Kibertəhlükəsizlik qiymətləndirmələrindən danışarkən iki termin tez-tez qarışdırılır: Penetration Testing və Red Team. Hər ikisi icazəli və nəzarət olunan şəkildə hücumçu üsullarından istifadə edir, lakin fərqli suallara cavab verir.
Penetration Testing: zəiflikləri tapmaq
Pentest əvvəlcədən razılaşdırılmış əhatə daxilində — veb tətbiq, mobil tətbiq, şəbəkə, API, bulud mühiti və ya Active Directory — mümkün qədər çox texniki zəifliyi aşkar etməyə yönəlmiş nəzarətli testdir. Nəticə riskə görə prioritetləşdirilmiş zəifliklər siyahısı və onların aradan qaldırılması üçün praktik tövsiyələrdir.
Red Team: müdafiəni yoxlamaq
Red Team əməliyyatı müəyyən məqsədə — məsələn, kritik sistemə və ya həssas məlumata çıxışa — çatmağa çalışan real hücumçunun davranışını təqlid edir. Əsas sual təşkilatın təhdidi insan, proses və texnologiya səviyyəsində nə qədər tez aşkarlayıb ona necə cavab verdiyidir. Buna görə müdafiə komandası çox vaxt əvvəlcədən məlumatlandırılmır.
- Məqsəd: pentest — zəiflikləri geniş əhatə ilə tapmaq; Red Team — aşkarlama və cavab qabiliyyətini yoxlamaq.
- Əhatə: pentest — konkret sistemlər; Red Team — məqsədə aparan istənilən icazəli yol, o cümlədən razılaşdırıldığı halda sosial mühəndislik.
- Müdafiə komandası: pentest zamanı adətən məlumatlı olur; Red Team zamanı çox vaxt məlumatsız olur.
- Nəticə: pentest — zəiflik hesabatı; Red Team — hücum yolu, aşkarlanmayan fəaliyyətlər və cavab proseslərinin qiymətləndirilməsi.
Hansını nə vaxt seçməli?
Təhlükəsizlik proqramınız yeni formalaşırsa və ya yeni sistem istifadəyə verirsinizsə, pentestdən başlamaq məntiqlidir: əvvəlcə məlum zəiflikləri aradan qaldırmaq lazımdır. Red Team isə əsas təhlükəsizlik tədbirləri, monitorinq və insidentlərə cavab prosesləri artıq mövcud olan təşkilatlar üçün daha uyğundur.
Pentest “harada zəifik?” sualına, Red Team isə “real hücumu vaxtında görə bilərikmi?” sualına cavab verir.
Hər iki halda testlər yalnız yazılı razılaşma, aydın əhatə və iş qaydaları (rules of engagement) əsasında aparılmalıdır.