due squadre a sviluppare strategie di attacco e misure di protezione. Tuttavia, il red teaming è uno dei metodi di gestione della sicurezza informatica meno compresi e molte organizzazioni continuano a essere riluttanti ad adottare questa pratica.
In questo articolo spiegheremo in dettaglio cosa si cela dietro il concetto di Red Teaming e come l'implementazione di pratiche di simulazione complessiva di attacchi reali possa aiutare a migliorare la sicurezza della tua organizzazione. L'obiettivo dell'articolo è dimostrare come questo metodo possa significativamente aumentare la sicurezza dei tuoi sistemi informatici.
Red Teaming: panoramica
Sebbene oggi le "red" e "blue" team siano principalmente associate al campo delle tecnologie informatiche e della sicurezza informatica, questi concetti sono stati inventati dai militari. Infatti, è proprio nell'esercito che ho sentito parlare per la prima volta di questi concetti. Lavorare come analista di sicurezza informatica negli anni '80 era molto diverso rispetto ad oggi: l'accesso ai sistemi informatici criptati era molto più limitato rispetto a ora.
Per il resto, la mia prima esperienza con i giochi di guerra — modellazione, simulazione e organizzazione dell'interazione — è stata molto simile al processo odierno di simulazione complessiva degli attacchi, ampiamente diffuso nella cybersicurezza. Come ora, un'enorme attenzione è stata dedicata all'uso di metodi di ingegneria sociale per convincere i dipendenti a fornire accesso illecito ai sistemi militari al "nemico". Pertanto, anche se i metodi tecnici per la simulazione degli attacchi sono notevolmente avanzati rispetto agli anni '80, è importante notare che molti degli strumenti fondamentali dell'approccio competitivo, e in particolare le tecniche di ingegneria sociale, non dipendono in larga misura dalla piattaforma.
Il valore principale della simulazione complessiva degli attacchi reali non è cambiato dagli anni '80. Simulando un attacco ai vostri sistemi, è più facile individuare vulnerabilità e comprendere come possano essere sfruttate. E sebbene un tempo il red teaming fosse utilizzato principalmente da "white-hat hackers" e specialisti in cybersicurezza che cercavano vulnerabilità attraverso test di penetrazione, ora questo metodo ha trovato applicazioni più ampie nel campo della cybersicurezza e del business.
Il punto chiave del red teaming è comprendere che in realtà non è possibile avere un'idea della sicurezza dei vostri sistemi fino a quando non vengono attaccati. E invece di esporsi al rischio di un attacco da parte di veri malintenzionati, è molto più sicuro simulare tale attacco utilizzando una "red team".
Red Teaming: scenari di utilizzo
Un modo semplice per comprendere i fondamenti del red teaming è guardare alcuni esempi. Ecco due di essi:
- Scenario 1. Immaginate che sia stato eseguito un test di penetrazione su un sito di assistenza clienti, e che il test abbia avuto successo. Apparentemente, ciò indica che va tutto bene. Tuttavia, successivamente, in seguito a una simulazione complessiva dell'attacco, la "red team" scopre che, sebbene l'applicazione di assistenza clienti sia a posto, la funzione di chat di terze parti non riesce a identificare correttamente le persone, e questo consente di ingannare i rappresentanti del servizio clienti affinché modifichino l'indirizzo e-mail nell'account (il che permette a una nuova persona, il malintenzionato, di accedere).
- Scenario 2. A seguito della conduzione di un pentest, è stato scoperto che tutti i mezzi di gestione VPN e accesso remoto sono protetti. Tuttavia, un membro del "team rosso" riesce a passare senza ostacoli la reception e ruba il laptop di un dipendente.
In entrambi i casi sopra menzionati, il "team rosso" verifica non solo l'affidabilità di ciascun sistema singolarmente, ma anche l'intero sistema nel suo complesso per identificare eventuali vulnerabilità.
A chi serve una simulazione completta degli attacchi?
In poche parole, praticamente qualsiasi azienda può trarre vantaggio dal red teaming. Come dimostrato , una quantità sconcertante di organizzazioni vive in una falsa sicurezza di avere il pieno controllo sui propri dati. Abbiamo scoperto, ad esempio, che in media il 22% delle cartelle aziendali sono accessibili a ogni dipendente e che l'87% delle aziende ha più di 1000 file riservati obsoleti nei propri sistemi.
