🔥 🚒 Planifier un exercice de Red Team

Ce document aide à éclairer la planification d'une red team en la confrontant au style très spécifique de red team décrit dans Red Teams. Cette méthode exprime plusieurs partis pris pour optimiser la valeur et l'enthousiasme de la blue team. Elle évite spécifiquement toute tentative de motivation par la punition de la red team.

Passez en revue les questions ci-dessous pour vérifier si votre planification de red team a été minutieusement pensée pour la valeur de votre blue team.

❌ Motivations négatives

Les raisons suivantes sont des motivations courantes pour mener un exercice de red team. Elles ont des effets dommageables sur le moral ou la cohésion d'équipe. Un exercice peut être le mauvais outil pour vos objectifs.

• Prouver l'insécurité d'une autre organisation
• Afficher une domination sur un groupe de personnes
• Prouver ou faire passer un message par le choc et l'effroi
• Énumérer et découvrir autant de vulnérabilités que possible
• Tester si les mécanismes de détection simples fonctionnent

👍 Parties prenantes

Rien n'est plus inutile qu'un exercice sans aucun parrainage ni suivi de la direction ou des personnes influentes. Assurez-vous que les enseignements d'un exercice soient portés par un groupe de parties prenantes enthousiastes. Assurez-vous que ce groupe soit informé et puisse créer une dynamique.

• Définir les attentes et un référent / propriétaire connu pour piloter les résultats de l'exercice
• Veiller à ce qu'il y ait une ouverture au changement et avoir un parrainage en place pour conduire ce changement.
• L'organisation est-elle un participant volontaire à cet exercice ?
• Les participants seraient-ils ouverts à toute calibration sur le risque, ou à une révision de leur feuille de route actuelle ?
• Existe-t-il une dette significative qui primerait sur les conclusions de la Red Team ?
• Les conclusions de la Red Team seront-elles si prévisibles qu'un exercice n'était même pas nécessaire au départ ?

📅 Estimations de temps

Vous pouvez prévoir le temps à allouer depuis cette phase de planification jusqu'à la fin d'une phase d'atténuation, ou quelque part entre les deux. Les attentes en matière de délais dépendent fortement des décisions prises pour chaque phase.

• Planification (Semaines/Mois) : Planification de l'exécution globale, en comblant les lacunes de ce document.
• Attaque (Minutes/Semaines) : Intégration de la red team et création active de l'incident.
• Réponse (Heures/Semaines) : Si l'incident est découvert, la durée de la réponse immédiate.
• Exercice sur table (Tabletop) (Jours / Semaines) : Si l'incident n'est pas découvert, la durée de la réponse forcée ou de l'exercice sur table.
• Réponse à incident (Court terme) (Jours / Semaines) : Le temps pour retirer l'accès de la red team, combler toute vulnérabilité découverte et éliminer l'adversaire.
• Révélation de la Red Team (Heures) : Présentation des actions de la Red Team pour calibrer les réalités de la réponse à incident.
• Réponse à incident (Post Mortem) (Heures / Jours) : Organisation des enseignements tirés et présentation élargie.
• Atténuation à long terme (Semaines / Mois) : Achèvement des enseignements les plus difficiles, refactorisation et développement avant d'envisager la prochaine red team.

👪 Personnes

Identifiez toutes les personnes qui pourraient avoir besoin de connaître les plans et les secrets de la Red Team. C'est ici que vous voudrez atténuer tout risque de type « Break Glass » et avoir des coordonnées prêtes pour un basculement hors de l'exercice en cas d'urgence.

• Cabinets de conseil : Allez-vous engager une partie externe comme red team ?
• Ressources internes : Des employés internes joueront-ils le rôle de la red team ?
• Qui est responsable de l'appel à la police (en l'occurrence, de ne pas le passer) ?
• Qui est responsable des relations publiques / communications entrantes ?
• Qui est responsable des interactions avec les clients ?
• Qui est la ressource de notification de violation ? (interne / conseil externe)
• Qui est le « Maître du jeu » (Game Master) global qui orientera les problèmes et sera la source ultime de bon jugement ?

📉 Stratégie

Décidez où vous allez concentrer la valeur retirée de cette expérience. Il y a des compromis partout qui pourraient ne pas répondre à ce que vous cherchez à traiter avec un exercice.

• Les défenseurs potentiels sont-ils conscients qu'une red team est à prévoir à un moment donné ?
  • Devraient-ils l'être ? Devez-vous définir cette attente ?
• Annoncerez-vous également une fenêtre pendant laquelle une red team est à prévoir ?
  • Cela suscitera-t-il une excitation saine et un sprint de préparation ?
• Les attaquants seront-ils fortement guidés, avec des « passe-droits » (cheating), ou en totale liberté ?
  • Ce compromis concerne la valeur de la réponse à incident et la découverte de vulnérabilités.
• L'équipe a-t-elle été informée qu'il y aura des règles strictes concernant le « shaming » (blâme public) ?
  • Vous voulez éviter tout sentiment que cela constitue une punition pour une mauvaise sécurité.
• L'équipe a-t-elle été informée que cela est censé être un cadeau pour une blue team, et non une punition pour une mauvaise sécurité ? C'est-à-dire que ce n'est pas un test, mais du sparring ?
  • Insistez sur ce point. Assurez-vous qu'il soit connu que c'est une boucle de rétroaction précieuse, et non un cycle d'évaluation de la performance des employés.
• Une méthode spécifique ou une « kill chain » réaliste a-t-elle été sélectionnée pour encadrer l'exercice ?
• Votre objectif est-il de simuler un incident sur un risque fortement atténué, ou sur un risque avec beaucoup moins de télémétrie / de mesures préventives ?
• Pendant chaque phase, quel est le « break glass » ? Comment annoncez-vous largement ce qu'est la vérité et ce qui doit se passer ensuite, au cas où une red team déraillerait et provoquerait une panne ?
• Dans quelles circonstances voulez-vous « arrêter » (call off) la red team ?
  • Considérez le moment où elle est naturellement terminée, où une interférence externe exige un arrêt, ou lorsque l'expérience n'a plus de valeur pour les participants.

🔧 Conception de l'attaque

Une attaque représente les risques que vous cherchez à atténuer, l'incident que vous cherchez à gérer, ou les personnes que vous espérez inclure dans la réponse. Toutes ces décisions comportent des contraintes de planification qu'il est utile d'identifier le plus tôt possible.