Običajni varnostni testi preverijo vrata in okna, ki jih poznate. Red teaming pa preveri, ali lahko napadalec v vaše podjetje pride skozi strešno okno, po dimniku ali po predoru pod temelji. Gre za napredno simulacijo resničnega kibernetskega napada, ki vašo obrambo preizkusi v celoti – od tehnologije in procesov do odpornosti zaposlenih.
Naša ekipa etičnih hekerjev prevzame vlogo resničnega napadalca. Z metodami, kot so OSINT (zbiranje informacij iz javno dostopnih virov), socialni inženiring in ciljani napadi, iščemo načine, kako zaobiti vaše varnostne ukrepe. Cilj ni le odkriti posamezne ranljivosti, temveč razkriti sistemske šibke točke v obrambi in vam ponuditi strateški pogled na to, kako odporna je vaša organizacija proti resničnemu napadu.
Certifikati naše ekipe
Pogosto slišimo vprašanje: »Penetracijske teste že izvajamo – ali potrebujemo še red teaming?« Obe storitvi sta potrebni, vendar imata različen namen. Penetracijski test v dogovorjenem obsegu (npr. v eni sami aplikaciji) poišče čim več ranljivosti, operacija red teaminga pa preveri, ali znate zaznati prefinjen, ciljan napad in se nanj odzvati.
Na kratko: penetracijski test odgovori na vprašanje »Katere ranljivosti imamo?«, red teaming pa na vprašanje »Ali odločnega napadalca zaznamo in ustavimo, preden doseže cilj?«
| Merilo | Penetracijski test | Red teaming |
|---|---|---|
| Cilj | Najti čim več ranljivosti v dogovorjenem obsegu | Preveriti, ali znate resničen napad zaznati in se nanj odzvati |
| Obseg | Ozko določen (npr. spletna aplikacija ali vmesnik API) | Širok in prilagodljiv (celotna organizacija, tudi ljudje in procesi) |
| Metodologija | Pogosto odkrito testiranje z delnim poznavanjem sistema | Diskretno in prikrito delovanje, ki posnema resničnega napadalca (adversary simulation) |
| Rezultat | Seznam tehničnih ranljivosti s priporočili za odpravo | Strateško poročilo o pomanjkljivostih pri zaznavanju, odzivanju in splošni odpornosti |
Red teaming je primeren za organizacije, ki imajo osnovne varnostne ukrepe že vzpostavljene in želijo kibernetsko odpornost dvigniti na višjo raven. Prava izbira je, če velja kaj od naslednjega:
Želite preveriti učinkovitost notranje varnostne ekipe (blue team oziroma modra ekipa) in varnostno-operativnega centra (SOC).
Preveriti morate, ali naložbe v varnostne tehnologije res delujejo.
Želite realno oceniti, kako bi uspešen kibernetski napad vplival na vaše poslovanje.
Pripravljate se na izpolnjevanje zahtevnih predpisov, kot sta NIS2 in Zakon o informacijski varnosti (ZInfV-1).
Vemo, da je vsako podjetje drugačno. Zato ponujamo tri ravni storitev red teaminga, prilagojene velikosti, zrelosti in proračunu vaše organizacije.
Primeren za manjša podjetja in organizacije, ki z red teamingom šele začenjajo. Cenovno dostopna možnost, s katero dobite dragocen vpogled brez zapletenosti obsežnih operacij.
Zasnovan za srednje velike organizacije, ki potrebujejo temeljitejšo oceno. Zajema širši nabor simuliranih napadov ter preveri več sistemov, procesov in zaposlenih.
Najobsežnejši paket za velika podjetja in organizacije z razvejano infrastrukturo. Obseg ni omejen, testiranje je poglobljeno, preverimo pa tudi odpornost proti naprednim trajnim grožnjam (APT).
Potek operacije
Delamo sistematično in pregledno. Vsaka operacija poteka v treh ključnih fazah, ki posnemajo korake resničnega napadalca.