Se la vostra azienda non opera nel settore tecnologico, potrebbe sembrare che il red teaming non vi porti molti benefici. Ma non è così. La cybersicurezza non riguarda solo la protezione delle informazioni riservate.
I malintenzionati cercano di appropriarsi delle tecnologie indipendentemente dal settore dell'azienda. Ad esempio, possono cercare di accedere alla vostra rete per nascondere le proprie azioni mentre cercano di appropriarsi di un altro sistema o rete in un altro luogo del mondo. In questo tipo di attacco, i vostri dati non interessano ai malintenzionati. Vogliono infettare i vostri computer con software dannoso, trasformando così il vostro sistema in una rete botnet.
Per le piccole aziende, può essere difficile trovare risorse per effettuare il red teaming. In questo caso, ha senso delegare questo processo a un appaltatore esterno.
Red Teaming: raccomandazioni
Il momento ottimale per effettuare il red teaming e la sua frequenza dipendono dal settore in cui operate e dallo sviluppo dei vostri mezzi di cybersicurezza.
In particolare, dovreste automatizzare alcune azioni come la ricerca di asset e l'analisi delle vulnerabilità. La vostra organizzazione dovrebbe anche combinare tecnologie automatizzate con il controllo umano, conducendo regolarmente test di penetrazione completi.
Dopo aver completato diversi cicli aziendali di test di penetrazione e ricerca di vulnerabilità, potete procedere a una simulazione complessiva di un attacco reale. A questo punto, il red teaming vi porterà notevoli vantaggi. Tuttavia, tentare di farlo prima di aver messo a punto le basi della cybersicurezza non porterà risultati tangibili.
Il team di 'white hat' potrebbe essere in grado di mettere in pericolo un sistema non preparato così rapidamente e facilmente che otterrete troppo poche informazioni per intraprendere ulteriori azioni. Per avere un effetto reale, le informazioni ottenute dal 'red team' devono essere confrontate con i test di penetrazione e le valutazioni delle vulnerabilità precedenti.
Cos'è il test di penetrazione?
La simulazione complessiva di un attacco reale (Red Teaming) è spesso confusa con , ma questi due metodi sono leggermente diversi. Più precisamente, il test di penetrazione è solo uno dei metodi del red teaming.
Il ruolo del pentester . Il lavoro dei pentester è suddiviso in quattro fasi principali: pianificazione, raccolta di informazioni, attacco e reporting. Come potete vedere, i pentester fanno di più che cercare semplicemente vulnerabilità nel software. Cercano di mettersi nei panni degli hacker e, una volta che riescono a entrare nel vostro sistema, inizia il loro vero lavoro.
Scoprono vulnerabilità e poi effettuano nuovi attacchi basati sulle informazioni ottenute, navigando all'interno dell'architettura delle cartelle. Questo è ciò che distingue i professionisti che eseguono test di penetrazione da coloro che vengono assunti solo per cercare vulnerabilità utilizzando software di scansione delle porte o rilevamento di virus. Un pentester esperto può determinare:
- dove gli hacker potrebbero indirizzare il loro attacco;
- il modo in cui gli hacker attaccheranno;
- come si comporterà la vostra difesa;
- la possibile entità della violazione.
Il test di penetrazione è volto a identificare vulnerabilità a livello di applicazioni e reti, oltre a opportunità di superare le barriere fisiche di sicurezza. Mentre il testing automatizzato può rilevare alcuni problemi di cybersecurity, il testing manuale di penetrazione tiene conto anche della vulnerabilità del business agli attacchi.
Red Teaming vs. test di penetrazione
Senza dubbio, il test di penetrazione è importante, ma rappresenta solo una parte di un insieme molto più ampio di attività condotte durante il red teaming. Le attività del "red team" hanno obiettivi molto più ampi rispetto a quelle dei pentester, che spesso si limitano a cercare di accedere alla rete. Nel red teaming, di solito sono coinvolte più persone, risorse e tempo, poiché gli esperti del "red team" cercano di capire a fondo il vero livello di rischio e vulnerabilità nelle tecnologie e negli attivi umani e fisici dell'organizzazione.
