Анастасия Гришина
Алексей ХалинПорядок проведения киберучений
Ядро методологииАнастасия ГришинаАлексей ХалинАнастасия ГришинаАлексей ХалинАнастасия ГришинаАлексей ХалинКиберучения — это мероприятия по моделированию атак на организацию, в рамках которых проверяются актуальность и работоспособность процедур выявления атак, а также эффективность имеющихся планов, схем реагирования и мер по ликвидации последствий. Основная цель киберучений — оценка эффективности центра противодействия киберугрозам (ЦПК), работа которого направлена на своевременное предотвращение киберинцидентов, которые могут привести к недопустимым для бизнеса событиям.
ЦПК — это структура, включающая набор программно-аппаратных средств, персонал, а также утвержденные процессы и процедуры, которые в совокупности позволяют не только своевременно обнаружить киберинциденты до нанесения неприемлемого ущерба, но и ликвидировать их последствия.
Киберучения проводятся в формате red team, который подразумевает комплексную оценку ЦПК путем имитации действий реального злоумышленника. Цель такого злоумышленника — реализация одного или нескольких недопустимых для заказчика киберучений событий. Оценка ЦПК осуществляется относительно согласованных с заказчиком киберучений недопустимых событий и в соответствии с установленными целями. В учениях принимают участие четыре стороны: заказчик киберучений, специалисты по проведению тестирования на проникновение и имитации целевых атак (команда нападения), специалисты подразделений информационных технологий и информационной безопасности (команда защиты), аналитики, которые подводят итоги киберучений (команда арбитров).
Если в вашей организации имеются специалисты, способные проводить имитацию кибератак, используя инструменты, тактики, техники и процедуры известных APT-группировок, эксперты, способные выявлять такие атаки, а также аналитики, которые способны оценить эффективность работы обеих команд и ЦПК, вы можете провести киберучения самостоятельно, без привлечения сторонних компаний. При этом необходимо понимать, что штатные сотрудники знают ваш ЦПК, IT-инфраструктуру и бизнес-процессы, протекающие в компании, поэтому такая оценка не может быть максимально объективной. Для получения объективной оценки реализуемости недопустимых событий от лица внешнего нарушителя, не имеющего информации о ваших системах, рекомендуем в качестве команды нападения привлекать . Кроме того, для получения объективной оценки эффективности работы ЦПК и команд участников рекомендуется также привлекать сторонних экспертов в качестве команды арбитров.
Основная цель команды нападения — реализовать утвержденный перед киберучениями перечень недопустимых событий, проводя кибератаки. В свою очередь, команда защиты, используя всю функциональность ЦПК, должна своевременно обнаружить действия команды нападения и подготовить рекомендации для предотвращения потенциальных инцидентов кибербезопасности, которые могут привести к недопустимым событиям, и реагирования на них. Итоги киберучений подводит команда арбитров. Чтобы по результатам киберучений было возможно корректно рассчитать метрики, направленные на повышение эффективности ЦПК, деятельность команд должна регламентироваться техническими заданиями, в которых будут описаны все правила и условия проведения киберучений. Примеры таких технических заданий доступны для скачивания в конце статьи.
Перед началом работ заказчику необходимо заранее согласовать дату начала киберучений с участниками. Таким образом, команду защиты осведомляют о дате начала, что позволяет оценить эффективность ЦПК в режиме максимальной готовности к предотвращению атак.
Все действия в рамках киберучений команда нападения совершает с принадлежащих ей внешних IP-адресов, полный список которых должен быть представлен перед началом заказчику киберучений и команде арбитров. Команда защиты будет выявлять любые атаки на инфраструктуру и затем в установленном порядке обрабатывать события информационной безопасности. Имея список IP-адресов команды нападения, возможно своевременно отличать атаки команды нападения от действий реальных нарушителей, которые могут произойти в любой момент, в том числе и в процессе киберучений.
Команда нападения работает по модели внешнего нарушителя и в большинстве случаев для проникновения в инфраструктуру:
Важно отметить, что реальные злоумышленники не ограничены в способах атак на организацию. Поэтому для получения всесторонней оценки реального уровня защищенности компании от кибератак и определения максимального числа возможных путей проникновения в ЛВС рекомендуется не ограничивать команду нападения в ее действиях.
Команда защиты работает в режиме мониторинга, осуществляя только обнаружение действий команды нападения без активного противодействия. С помощью функциональных возможностей ЦПК и установленных в нем правил и процедур команда защиты должна обнаружить как можно больше действий команды нападения. Это позволит заказчику киберучений на практике убедиться, что после учений с помощью ЦПК возможно обнаружить реального злоумышленника на каждом из этапов атаки и идентифицировать все тактики, техники и инструменты нарушителей.
Активная стадия киберучений состоит из четырех этапов:
На каждом из них команда нападения может использовать различные инструменты и средства. Указанные шаги должны выполняться последовательно. Однако если для реализации одного или нескольких недопустимых событий не требуются проникновение и закрепление в инфраструктуре, то для таких событий после сбора информации можно сразу перейти к выполнению критериев их реализации.
Со стороны команды защиты киберучения проводятся в четыре основных этапа:
Каждый шаг выполняется последовательно друг за другом.
Со стороны команды арбитров киберучения проводятся в четыре основных этапа:
Первые три шага могут выполняться параллельно. Четвертый является заключительным для учений в целом.
Общая схема киберучений для всех участвующих сторон представлена на рисунке ниже. В целях экономии времени некоторые работы разных команд могут проводиться параллельно, но не выходя за рамки указанного на рисунке деления. Минимальное время, необходимое для проведения киберучений, — три месяца. Уменьшение этого срока негативно скажется на результатах.
Рисунок 1. Схема киберучений
По результатам киберучений команды нападения и защиты разрабатывают отчеты, которые включают в себя описание выполненных работ, а также полученные результаты. Например, в отчете команды нападения должна содержаться информация о реализованных недопустимых событиях и выявленных векторах атак, а в отчете команды защиты должна содержаться информация о хронологии действий команды нападения. После разработки этих отчетов команда арбитров разрабатывает итоговый отчет, который содержит в себе оценки результатов деятельности команд защиты и нападения, оценку эффективности работы ЦПК и аналитическое заключение о возможности отражения атаки в случае активного противодействия со стороны команды защиты.
Полученные результаты могут быть использованы для актуализации перечня недопустимых событий, практического подтверждения необходимости трансформации существующего ЦПК или для улучшения его отдельных параметров ради достижения целевых метрик эффективности и результативности.
Подготовка к проведению киберучений серьезно отличается от подготовки к верификации недопустимых событий. Это связано с тем, что требования к инфраструктуре для проведения киберучений значительно выше, чем к инфраструктуре для проведения верификации недопустимых событий. Например, если основное условие для проведения верификации — это наличие утвержденных руководством перечней недопустимых событий и критериев их реализации, то для проведения киберучений необходимо провести полную кибертрансформацию всей IT-инфраструктуры начиная от бизнес-процессов и заканчивая реорганизацией компонентов инфраструктуры.
Для проведения киберучений необходимо выполнить следующие условия:
В процессе проведения киберучений очень важно, чтобы участники киберучений записывали свои действия в едином формате. Это необходимо для того, чтобы по результатам киберучений было возможно дать оценку эффективности центра противодействия киберугрозам, а также рекомендации по его модернизации (совершенствованию). Поэтому необходимо заранее подготовить технические задания на проведения работ для участников киберучений.
Если все указанные условия выполнены, значит, организация готова к проведению киберучений и можно переходить к процессу выбора исполнителей работ.