{"id":2023,"date":"2020-01-30T15:45:57","date_gmt":"2020-01-30T14:45:57","guid":{"rendered":"https:\/\/www.carbonsec.com\/?p=2023"},"modified":"2022-03-11T13:28:58","modified_gmt":"2022-03-11T12:28:58","slug":"red-teaming-pentest","status":"publish","type":"post","link":"https:\/\/www.carbonsec.com\/sl\/red-teaming-pentest\/","title":{"rendered":"Kaj sta Red Teaming in pentest?"},"content":{"rendered":"\n

Besedna zveza \u00bbRed Teaming\u00ab se v pogovorih o kibernetski varnosti zadnje \u010dase vedno pogosteje omenja. Sli\u0161i se zanimivo, nekoliko misteriozno, moderno, predvsem pa ponuja \u0161iroko paleto mo\u017enih razlag, kaj naj bi to sploh pomenilo.\u00a0Ker sem pri pogovorih s kolegi iz stroke ve\u010dkrat naletel na razli\u010dna mnenja, kaj sta Red Teaming in pentest, se mi je zdelo primerno, da tematiko sku\u0161am obelodaniti v prvem leto\u0161njem blog zapisu.\u00a0<\/p>\n\n\n\n

\"Ej<\/figure>\n\n\n\n

Torej, misija prispevka je odgovoriti na vpra\u0161anji, kaj sta Red Teaming in pentest, kak\u0161na je razlika med njima ter kaj je dodana vrednost enega ali drugega. Eno je jasno \u2013 v obeh primerih gre za varnostno preverjanje.\u00a0<\/p>\n\n\n\n

Za\u010dnimo pri metodologiji: OSSTMM<\/h2>\n\n\n\n

Pa pojdimo nazaj k koreninam: pri izvajanju katere koli oblike penetracijskega testa, je klju\u010dno vpra\u0161anje, kako<\/strong> preverjati.<\/p>\n\n\n\n

\u010ceprav se sicer veliko izvajalcev odlo\u010da za tehnike in prakse, ki so plod njihovih lastnih izku\u0161enj, ima izvedba varnostnega testa po metodolo\u0161ko urejenemu pristopu dolo\u010dene prednosti \u2013 doslednost, ponovljivost, preverljivost in u\u010dinkovitost.<\/p>\n\n\n\n

V svetu varnostnega preverjanja je referenca metodologija OSSTMM<\/strong>. OSSTMM je strokovno pregledana metodologija za sistemati\u010dno izvajanje varnostnih testov z uporabo metrike in kot taka zagotavlja celovito ogrodje, ki ga je mogo\u010de prilagoditi vsakovrstnemu varnostnemu testiranju.\u00a0<\/p>\n\n\n\n

Lepota metodologije OSSTMM se za\u010dne \u017ee pri samem dolo\u010danju tipa pregleda in zagotavlja, da izvajalec (v nadaljevanju \u00bbnapadalec\u00ab) razume potrebe naro\u010dnika (v nadaljevanju \u00bbtar\u010da\u00ab).\u00a0<\/p>\n\n\n\n

\"\"
slika 1: OSSTMM, Common Test Types<\/figcaption><\/figure><\/div>\n\n\n\n

<\/p>\n\n\n\n

Slepi test in obratni test<\/h2>\n\n\n\n

Metodologija predlaga \u0161est razli\u010dnih tipov oz. pristopov k varnostnemu testiranju, ki so odvisni od za\u010detne informiranosti napadalca o tar\u010di ter zavedanju tar\u010de o tem, da se bo test zgodil (slika 1). \u00bbDouble Blind\u00ab recimo pomeni, da napadalec ni\u010d ne ve o tar\u010di ter da ni pripravljena na test. V namen tematike se bom na tem mestu osredoto\u010dil na dva, in sicer na slepi test (angl.: Blind) ter obratni test (angl.: Reversal).\u00a0<\/p>\n\n\n\n

Slepi test<\/strong> \u2013 Pri tem na\u010dinu napadalec o tar\u010di ne ve ni\u010d za razliko od tar\u010de, ki o testu ve vse in je na test tudi pripravljena. Ta vrsta testiranja je najprimernej\u0161a za preverbo napadal\u010devih sposobnosti.\u00a0<\/p>\n\n\n\n

Obratni test<\/strong> \u2013 Ker ima napadalec pri tem testu popoln vpogled v tar\u010do, tar\u010da pa o testu ni\u010d ne ve, je tak\u0161en test namenjen izklju\u010dno testiranju pripravljenosti tar\u010de na tovrstne napade.<\/p>\n\n\n\n