1. faza
Pred prvim napadom zberemo javno dostopne informacije o vaši organizaciji. Popišemo vaš digitalni odtis, prepoznamo ključne zaposlene, analiziramo tehnologije, ki jih uporabljate, in poiščemo vse, kar bi napadalec lahko izkoristil.
Zbiranje informacij
Tehnološko izvidovanje
Priprava na socialni inženiring
2. faza
Na podlagi ugotovitev iz prve faze in po dogovoru z vami izberemo najprimernejše vektorje napada. Želimo pridobiti začetni dostop do vašega omrežja in doseči vnaprej dogovorjene cilje (na primer dostop do občutljivih podatkov).
Možne metode napada
3. faza
Naš cilj ni le »vdreti« v vaše podjetje, temveč vam predlagati konkretne in razumljive korake za izboljšave. Končno poročilo je napisano tako, da je uporabno za tehnične strokovnjake in za vodstvo.
V najnovejši študiji primera podrobno opisujemo, kako smo z naprednimi tehnikami red teaminga pri eni od strank odkrili kritične ranljivosti in ji pomagali občutno okrepiti varnost.
Red teaming je postopek, v katerem simuliramo napade resničnih napadalcev na vašo organizacijo; naši etični hekerji pri tem nastopijo kot rdeča ekipa (red team). Namen je ugotoviti, kako bi napadalec pridobil dostop in zaobšel obrambo ter kako učinkovito se znate na incident odzvati.
Da. Tudi manjša podjetja so tarče – napadalcem je vseeno, ali je organizacija majhna ali velika. Paket Red Teaming Mini je zasnovan tako, da manjšim organizacijam po dostopni ceni pokaže dejansko stanje njihove varnosti in razkrije kritične šibke točke.
Direktivo (EU) 2022/2555 (NIS 2) v slovenski pravni red prenaša Zakon o informacijski varnosti (ZInfV-1). Zakon zahteva, da so varnostni ukrepi »preverljivi tako, da se na zahtevo pristojnega organa lahko predložijo dokazila o njihovi izvedbi« (6. točka trinajstega odstavka 22. člena), bistveni in pomembni subjekti pa morajo njihovo izpolnjevanje preverjati najmanj enkrat letno ali v rednih obdobjih, ki jih opredelijo sami, ter ob zaznanih ranljivostih (peti odstavek 22. člena). Red teaming je eden od načinov, kako ukrepe preveriti v praksi: pokaže, ali tehnični in procesni ukrepi – tudi zaznavanje poskusov vdorov – zdržijo prefinjen, ciljan napad. Poročilo je tehnični dokaz, ki ga lahko uporabite pri izkazovanju izpolnjevanja zahtev.
Za finančne subjekte: penetracijskega testiranja na podlagi analize groženj (TLPT) iz 26. člena Uredbe (EU) 2022/2554 (DORA) Haxoris ne izvaja. Ali ste zavezanec in v katero kategorijo spadate, preverite pri Uradu Vlade Republike Slovenije za informacijsko varnost (URSIV) oziroma s pravnim svetovalcem; ta stran ni pravno mnenje.
Prejmete podrobno poročilo s povzetkom za vodstvo, tehničnimi ugotovitvami, oceno tveganj, analizo vpliva in priporočili za odpravo, razvrščenimi po prioriteti. Del projekta je tudi zaključna predstavitev, na kateri vam osebno razložimo rezultate in odgovorimo na vaša vprašanja.
Cena red teaminga je odvisna od obsega in se običajno giblje od 5.000 € do nekaj deset tisoč evrov. Večje organizacije z razvejano infrastrukturo zahtevajo več časa, kar ceno zviša; manjše, ozko usmerjene operacije je mogoče izvesti ceneje.
Trajanje je odvisno od obsega in zahtevnosti testiranega okolja. Običajen projekt traja dva do šest tednov. Pri večjih organizacijah z razvejano infrastrukturo lahko traja dlje, manjša, ozko usmerjena preverjanja pa končamo hitreje.
Pišite nam in pogovorili se bomo o vaših ciljih in obsegu. Po prvem pogovoru prejmete neobvezujočo ponudbo.
