Offensive cybersecurity: cas d'usage
Les faiblesses sont au mieux trouvées par le camp du défenseur avant qu'un adversaire ne les trouve, et au mieux sous la gouvernance de l'acheteur plutôt que celle d'un service étranger. Le Groupe de cybersécurité mène des engagements d'équipe rouge contre des environnements de production vivants, des navires en mer aux réseaux de paiement, appuyés par une recherche de vulnérabilités divulguée de façon responsable sur les systèmes maritimes, ferroviaires et de contrôle industriel. Le travail offensif se définit par ce qu'il est autorisé à toucher et ce qui se passe quand il tourne mal, non par l'ingéniosité de l'exploit. Ses chercheurs ont trouvé des failles classées au sommet de l'échelle de gravité dans des flottes en production et détiennent des entrées au registre NIST américain. Chaque engagement se déroule sous de stricts contrôles légaux et de gouvernance, redevable envers l'acheteur seul, et chaque découverte alimente les plateformes défensives plutôt que de dormir dans un rapport.
Où elle est employée
Un engagement d'équipe rouge commence par décider ce qui est testé et pourquoi : quels systèmes, quel résultat de mission ou d'affaires l'adversaire poursuit, et ce que l'engagement n'a délibérément pas le droit de toucher. Un périmètre vague produit un constat vague et une panne évitable, si bien que la frontière est tracée avant que quiconque ne touche un clavier. Le travail reste à l'intérieur de la liste de cibles convenue, et les systèmes hors périmètre ou les tiers jamais partie à l'autorisation ne sont pas touchés, car les atteindre ne serait ni légal ni utile. Cette discipline de cibles autorisées est précisément la différence entre une équipe rouge et un intrus, et c'est ce qui rend l'exercice défendable après coup.
Avant qu'un engagement ne tourne, les deux parties conviennent du calendrier, des techniques permises, du chemin d'escalade, des conditions d'arrêt et de qui a l'autorité de faire halte. Tester une production vivante, d'un navire en route à une fenêtre de règlement, signifie qu'une perturbation accidentelle est un événement réel, si bien que les règles existent pour empêcher l'exercice de devenir l'incident. Très peu d'équipes attaqueront un navire en mer, et moins encore savent ce qui peut s'isoler sans l'arrêter. Tout fournisseur prêt à tester une infrastructure critique vivante sans cette conversation devrait être écarté, car le dossier de sécurité d'un navire en mouvement ou d'un réseau de paiement se rédige d'abord, non s'improvise.
La modélisation de menace et les tests d'intrusion peuvent descendre jusqu'à la spécification elle-même, y compris des fonctions individuelles de cœur de réseau 5G bâties depuis la norme 3GPP. Bâtir le modèle de menace depuis la spécification plutôt que depuis un scanner est comment des défauts de logique et d'interface remontent, que le test d'intrusion générique franchit sans les voir. Un test d'intrusion énumère les faiblesses dans un périmètre défini ; une équipe rouge poursuit un objectif et emploiera n'importe quel chemin autorisé qui l'atteint, y compris personnes et processus. Les deux sont menés ici, et la profondeur de la recherche derrière eux, divulgations sur les systèmes maritimes, ferroviaires et de contrôle industriel, est ce qui fait que l'émulation reflète comment ces environnements se brisent réellement.
Le travail sur les systèmes de contrôle industriel se juge sur la retenue autant que sur l'accès, car la même technique qui prouve un point peut déclencher un processus. Les divulgations couvrent les systèmes maritimes, ferroviaires et de contrôle industriel, y compris des CVE crédités au registre NIST américain et des découvertes ayant atteint la note de gravité maximale disponible dans des flottes en production. Le moyen de juger une équipe rouge avant de l'embaucher est de regarder ce qu'elle a trouvé plutôt que comment elle décrit sa méthodologie, car un dossier de divulgations contre des systèmes réels est une preuve et une déclaration de méthode soignée ne l'est pas. L'étendue en première ligne et la recherche profonde sont des sortes de preuves différentes, chacune valant d'être pesée en propre.
Chaque découverte d'un engagement offensif est réinjectée dans les plateformes défensives, si bien qu'une attaque prouvée une fois devient une défense maintenue par la suite. L'évaluation n'est pas un rapport qui prend la poussière ; c'est l'entrée qui garde la protection honnête. Test offensif et opérations défensives sont deux faces d'une seule discipline, et acquérir les deux par un seul canal redevable signifie que le test alimente la défense au lieu de dormir dans le rapport d'un autre prestataire. Les parcs critiques testent généralement au moins une fois l'an et après tout changement de système significatif, mais le suivi compte plus que la cadence : l'équipe rouge attaque, les constats pilotent le durcissement, l'engagement suivant sonde plus profond.
Un rapport d'équipe rouge est une carte de comment vaincre un système national, si bien que la question de savoir qui d'autre peut le lire a sa place au contrat plutôt que dans une hypothèse. Un testeur apprend exactement où les corps sont enterrés, raison pour laquelle beaucoup d'États hésitent à laisser une entreprise alignée sur l'étranger répéter des attaques sur leurs systèmes les plus sensibles. Cette capacité est indépendante et non alignée, sans exposition politique à un écosystème de grande puissance et sans tiers gouvernement fondé à en demander une copie ; les constats ne voyagent jamais plus loin que l'acheteur ne décide. Un modèle commercial n'est pas publié, car tout chiffre cité avant un périmètre écrit contre le parc réel est une supposition.
