Tunkeutumistestit ja Red Team -harjoitukset

CIS-valvonta 20Tämä on organisatorinen valvonta

Miksi tämä CIS Control on kriittinen?

Hyökkääjät käyttävät usein hyväkseen kuilua hyvien puolustussuunnitelmien ja -aikeiden sekä toteutuksen tai ylläpidon välillä. Esimerkkejä ovat: aikaikkuna haavoittuvuuden julkistamisen, valmistajan korjauksen saatavuuden ja todellisen asennuksen jokaisen koneen välillä. Muita esimerkkejä ovat: hyvää tarkoittavat käytännöt, joilla ei ole täytäntöönpanomekanismia (erityisesti ne, joiden tarkoituksena on rajoittaa riskialttiita inhimillisiä toimia); epäonnistuminen hyvien konfiguraatioiden soveltamisessa verkkoon tuleviin ja sieltä lähteviin koneisiin; ja epäonnistuminen useiden suojaustyökalujen välisen vuorovaikutuksen ymmärtämisessä tai sellaisten normaalien järjestelmätoimintojen ymmärtämisessä, joilla on vaikutuksia tietoturvaan.

Menestyksekäs suojautuminen edellyttää kokonaisvaltaista ohjelmaa, joka koostuu tehokkaista käytännöistä ja hallinnoinnista, vahvoista teknisistä suojatoimista ja asianmukaisista inhimillisistä toimista. Monimutkaisessa ympäristössä, jossa teknologia kehittyy jatkuvasti ja uusia hyökkääjien toimintatapoja ilmaantuu säännöllisesti, organisaatioiden tulisi säännöllisesti testata puolustuksensa aukkojen tunnistamiseksi ja valmiuden arvioimiseksi suorittamalla tunkeutumistestausta.

Tunkeutumistestaus aloitetaan tunnistamalla ja arvioimalla haavoittuvuudet, jotka voidaan tunnistaa yrityksessä. Seuraavaksi testit suunnitellaan ja toteutetaan osoittamaan erityisesti, miten vastustaja voi joko kumota organisaation turvallisuustavoitteet (esim. tietyn henkisen omaisuuden suojaaminen) tai saavuttaa tietyt vastustajan tavoitteet (esim. peitellyn komento- ja valvontainfrastruktuurin luominen). Tulokset antavat demonstraation avulla syvällisemmän näkemyksen eri haavoittuvuuksien liiketoimintariskeistä.

Red Team -harjoituksissa tarkastellaan kokonaisvaltaisesti koko organisaation toimintatapoja, prosesseja ja puolustusta, jotta voidaan parantaa organisaation valmiuksia, parantaa puolustuksen harjoittajien koulutusta ja tarkastaa nykyiset suoritustasot. Riippumattomat punaiset ryhmät voivat tarjota arvokasta ja objektiivista tietoa haavoittuvuuksien olemassaolosta sekä jo käytössä olevien ja jopa tulevaisuudessa käyttöönotettaviksi suunniteltujen puolustus- ja lieventämistoimien tehokkuudesta.

Pääkohdat:

• Laaditaan tunkeutumistestausohjelma, joka käsittää kaikki yhdistelmähyökkäykset, kuten langattomat, asiakaspohjaiset ja verkkosovellusten hyökkäykset.
• Luo testiympäristö, joka jäljittelee tuotantoympäristöä erityisiä tunkeutumistestejä ja Red Team -hyökkäyksiä varten sellaisia elementtejä vastaan, joita ei tyypillisesti testata tuotannossa, kuten valvonta- ja tiedonhankinta- ja muita valvontajärjestelmiä vastaan suunnattuja hyökkäyksiä vastaan.

Haluatko ottaa käyttöön tämän organisatorisen valvontakeinon?

Lataa CIS-ohjausmenetelmistä tarkempia yksityiskohtia, jotka koskevat tämän kohdan ja muiden 19:n muun valvontakeinon täytäntöönpanoa.