Assume breach: test z pozice kompromitované stanice nebo účtu

Test má dva možné výchozí body. Buď dostane tester přístup k jedné běžné pracovní stanici v síti, jako by na ni někdo otevřel přílohu, nebo mu předáte přihlašovací údaje běžného doménového účtu bez zvláštních oprávnění. Odkud se startuje, volíte podle toho, který scénář chcete prověřit.

Odtud se měří dvě věci: kam se z té pozice dá dostat a co útočníka zastaví. Tester zkouší eskalaci oprávnění a laterální pohyb, tedy postup z jednoho stroje na druhý, a hledá cestu k datům nebo ke správci domény. Výstupem je řetěz kroků od výchozí pozice k cíli, ne seznam otevřených portů.

V zahraničních nabídkách nese týž scénář často zápis assumed breach. Jde o totéž zadání, jen s jiným tvarem slova.

Assume breach kompromitaci předpokládá jako výchozí bod testu a zkoumá, kam by se z ní útočník dostal. Compromise assessment je opačná úloha: forenzně zjišťuje, jestli k průniku ve vašem prostředí už reálně došlo, a hledá v něm stopy skutečného útočníka.

Slova jsou si podobná, obsah ne. Assume breach je zkouška dopředu, jednáme jako útočník a měříme, co obrana vydrží. Compromise assessment se dívá zpět a pátrá po tom, co se stalo. Tohle heslo compromise assessment jen vymezuje, jako službu ho nenabízíme.

Není. Breach and attack simulation (BAS) je kategorie automatizovaných nástrojů, které samy přehrávají útočné techniky proti prostředí a hlásí, co prošlo. Assume breach je způsob zadání ručního testu, který dělá člověk.

Rozdíl je v tom, kdo test provádí a co z něj vzejde. Nástroj BAS běží opakovaně a měří pokrytí detekce proti známým technikám. Tester v assume breach hledá i cesty, které žádný katalog technik nezná, protože vznikají až z konkrétní konfigurace vaší sítě.

Jako penetrační test běží assume breach naplno a obrana o něm ví. Cílem je najít co nejvíc cest z předané pozice a popsat, čím je zavřít: nadměrná oprávnění, sdílená hesla, špatně nastavená delegace v doméně. Tuhle podobu vede interní test z pozice kompromitované stanice.

Jako red team operace běží tiše a v obraně o něm nikdo neví, protože se měří, za jak dlouho si útoku všimne. Tuhle druhou podobu drží red team operace, kde se měří reakce obrany; průběh operace tady nerozvádíme.

V dělení testů je assume breach otázka výchozí pozice testera, ne předmětu ani míry znalosti. Kam patří mezi ostatní osy, ukazuje dělení testů podle výchozí pozice testera.