Quando se trata de ciberataques, é melhor se preparar. As informações confidenciais da sua organização são valiosas para usuários maliciosos, e um invasor fará tudo o que puder para explorar o seu sistema. O teste red team ajuda a preparar sua equipe de cibersegurança para enfrentar ataques sofisticados, simulando técnicas reais para que sua equipe possa identificar vulnerabilidades no sistema e colocar em prática métodos de resposta.
Por que sua equipe de segurança precisa dos testes red team?
Os testes red team usam hacking ético para identificar ataques ao sistema de segurança de uma organização, com base em técnicas reais como aquelas usadas em ataques de engenharia social. O teste red team vai além de um teste de intrusão, pois coloca uma equipe de adversários (a red team) contra a equipe de segurança da organização (a blue team). Geralmente, a red team é formada por profissionais de segurança altamente treinados que compreendem as táticas reais utilizadas para comprometer ambientes. As organizações podem usar informações dessa simulação para corrigir pontos fracos em sua defesa e reforçar a postura de segurança.
Os testes red team ajudam sua empresa com análise completa da força de cada controle de segurança adotado. Em vez de contar com capacidades teóricas do seu sistema de segurança, você poderá entender como ele resistirá a ataques na prática. Ao identificar áreas de possíveis ataques, os testes red team não se limitam à sua tecnologia. Eles são capazes de identificar vulnerabilidades de segurança nas seguintes áreas:
- Tecnologia: os profissionais de cibersegurança usam estratégias de hacking para identificar áreas de risco relacionadas a redes, aplicações, roteadores e outros tipos de tecnologia.
- Recursos humanos: os testes red team podem expor vulnerabilidades relacionadas às suas equipes de recursos humanos, como funcionários, contratados independentes e parceiros de negócios. O InfoSec Institute estima que entre 6% a 28% dos ataques de cibersegurança acontecem com a ajuda de funcionários atuais ou de ex-funcionários.
- Infraestrutura: os testes red team são capazes de expor vulnerabilidades relacionadas à segurança da sua infraestrutura, incluindo acesso a escritórios, data centers e depósitos.
Você deveria usar os testes red team porque as ameaças de segurança evoluem constantemente, e ser vítima de um ataque custa caro. De acordo com o relatório Cost of a Data Breach da IBM, em 2021, os comprometimentos de dados custaram às empresas mais de US$ 4 milhões. Este custo é o maior já registrado em qualquer ano desde que a empresa começou a publicar esse relatório anual. Os testes red team ajudam as empresas a avaliar quaisquer falhas e compreender como precisam se adaptar para evitar os dispendiosos comprometimentos de dados.
Quem deve fazer testes red team?
Testar a segurança de endpoint periodicamente é importante por que as táticas e as tecnologias mudam. Tanto os testes de intrusão quando os testes red team trazem insights valiosos sobre áreas de aprimoramento. Entretanto, a estratégia mais adequada dentre essas duas depende do momento da jornada no qual a empresa está.
De forma geral, o teste de intrusão deve ser usado em novas infraestruturas de segurança, pois ele oferece uma visão mais geral das vulnerabilidades da organização. Durante o teste de intrusão, os avaliadores tentam invadir diferentes áreas do sistema, para que você possa compilar uma a lista abrangente de vulnerabilidades. Geralmente, o teste de intrusão dura uma ou duas semanas.
Os testes red team são mais vantajosos para organizações que têm sistemas de segurança maduros, pois oferecem uma análise aprofundada em uma área específica. O objetivo é identificar em que extensão um usuário malicioso poderia explorar uma vulnerabilidade e causar danos. Durante os testes red team, os avaliadores agem como um usuário malicioso e evitam ser detectados enquanto exploram uma vulnerabilidade. Os testes red team tendem a durar cerca de três ou quatro semanas e oferecem à sua blue team a oportunidade de praticar táticas defensivas.
Desvantagens dos testes red team
As duas principais desvantagens dos testes red team são: cobertura e custo. Nos testes red team, o principal objetivo dos membros da equipe é acessar informações confidenciais, mas os testes não são abrangentes. Sua empresa não deve usar o teste red team se ainda não tiver realizado um teste de intrusão. Os testes red team também tendem a ser mais caros do que os testes de intrusão. Sua empresa pode optar por não fazer o teste red team se considerar que é mais vantajoso usar o orçamento de segurança para corrigir vulnerabilidades conhecidas.
Preparações para o teste de intrusão
Para aproveitar ao máximo a operação de uma red team, sua organização precisa se preparar. As organizações já precisam compreender bem o próprio sistema de segurança, e é necessário que todas as vulnerabilidades existentes já tenham sido solucionadas. Por isso, é recomendável identificar uma área específica que precise ser submetida a testes. Por exemplo, talvez a empresa tenha informações particularmente confidenciais em um servidor específico. Converse sobre essa preocupação com a sua red team, para que ela possa se concentrar na coleta de informações e na elaboração da estratégia para esse alvo específico durante um exercício.
Saiba mais
Saiba por que as simulações de red team/blue team desempenham um importante papel na defesa da organização contra os ciberataques variados dos sofisticados adversários modernos.
