Il National Cyber Security Centre (NCSC) del Regno Unito ha pubblicato linee guida sulla simulazione di avversari, spesso chiamata red teaming, spiegando come le organizzazioni possano usare questo esercizio per valutare la propria capacità di resistere ad attacchi informatici realistici.
La simulazione di avversari prevede che team autorizzati tentino di raggiungere obiettivi concordati che, se conseguiti da un attaccante reale, potrebbero interrompere importanti funzioni aziendali. L’attività è concepita per verificare se i controlli di sicurezza siano in grado di prevenire, identificare e contenere attività dannose, anziché limitarsi a catalogare debolezze tecniche.
L’NCSC distingue questo approccio dal tradizionale penetration testing. Mentre un penetration test mira generalmente a individuare vulnerabilità nei sistemi, la simulazione di avversari esamina l’efficacia dei controlli difensivi, del monitoraggio, del triage degli incidenti e dell’escalation in condizioni simili a un attacco.
Organizzazioni idonee
Le linee guida affermano che il metodo offre il massimo valore alle organizzazioni di medie e grandi dimensioni con una comprensione matura del proprio rischio informatico. I candidati dovrebbero già disporre di misure di salvaguardia consolidate, valutazioni del rischio riviste regolarmente e capacità efficaci di registrazione dei log, monitoraggio e rilevamento.
Potrebbe essere particolarmente rilevante per gli operatori di infrastrutture nazionali critiche e per gli enti governativi. Le organizzazioni con ambienti più piccoli o meno complessi, oppure quelle che stanno ancora sviluppando pratiche di sicurezza fondamentali, potrebbero trarre maggior beneficio prima da altri servizi di valutazione.
Come si svolgono gli incarichi
Secondo l’NCSC, un incarico tipico dura dalle otto alle 12 settimane, mentre una valutazione completa e ad ampio spettro può durare circa 16 settimane. Ambito e durata dovrebbero riflettere le dimensioni, la complessità dell’organizzazione e gli obiettivi concordati per l’esercizio.
L’NCSC sostiene un modello basato sulle capacità, anziché uno limitato a imitare uno specifico gruppo di minacce o un elenco fisso di scenari di attacco. I team di valutazione conducono attività di ricognizione per comprendere il patrimonio tecnologico del target, la sua esposizione esterna e le minacce probabili, quindi sviluppano piani di attacco su misura in base ai risultati ottenuti.
- Preparazione: definire obiettivi, autorizzazioni, regole d’ingaggio e misure di sicurezza.
- Test: utilizzare tecniche avversarie controllate per valutare le capacità di prevenzione, rilevamento e risposta.
- Reporting: documentare i risultati, le lacune difensive e le priorità di mitigazione per le parti interessate.
L’agenzia ha inoltre sottolineato che i fornitori responsabili dovrebbero adottare misure di salvaguardia nei propri strumenti e processi per ridurre la probabilità di danni agli ambienti dei clienti o ad altri utenti. I fornitori esterni possono ottenere una verifica tramite il programma Cyber Adversary Simulation dell’NCSC, che valuta i fornitori rispetto agli standard tecnici dell’agenzia.