Inoltre, ci sono altre differenze. Il red teaming è solitamente utilizzato da organizzazioni con misure di cybersecurity più mature e sviluppate (anche se, in pratica, non è sempre così).
Di solito si tratta di aziende che hanno già condotto test di penetrazione e risolto la maggior parte delle vulnerabilità trovate, e ora cercano qualcuno che possa tentare nuovamente di accedere a informazioni riservate o di violare la protezione in qualsiasi modo.
Ecco perché il red teaming si affida a un team di esperti di sicurezza, focalizzati su obiettivi specifici. Si concentrano sulle vulnerabilità interne e utilizzano sia metodi elettronici che fisici di ingegneria sociale nei confronti dei dipendenti dell'organizzazione. A differenza dei pentester, i "red team" non si affrettano durante i loro attacchi, volendo evitare di essere rilevati, come farebbe un vero cybercriminale.
Vantaggi del Red Teaming
Nell'immitazione complessiva degli attacchi reali ci sono molti vantaggi, ma il principale è che questo approccio consente di ottenere un quadro completo del livello di cybersecurity dell'organizzazione. Un processo tipico di immitazione complessiva di attacco comprenderà test di penetrazione (rete, applicazione, telefono mobile e altri dispositivi), ingegneria sociale (in comunicazione diretta in loco, tramite telefonate, email o messaggi di testo e chat) e intrusione fisica (scasso di serrature, identificazione di aree morte delle telecamere di sorveglianza, bypass dei sistemi di allerta). Se ci sono vulnerabilità in uno di questi aspetti del tuo sistema, verranno scoperte.
Una volta identificate le vulnerabilità, possono essere corrette. Una procedura efficace di immitazione di attacco non termina dopo la scoperta delle vulnerabilità. Dopo che le lacune di sicurezza sono state chiaramente definite, vorrai lavorare sulla loro correzione e sul successivo ri-test. In effetti, il lavoro vero inizia di solito dopo l'intrusione del "team rosso", quando conduci un'analisi forense dell'attacco e cerchi di ridurre le vulnerabilità trovate.
Oltre a questi due principali vantaggi, il red teaming offre anche una serie di altri. Così, il "team rosso" può:
- identificare rischi e vulnerabilità legati agli attivi informativi chiave dell'azienda;
- simulare metodi, tattiche e procedure di veri criminali informatici in un ambiente a rischio controllato e limitato;
- valutare la capacità della tua organizzazione di rilevare, rispondere e prevenire minacce mirate complesse;
- stimolare un'interazione stretta con i dipartimenti di sicurezza informatica e i "team blu" per garantire una riduzione sostanziale delle conseguenze e condurre workshop pratici completi in base alle vulnerabilità scoperte.
Come funziona il Red Teaming?
Un ottimo modo per comprendere il principio del red teaming è osservare come avviene comunemente. Il processo abituale di immitazione degli attacchi consiste in diverse fasi:
- L'organizzazione concorda con il "team rosso" (interno o esterno) l'obiettivo dell'attacco in corso. Ad esempio, tale obiettivo potrebbe essere l'estrazione di informazioni riservate da un server specifico.
- Poi la "squadra rossa" esegue una ricognizione del bersaglio. Ne risulta uno schema dei sistemi target, incluse le servizi di rete, le applicazioni web e i portali interni per i dipendenti.
- Dopo ciò, si cercano vulnerabilità nel sistema target, che solitamente vengono sfruttate tramite phishing o attacchi XSS.
- Non appena vengono ottenuti i token di accesso, la "squadra rossa" li utilizza per esplorare ulteriori vulnerabilità.
- Alla scoperta di altre vulnerabilità, la "squadra rossa" cercherà di elevare il proprio livello di accesso fino al livello necessario per raggiungere l'obiettivo.
- Una volta ottenuto l'accesso ai dati o agli asset target, la missione dell'attacco si considera completata.