Como formar uma red team eficaz
Sua red team deve ser formada por equipes que espelhem com precisão seus adversários. Isso significa que a equipe deve ser experiente, técnica e criativa. Ao decidir quem deve fazer parte da sua red team, busque a seguinte experiência:
- Habilidades de desenvolvimento de software e capacidade de desenvolver ferramentas personalizadas para derrotar os sistemas de segurança
- Experiência em testes de intrusão e um entendimento de como os sistemas de segurança funcionam, no intuito de evitar a detecção
- Habilidades de engenharia social e capacidade de persuadir as pessoas a compartilhar informações confidenciais
Depois de selecionar os membros da sua red team, é hora de você planejar a participação dessa equipe. Todas as fases a seguir compõem um teste red team efetivo e ajudam a equipe a trabalhar sistematicamente em conjunto para testar seu sistema de segurança:
- Fase de coleta de informações: nesta primeira fase, os membros da red team usam o reconhecimento ativo para aprender informações sobre sua empresa, o que inclui funcionários, instalações e controles de segurança.
- Fase de planejamento e execução do ataque: em seguida, a red team trabalha em conjunto para planejar possíveis caminhos de ataque. A equipe tenta explorar quaisquer vulnerabilidades encontradas para obter acesso ao seu sistema.
- Fase de relatório e remediação: a última etapa é a avaliação realizada pela red team. Nesta fase, a equipe relata as etapas que seriam seguidas para reproduzir o ataque e orienta como remediar o risco.
A red team utiliza várias ferramentas conhecidas que auxiliam seus membros a empregar a tecnologia para percorrer integralmente todas essas fases. Por exemplo, existem ferramentas de código aberto que ajudam as equipes a fazer varreduras em busca de vulnerabilidades, realizar o reconhecimento coletando informações de fontes de dados públicas e executar ataques, como a criação de páginas de phishing. Todo membro de red team deve se familiarizar com diversas ferramentas para poder executar os testes usando os mesmos métodos adotados pelos seus adversários.
Quais são as táticas comuns de red team
O red teaming simula um ciberataque multifacetado, no qual as equipes usam diferentes táticas para tentar acessar o seu sistema. Vamos conhecer as táticas mais comuns de red teaming:
- O teste de intrusão de aplicações Web busca pontos fracos no design e na configuração de suas aplicações Web. O teste funciona por meio de uma técnica maliciosa, como a falsificação de solicitação entre sites, para obter um ponto de acesso.
- O teste de intrusão de rede busca pontos fracos em seu sistema ou em sua rede. Ele opera buscando pontos de acesso, como portas abertas em sua rede sem fio.
- O teste de intrusão física procura pontos fracos em seus controles de segurança física. Ele funciona tentando obter acesso ao seu campus físico. Por exemplo, um membro da red team pode tentar seguir funcionários com crachás para acessar áreas restritas do seu escritório.
- As táticas de engenharia social tentam persuadir e manipular a equipe de recursos humanos. A red team tenta usar táticas como phishing ou suborno para obter informações confidenciais, como credenciais, de pessoas que têm conhecimento do seu sistema.
As atividades da red team geralmente combinam variadas táticas para testar por completo a força do seu sistema de segurança. Essa abordagem multifacetada das táticas de red team tem muito a ensinar sobre os pontos fortes e fracos da sua empresa. Você pode identificar vulnerabilidades em sua configuração de tecnologia, bem como áreas nas quais sua equipe precisa de mais treinamento. Por exemplo, caso um grande percentual dos seus funcionários tenha clicado no link de um e-mail de phishing, considere elaborar para eles um treinamento obrigatório sobre solicitações de e-mail maliciosas.
Para preparar sua equipe de cibersegurança para se proteger contra ataques direcionados, comece simulando exercícios de equipe. Essa simulação de ataque pode ensinar à sua equipe de resposta táticas comuns e as melhores ferramentas de resposta. Por exemplo, usuários maliciosos têm usado serviços de ocultação para não serem detectados, e agora as empresas também podem aproveitar a mesma ferramenta. É importante se atualizar sobre as mais recentes táticas como preparação para enfrentar ataques e maximizar seu conjunto de ferramentas.
Como começar com exercícios de emulação
Red teaming é uma forma avançada e eficaz de as organizações testarem a força de seu sistema de segurança. Quando usado com outras medidas de segurança, como segurança de endpoint e investigação de ameaças, o teste de red team ajuda a garantir a proteção da sua empresa contra possíveis invasores.
A equipe de Serviços CrowdStrike oferece serviços de emulação de adversários para ajudar sua empresa a dar os primeiros passos e preparar a estratégia de resposta no caso de um ataque direcionado. Os Serviços CrowdStrike desenvolvem uma campanha específica para sua organização. Dessa forma, sua organização pode simular o método e o impacto de um ataque real sem sofrer as consequências dele. Em seguida, sua empresa pode proativamente fazer mudanças no sistema e assegurar que ele esteja maduro e preparado para futuros incidentes. Para entender melhor o que os Serviços CrowdStrike podem oferecer à sua empresa, preencha o formulário de contato do cliente e solicite informações.
JJ Cranford é Gerente Sênior de Marketing de Produtos na CrowdStrike e o principal responsável por serviços de consultoria e resposta a incidentes. Anteriormente, JJ ocupou cargos na Cybereason, OpenText e Guidance Software, onde implementou sua estratégia de mercado para Detecção e Resposta Estendidas (XDR), detecção e resposta de endpoint (EDR) e suítes de produtos DFIR. Ele fornece insights sobre tendências de mercado, desafios do setor e soluções nas áreas de resposta a incidentes, segurança de endpoint, gerenciamento de risco e defesa contra ransomware.
