Gestione del rischio nelle simulazioni di attacco: una prospettiva operativa

Le simulazioni avversarie, o red teaming, sono tra i metodi più efficaci per testare la resilienza di un'organizzazione alle minacce informatiche. Ma queste simulazioni non sono solo teoriche. Si tratta di esercitazioni dal vivo, spesso eseguite in ambienti di produzione, il che significa gestire rischi reali in tempo reale.

In LRQA abbiamo sviluppato un approccio basato sul rischio che ci consente di simulare attacchi sofisticati senza compromettere le operazioni o la fiducia. Ecco come procediamo.

Si inizia con il gruppo di controllo

Ogni incarico inizia con un gruppo di controllo dedicato, un team formato dai principali stakeholder del cliente e dai consulenti LRQA. Questo gruppo è costantemente informato e svolge un ruolo centrale nella pianificazione, nell'approvazione e nella supervisione dell'intera esercitazione.

Un workshop sui rischi definisce le linee guida. Insieme, identifichiamo e valutiamo:

• I rischi operativi per le attività del red team e del blue team
• I rischi generali del progetto, comprese le considerazioni di natura reputazionale ed etica
• I rischi legali e di conformità

Mappiamo inoltre questi rischi in base a quattro aree di gestione fondamentali:

• Approfondimenti aziendali: cosa dobbiamo proteggere e perché?
• Gestione delle crisi: come e quando escalare i problemi?
• Processi: quali sono le regole di ingaggio?
• Mitigazione e accettazione dei rischi: come trattiamo o tolleriamo i rischi?

La forza di questo gruppo risiede nella sua capacità di allineare i test offensivi alle priorità aziendali. Mantenendo un dialogo continuo, entrambe le parti possono adattarsi alle nuove informazioni, rispondere a risultati inaspettati e garantire che ogni fase rimanga in linea con i risultati concordati. Questo rapporto è la spina dorsale di una simulazione sicura ed efficace.

Il gruppo di controllo consente inoltre di definire chiaramente le linee di responsabilità. Quando tutti comprendono il proprio ruolo e la responsabilità dei rischi è condivisa, è possibile prendere decisioni rapide, il che è fondamentale durante gli interventi in tempo reale e in rapida evoluzione.

Modello di rischio a più livelli: sapere cosa c'è in gioco

Per proteggere le operazioni critiche, utilizziamo un modello di classificazione delle risorse a più livelli, definito durante il workshop sul rischio.

• Risorse primarie: sistemi core come l'infrastruttura di pagamento o i mainframe che supportano direttamente le funzioni critiche per il business.
• Risorse secondarie: sistemi come controller di dominio, file server e piattaforme di database.
• Risorse terziarie: ambienti non critici come sistemi di pre-produzione, desktop o infrastrutture desktop virtuali.

Questa struttura ci consente di modellare l'esposizione al rischio in modo chiaro e coerente. Garantisce che ogni azione intrapresa durante la simulazione sia proporzionata al valore e alla sensibilità del sistema sottoposto a test.

Se, ad esempio, la simulazione ha come obiettivo un sistema di elaborazione dei pagamenti, potremmo dimostrare la capacità di comprometterlo senza eseguire effettivamente una catena di attacchi completa. In alternativa, se il cliente ha una propensione al rischio più elevata, possiamo ampliare l'ambito, a condizione che siano in atto controlli, approvazioni e piani di emergenza adeguati.

In ogni fase, il passaggio tra i livelli di asset è rigorosamente controllato. L'obiettivo è sempre lo stesso: generare informazioni significative senza causare inutili interruzioni.

Regole di ingaggio

Ogni simulazione avversaria di LRQA è regolata da una serie di controlli rigorosi concordati in anticipo con il gruppo di controllo. Queste regole di ingaggio garantiscono che i rischi siano identificati, attribuiti e mitigati durante tutto l'incarico.

Queste misure non sono solo tattiche di prevenzione dei rischi, ma costituiscono la base della fiducia in incarichi di grande impatto. Senza di esse, il red teaming rischierebbe di diventare imprudente anziché rivelatore. Ogni misura di salvaguardia esiste per proteggere le operazioni, le persone e la reputazione.