In realtà, un esperto della "squadra rossa" utilizzerà un'enorme varietà di metodi per affrontare ognuno dei passaggi elencati. Tuttavia, la conclusione chiave dell'esempio fornito è che piccole vulnerabilità in singoli sistemi possono trasformarsi in guasti catastrofici se unite in una catena.
Cosa tenere a mente quando ci si rivolge alla "squadra rossa"?
Per ottenere il massimo dal red teaming, è necessario prepararsi con cura. I sistemi e i processi utilizzati da ogni organizzazione sono diversi, e un buon livello di red teaming si raggiunge quando è mirato a trovare vulnerabilità proprio nei tuoi sistemi. Per questo motivo, è fondamentale considerare diversi fattori:
Sappi cosa stai cercando
Innanzitutto, è importante comprendere quali sistemi e processi desideri testare. Potresti sapere di voler testare un'applicazione web, ma non comprendere molto bene cosa significhi realmente e quali altre sistemi siano integrati con le tue applicazioni web. Pertanto, è fondamentale che tu abbia una chiara comprensione dei tuoi sistemi e di correggere tutte le vulnerabilità evidenti prima di iniziare una simulazione complessiva di un attacco reale.
Conosci la tua rete
Questo è correlato alla raccomandazione precedente, ma si concentra maggiormente sulle caratteristiche tecniche della tua rete. Maggiore sarà la tua capacità di valutare quantitativamente l'ambiente di test, tanto più precisa e specifica sarà l'azione della tua "squadra rossa".
Conosci il tuo budget
Il red teaming può essere eseguito a diversi livelli, ma l'imitazione di un'intera gamma di attacchi alla vostra rete, inclusa l'ingegneria sociale e l'intrusione fisica, può risultare un'attività costosa. Per questa ragione è importante capire quanto si è disposti a spendere per tale verifica e, di conseguenza, delinearne l'ambito.
Conoscete il vostro livello di rischio
Alcune organizzazioni possono tollerare un livello di rischio piuttosto elevato nell'ambito delle proprie procedure aziendali standard. Altre, invece, devono limitare il proprio livello di rischio in misura molto maggiore, soprattutto se l'azienda opera in un settore altamente regolamentato. Pertanto, durante il red teaming è fondamentale concentrarsi sui rischi che rappresentano realmente una minaccia per la vostra attività.
Red Teaming: strumenti e tattiche
Se implementato correttamente, il «red team» condurrà un attacco su larga scala alle vostre reti utilizzando tutti gli strumenti e i metodi impiegati dagli hacker. Tra le altre cose, questa attività include:
- Test di penetrazione delle applicazioni — volto a identificare vulnerabilità a livello di applicazione, come il cross-site scripting, le vulnerabilità input, una gestione dei sessioni inadeguata e molte altre.
- Test di penetrazione della rete — teso a scoprire vulnerabilità a livello di rete e di sistema, comprese configurazioni errate, vulnerabilità delle reti wireless, servizi non autorizzati e molto altro.
- Test di penetrazione fisica — verifica dell'efficacia, nonché dei punti di forza e di debolezza dei mezzi di controllo della sicurezza fisica nella vita reale.
- Ingegneria sociale — mirato a sfruttare le debolezze delle persone e della natura umana, con la verifica della suscettibilità degli individui a inganni, persuasione e manipolazione attraverso phishing via email, telefonate e messaggi di testo, oltre a contatti fisici sul posto.
Tutte le voci sopra elencate sono componenti del red teaming. Si tratta di una modellazione dell'attacco su larga scala e a più livelli, progettata per determinare quanto bene le vostre persone, reti, applicazioni e misure di controllo della sicurezza fisica possano resistere all'attacco di un vero malintenzionato.
Sviluppo continuo delle metodologie di Red Teaming
La natura della simulazione complessa di attacchi reali, in cui i "team rossi" cercano nuove vulnerabilità nel sistema di sicurezza mentre i "team blu" cercano di correggerle, porta a un costante sviluppo dei metodi di queste verifiche. Per questo motivo, è difficile compilare un elenco aggiornato delle tecniche moderne di red teaming, poiché si deteriorano rapidamente.
