Vilken är bäst för dig?
Om du är ansvarig för cybersäkerhetsbeslut har du förmodligen brottats med den här frågan: vilken typ av säkerhetstestning säger dig faktiskt något användbart?
Med ransomware-attacker som fortsätter att öka och hackare som blir allt mer sofistikerade känns det inte längre tillräckligt att göra årliga sårbarhetsskanningar. Styrelser ställer allt svårare frågor om ROI för säkerhet. Du måste veta hur du verkligen står dig mot verkliga hot.
Det är där penetrationstestning, red teaming och purple teaming kommer in i bilden. Säkerhetsbranschen använder ibland dessa termer omväxlande. Och ärligt talat, marknadsföringsmaterialet hjälper inte heller till att klargöra saker. Men de är inte desamma. De tjänar olika syften och att välja fel kan slösa bort budget eller missa kritiska luckor.
Låt mig förklara vad de olika funktionerna gör och när du kan välja den ena framför den andra.
Penetrationstestning: Att fånga de uppenbara (och inte så uppenbara) svaga punkterna
Penetrationstestning är en kontrollerad, auktoriserad säkerhetsutvärdering. Tänk på det som en grundläggande teknisk hälsokontroll, men mer grundlig än automatiserad skanning.
Fokus är enkelt: teamen hittar och utnyttjar sårbarheter i dina system, applikationer och nätverk. Vi pratar om saknade patchar, felkonfigurationer, svag autentisering och SQL-injektionsfel. De tekniska svagheter som ständigt dyker upp i rapporter om intrång.
Omfattningen är vanligtvis definierad och avgränsad. Du kanske testar en specifik applikation, ett nätverkssegment eller en uppsättning system. Du får en lista över vad som är sårbart, hur det utnyttjades och vad du ska göra åt det. Det är strukturerat och effektivt.
Vad penetrationstest inte testar är hur väl ditt team upptäcker hot eller reagerar på incidenter. Jag tänker på det som att kartlägga din tekniska risk snarare än att testa din operativa beredskap. Vilket är bra. Det är vad det är utformat för.
Bäst för: Organisationer som bygger upp eller validerar grundläggande säkerhetskontroller, uppfyller efterlevnadskrav eller genomför regelbundna kontroller.
Red Teaming: Testa mer än bara din teknik
Red teaming har ett helt annat tillvägagångssätt. I stället för att jaga enskilda sårbarheter försöker red teams uppnå specifika mål med alla medel som krävs.
Det är här din organisation testas på samma sätt som vid en verklig attack. Det red team agerar som en beslutsam motståndare och använder tekniker som nätfiske, social ingenjörskonst, förflyttning i sidled och till och med fysisk åtkomst (om det är tillåtet) för att se hur långt de kan gå utan att bli upptäckta.
Ett red team kan ägna veckor åt att bygga upp sin attack, precis som riktiga motståndare gör. De undersöker dina anställda på LinkedIn, skapar övertygande phishing-kampanjer, etablerar fotfästen i ditt nätverk och försöker komma åt känsliga data. Allt medan ditt säkerhetsteam arbetar normalt, omedvetet om att de testas.
Detta tillvägagångssätt avslöjar saker som penetrationstest missar. Hur snabbt upptäcker din SOC ovanlig aktivitet? Fungerar era incidenthanteringsrutiner verkligen när människor är stressade? Finns det blinda fläckar i er övervakning som angripare kan utnyttja?
Bäst för: Organisationer med mogna säkerhetsprogram som vill validera sin förmåga att upptäcka och hantera incidenter under press.
Purple Teaming: Att lära sig medan man kämpar
Purple teaming för samman det red team och dina försvarare i samma rum - ibland bokstavligen.
I stället för att vänta på en slutrapport får ditt defensiva team omedelbar feedback. När det red team hittar en väg förbi dina kontroller förklarar de sina metoder direkt. Ditt blåa team kan justera sina detekteringsregler och testa dem omedelbart.
Detta samarbetsinriktade tillvägagångssätt påskyndar inlärningen. I stället för att spela "gotcha"-spel fokuserar båda teamen på att förbättra er faktiska säkerhetsposition. Dina försvarare lär sig nya angreppstekniker. Ditt red team förstår varför vissa försvar finns.
Nackdelen? Det kräver mer samordning och, ärligt talat, mognad från båda sidor. Dina team måste kontrollera sina egon och arbeta öppet tillsammans, vilket inte alltid är så lätt.
Bäst för: Team som vill bygga upp intern kompetens, utveckla sin säkerhetsverksamhet eller snabbt täppa till luckor när det gäller upptäckt och svar.
Vilken ska du välja?
Så här brukar jag tänka på det:
Börja med penetrationstest om:
- Du är tidigt ute med ditt säkerhetsprogram
- Du måste uppfylla kraven på efterlevnad
- Du vill ha ett kostnadseffektivt sätt att identifiera tekniska svagheter
- Du måste validera att de senaste korrigeringarna faktiskt fungerar
Flytta till red teaming när:
- Dina grundläggande säkerhetskontroller är rimligt utvecklade
- Du vill testa din förmåga att hantera incidenter
- Du måste förstå attackvägar i den verkliga världen
- Ledande befattningshavare vill ha insikt i den faktiska säkerhetsmässiga motståndskraften
Överväg purple teaming om:
- Du är engagerad i kontinuerlig förbättring av säkerheten
- Du har både offensiva och defensiva förmågor internt
- Du vill påskynda inlärningen för båda teamen
- Ni genomför löpande säkerhetsprogram snarare än enstaka utvärderingar
Jag tror att många organisationer har nytta av att använda olika metoder vid olika tidpunkter. Du kanske börjar med penetrationstestning för att åtgärda uppenbara luckor, sedan går du över till red teaming när ditt försvar mognat, och införlivar purple teaming som en del av din pågående förbättringsprocess.
Nyckeln är att matcha testmetoden med din nuvarande säkerhetsmognad och dina specifika mål. Ett penetrationstest säger inte mycket om din incidenthanteringsförmåga, men ett red team kan vara överflödigt om du inte har åtgärdat grundläggande sårbarheter ännu.
Gör rätt val för din organisation
Det jag tycker är mest hjälpsamt är att fråga sig själv vad man egentligen vill lära sig. Försöker du hitta tekniska sårbarheter? Testa ditt teams reaktionsförmåga? Bygga upp interna förmågor genom samarbetsinlärning?
Ditt svar bör vägleda dig i ditt val. Och kom ihåg att det här inte behöver vara ett engångsbeslut. När ditt säkerhetsprogram mognar kommer dina testbehov också att förändras.
Det kanske viktigaste är att du testar något utöver automatiserade skanningar och checklistor. Oavsett om du väljer penetrationstestning, red teaming eller purple teaming tar du steg mot att förstå hur din organisation klarar sig mot verkliga hot.
De organisationer som lyckas med detta börjar vanligtvis med en metod och utvecklar sin teststrategi i takt med att säkerhetsprogrammet mognar. De kan svara på styrelsens frågor om ROI eftersom de förstår vad de faktiskt testar och varför.
Låt oss matcha dina mål med rätt test.
Oavsett om du bygger upp ditt första säkerhetsprogram eller stresstestar en mogen miljö är det viktigt att välja rätt utvärderingsmetod. Om du är osäker på var du ska börja eller bara vill ha en andra åsikt finns vi här för att hjälpa dig att välja rätt testmetod.