Le misure di salvaguardia principali includono:

• Comunicazioni – Il gruppo di controllo opera in base a un accordo di riservatezza e mantiene un canale fuori banda per un coordinamento sicuro e in tempo reale. Questo canale consente un'escalation immediata in caso di comportamenti imprevisti.
• Autorizzazioni: qualsiasi movimento laterale tra i livelli di asset o azione sugli obiettivi richiede l'approvazione esplicita del gruppo di controllo. Nulla viene dato per scontato.
• Arresto di emergenza: se durante il test viene identificata una violazione non correlata o il cliente ha bisogno di interrompere l'attività, la simulazione può essere interrotta immediatamente con la massima trasparenza.
• Vulnerabilità: le vulnerabilità ad alto rischio scoperte durante l'incarico non vengono omesse dal rapporto finale, ma vengono divulgate in tempo reale, soprattutto se presentano un percorso chiaro e credibile verso la compromissione.
• Rimozione degli artefatti – Al termine dell'incarico, LRQA garantisce che tutti gli artefatti del red team siano rimossi in modo sicuro dall'ambiente del cliente, inclusi impianti, payload e residui di strumenti.
• Denial of service – LRQA non eseguirà mai attacchi denial-of-service durante una simulazione live. Se viene rilevata una condizione DoS, questa viene registrata senza essere attivata.
• Protezione dei dati – LRQA non esfiltra dati di produzione live a meno che non venga fornita un'autorizzazione esplicita per iscritto.
• Sicurezza degli impianti – Gli impianti sono configurati per essere eseguiti solo su risorse collegate al dominio e nell'ambito di applicazione. Ciò garantisce che, anche se i payload lasciano l'ambiente, non funzioneranno altrove.
• Terze parti – I sistemi e le infrastrutture non di proprietà o gestiti dal cliente sono esclusi dall'ambito di applicazione, salvo diversamente concordato.
• Escale – Un processo di escalation documentato consente di risolvere rapidamente qualsiasi problema in tempo reale, in particolare nei casi in cui i blue team rilevano attività o nutrono preoccupazioni in merito a un possibile incidente.

Visibilità totale, senza interruzioni

Se si desidera una sovrapposizione visiva dell'intervento, LRQA mette a disposizione di tutti i clienti la propria Engagement Dashboard. Questa dashboard fornisce informazioni in tempo reale sulla simulazione ed è progettata per offrire al gruppo di controllo visibilità 24 ore su 24, 7 giorni su 7, senza interferire con l'esercitazione dal vivo.

Il dashboard mostra:

• Stato in tempo reale dell'attacco simulato
• Numero di impianti attivi
• Stato di avanzamento dello scenario e tappe fondamentali
• Cronologia delle attività di coinvolgimento fino a quel momento
• Pulsante di arresto di emergenza che interrompe immediatamente tutte le attività in corso in caso di incidente o problema non correlato

È importante sottolineare che non si tratta di una trasmissione in diretta delle attività del red team: il dashboard fornisce solo metadati, progettati per la supervisione, la risoluzione dei conflitti e la governance sicura durante tutta la simulazione.

Ogni comando e azione eseguita dal red team viene registrata in un registro centrale e immutabile delle attività, creando una traccia di audit forense che copre l'intero ambito dell'impegno, dall'accesso iniziale alla pulizia post-impegno.

Guardando al futuro

Questa introduzione offre una panoramica dietro le quinte di come gestiamo il rischio nelle simulazioni di attacchi reali, dalla pianificazione iniziale al coinvolgimento attivo. Che l'obiettivo sia testare la resilienza, supportare i requisiti normativi o rafforzare la fiducia nelle vostre difese, la gestione del rischio è il filo conduttore che tiene insieme tutto.

Ogni incarico ci insegna qualcosa di nuovo sulla tecnologia, sulle persone e sulla natura in continua evoluzione del rischio. Acquisendo e applicando queste conoscenze, aiutiamo i clienti non solo a difendersi, ma anche ad adattarsi.

In LRQA crediamo che la resilienza non si costruisca evitando il rischio, ma gestendolo in modo intelligente e trasparente.

Per saperne di più

LRQA supporta le organizzazioni di tutto il mondo con simulazioni di attacchi mirate, valutazioni della sicurezza informatica e pianificazione della risposta agli incidenti.

Contattaci per scoprire come possiamo aiutarti