Pertanto, la maggior parte degli specialisti che conducono red teaming spenderà almeno una parte del proprio tempo ad apprendere nuove vulnerabilità e metodi per sfruttarle, utilizzando molte risorse fornite dalla comunità dei "team rossi". Ecco le più popolari di queste comunità:
- è un servizio in abbonamento che offre corsi video online, dedicati principalmente al penetration testing, oltre a corsi di analisi forense dei sistemi operativi, ingegneria sociale e linguaggio assembly per la protezione delle informazioni.
- è un "operatore di cybersicurezza offensiva" che tiene regolarmente un blog sui metodi di simulazione complessa degli attacchi reali ed è una buona fonte di nuovi approcci.
- Twitter è anche una buona fonte se stai cercando informazioni aggiornate sul red teaming. Puoi trovarle tramite hashtag e .
- è un altro esperto di red teaming che pubblica una newsletter e , gestisce e scrive molto sulle tendenze moderne dei "team rossi". Tra i suoi ultimi articoli: e .
- -— è una newsletter sulla sicurezza web, sponsorizzata da PortSwigger Web Security. È una buona risorsa per raccogliere informazioni e novità nel campo del red teaming, inclusi attacchi, fughe di dati, exploit, vulnerabilità delle applicazioni web e nuove tecnologie di sicurezza.
- è un "white hat" e specialista nel penetration testing, e regolarmente discute nuove tattiche dei "team rossi" nel suo .
- MWR labs è una buona, anche se estremamente tecnica, fonte di notizie sul red teaming. Pubblicano informazioni utili per i team rossi , e la loro contiene consigli per risolvere i problemi con cui si trovano a fare i conti i professionisti della sicurezza informatica.
- — avvocato e "hacker bianco". Nel suo profilo Twitter ci sono metodi utili per le "red team", come la scrittura di SQL injection e la falsificazione di token OAuth.
- (ATT & CK) è una base di conoscenze attentamente selezionata sul comportamento degli aggressori. Monitora le fasi del ciclo di vita degli aggressori e delle piattaforme che prendono di mira.
- è una guida per hacker che, sebbene un po' datata, copre molte delle tecniche fondamentali che sono ancora alla base delle complesse simulazioni di attacchi reali. L'autore Peter Kim ha anche , in cui offre consigli sull'hacking e altre informazioni.
- SANS Institute è un altro importante fornitore di materiali formativi sulla cybersicurezza. Il loro , dedicato alla criminalistica digitale e alla risposta agli incidenti, contiene ultime notizie sui corsi SANS e consigli da esperti pratici.
- Alcune delle novità più interessanti sul red teaming sono state pubblicate in . Ci sono articoli focalizzati sulla tecnologia, come il confronto tra Red Teaming e penetration testing, così come articoli di analisi, come il "Manifesto dello specialista della red team."
- Infine, Awesome Red Teaming è una comunità su GitHub che offre di risorse dedicate al Red Teaming. Copre praticamente tutti gli aspetti tecnici delle attività della "red team", dall'ottenimento dell'accesso iniziale, all'esecuzione di azioni malevole fino alla raccolta e all'estrazione dei dati.
"La blue team" — cos'è?
Con così tante "squadre colorate", può essere difficile determinare quale tipo serva alla tua organizzazione.
Una delle alternative alla "red team", o più precisamente un altro tipo di team che può essere utilizzato insieme alla "red team", è la "blue team". La "blue team" valuta anche la sicurezza della rete e identifica eventuali vulnerabilità dell'infrastruttura. Tuttavia, ha un obiettivo diverso. Le squadre di questo tipo sono necessarie per trovare modi di proteggere, modificare e riorganizzare i meccanismi di difesa per rendere la risposta agli incidenti molto più efficace.
Come la "squadra rossa", anche la squadra blu deve possedere le stesse conoscenze sulle tattiche dei malintenzionati, sulle tecniche e sulle procedure al fine di sviluppare strategie di risposta basate su di esse. Tuttavia, i compiti della "squadra blu" non si limitano solo alla protezione dagli attacchi. Essa partecipa anche al rafforzamento dell'intera infrastruttura di sicurezza, utilizzando, ad esempio, un sistema di rilevamento delle intrusioni (IDS), che fornisce un'analisi continua delle attività insolite e sospette.