Gre za dva testa, ki sta diametralno nasprotna glede na svoj namen. Prvi v resnici testira izku\u0161enost testerja ter kvaliteto varnostnih kontrol, in je \u0161e najbli\u017eji klasi\u010dnemu vdornemu testu. Drugi pa testira pripravljenost organizacije na nenapovedan poizkus napada in se po mnenju avtorjev OSSTMM najve\u010dkrat imenuje \u00bbRed Team Exercise\u00ab.<\/p>\n\n\n\n

Red Teaming vs. Pentest <\/h2>\n\n\n\n

Vdorni test, imenovan tudi penetracijski test ali kar pentest, je simulacija napada na sistem z namenom dokazati ranljivost sistema v primeru resni\u010dnega, pravega napada oz. preveriti u\u010dinkovitost varnostnih kontrol. Ker se velikokrat izka\u017ee, da se pojem penetracijsko testiranje ena\u010di z oceno ranljivosti (ang.: vulnerability assessment), velja na tem mestu izpostaviti bistveno razliko. Naloga pentesterja je dejansko izvesti \u00bbnedovoljeno\u00ab akcijo (pridobiti upravljalske dostope, spremeniti digitalni zapis informacije, itd.), medtem ko je naloga pri ocenjevanju ranljivosti identificirati podro\u010dja, kjer bi sistem lahko bil v nevarnosti, da ga napadalec zlorabi. Ocenjevalec ranljivosti se, takoj po tem, ko identificira ranljivost, ustavi in ne posega ve\u010d v sistem, medtem ko pentester ugotovljeno ranljivost sku\u0161a \u0161e izrabiti, kar je jedro penetracijskega testa.<\/p>\n\n\n\n

Skovanka \u00bbRed Team\u00ab izhaja iz voja\u0161ke terminologije, najve\u010dkrat v navezavi z drugo podobno skovanko \u00bbBlue Team\u00ab. Voja\u0161ki strategi so \u017ee kar nekaj \u010dasa nazaj ugotovili, da bo obramba pred sovra\u017enikom \u0161e bolj\u0161a, \u010de jo ob\u010dasno preizkusi\u0161 s simulacijo napada, ki ti poka\u017ee morebitne \u0161ibke to\u010dke. V svetu kibernetske varnosti so “modri” na strani obrambe, tipi\u010dno \u010dlani ekipe varnostno operativnega centra (angl. SOC), kjer neprestano spremljajo in i\u0161\u010dejo morebitne \u0161kodljive kibernetske aktivnosti ter se nanje odzivajo. Po naravi so reaktivni. \u010cakajo, da se bo nekaj zgodilo. “Rde\u010di” so za razliko od modrih izrazito proaktivni, simulirajo resni\u010dne napade in sku\u0161ajo zaobiti obrambne vrste, ne da bi bili pri tem zaznani. Njihova naloga je najti vrzeli v obrambi z namenom izbolj\u0161anja zmo\u017enosti zaznave modrih.<\/p>\n\n\n\n

V \u010dem je torej bistvena razlika med vdornim testom<\/a><\/strong> in Red Teamingom<\/a><\/strong>? Cilj pentesterja je ugotoviti, kje so realne tehni\u010dne pomanjkljivosti v kibernetski za\u0161\u010diti z namenom zmanj\u0161anja povr\u0161ine napada na \u010dim manj\u0161o raven, medtem ko je namen Red Teama dobesedno trenirati ekipo Blue Teama. Pentester pomaga izbolj\u0161evati kibernetsko za\u0161\u010dito, Red Team pa preizku\u0161a in izbolj\u0161uje zmo\u017enost zaznave in odziva, pri \u010demer je nujno celovito razumevanje upravljanja s kibernetsko varnostjo, ki jo sestavljajo ljudje, procesi in tehnologija.\u00a0Ko razmi\u0161ljate o preverjanju kibernetske varnosti, sta Red Teaming in pentest zagotovo prava pot. Vrsto in obseg storitve pa dolo\u010dite glede na to, kaj v poslovnem omre\u017eju \u017eelite preveriti.<\/p>\n\n\n\n

\n
Vas zanima ve\u010d o pentestu ali Red Teamingu?<\/strong>
Pi\u0161ite nam in odzvali se bomo na va\u0161e vpra\u0161anje.<\/a><\/div>\n<\/div>\n\n\n\n

Viri:<\/p>\n\n\n\n