Ecco alcuni dei passaggi che esegue la "squadra blu":
- audit della sicurezza, in particolare, audit DNS;
- analisi dei log e della memoria;
- analisi dei pacchetti di dati di rete;
- analisi dei dati sui rischi;
- analisi della traccia digitale;
- reverse engineering;
- test DDoS;
- sviluppo di scenari di attuazione dei rischi.
Differenze tra squadra rossa e squadra blu
Una domanda comune per molte organizzazioni è: quale squadra è meglio utilizzare — rossa o blu. Questa domanda è spesso accompagnata da una rivalità amichevole tra le persone che lavorano "da lati opposti delle barricate". In realtà, nessuna squadra ha senso senza l'altra. Quindi, la risposta giusta a questa domanda è: entrambe le squadre sono importanti.
La "squadra rossa" attacca e viene utilizzata per testare la prontezza della "squadra blu" nella difesa. A volte, la "squadra rossa" può trovare vulnerabilità che la "squadra blu" ha completamente trascurato e in tal caso la "squadra rossa" deve dimostrare come queste vulnerabilità possano essere corrette.
Per entrambe le squadre, è vitale collaborare contro i criminali informatici per rafforzare la sicurezza informatica.
Per questo motivo, non ha senso scegliere solo un lato o investire solo in un tipo di squadra. È importante ricordare che l'obiettivo di entrambe le parti è prevenire i crimini informatici.
In altre parole, le aziende devono stabilire una collaborazione reciproca tra le due squadre per garantire un audit completo — con registri di tutti gli attacchi e le verifiche effettuate, e registrazioni delle caratteristiche rilevate.
La "squadra rossa" fornisce informazioni sulle operazioni che hanno svolto durante la simulazione di un attacco, mentre la squadra blu informa sulle azioni intraprese per colmare le lacune e correggere le vulnerabilità trovate.
L'importanza di entrambe le squadre non può essere sottovalutata. Senza il loro costante audit di sicurezza, i test di penetrazione e il perfezionamento dell'infrastruttura, l'azienda non saprebbe nulla sullo stato della propria sicurezza. Almeno fino a quando non si verifica una violazione dei dati, rendendo dolorosamente chiaro che le misure di sicurezza non erano sufficienti.
Che cos'è il "team viola"?
Il "team viola" è emerso come risultato dei tentativi di unire il team rosso e il team blu. Il "team viola" è più una concezione che un tipo di squadra separato. È meglio considerarlo come una combinazione del team rosso e blu. Coinvolge entrambe le squadre, aiutandole a lavorare insieme.
Il "team viola" può aiutare i servizi di sicurezza a migliorare l'efficacia nella rilevazione delle vulnerabilità, nella ricerca delle minacce e nel monitoraggio della rete attraverso la modellazione precisa di scenari di minaccia comuni e assistendo nella creazione di nuovi metodi per rilevare e prevenire le minacce.
Alcune organizzazioni impiegano il "team viola" per attività mirate una tantum, in cui sono chiaramente definiti obiettivi di sicurezza, scadenze e risultati chiave. Questo include il riconoscimento delle lacune nell'attacco e nella difesa, nonché l'individuazione delle future esigenze di formazione e tecnologia.
Un approccio alternativo sempre più popolare consiste nel considerare il "team viola" come un modello concettuale che opera in tutta l'organizzazione, contribuendo a creare una cultura della cybersecurity e al suo miglioramento continuo.
Conclusione
Il Red Teaming, o simulazione complessiva degli attacchi, è un potente metodo di test delle vulnerabilità del sistema di sicurezza di un'organizzazione, ma deve essere applicato con cautela. In particolare, per la sua applicazione è necessario avere sufficienti , altrimenti potrebbe non soddisfare le aspettative.
Il Red Teaming può rivelare vulnerabilità nel tuo sistema di cui non eri nemmeno a conoscenza e aiutarti a eliminare tali vulnerabilità. Adottando un approccio competitivo tra il team blu e il team rosso, puoi simulare le azioni di un vero hacker che desidera rubare i tuoi dati o danneggiare i tuoi beni.
Fonte: habr.com
