Covert Testing

Οι κρυφές δοκιμές είναι μια άσκηση ασφάλειας όπου μια προσομοιωμένη επίθεση ή παραβίαση πολιτικής εκτελείται χωρίς προειδοποίηση των περισσότερων ανθρώπων που θα βρεθούν αντιμέτωποι με αυτήν. Μια μικρή ομάδα, συνήθως ο χορηγός και ο υπεύθυνος της δοκιμής, γνωρίζει το σχέδιο. Όλοι οι υπόλοιποι, μαζί με την ομάδα ασφάλειας και τους απλούς εργαζομένους, αντιδρούν όπως θα αντιδρούσαν σε πραγματικό περιστατικό.

Στόχος είναι να μετρηθεί τι κάνει πραγματικά ο οργανισμός και όχι τι λέει ότι κάνει. Οι πολιτικές, τα αρχεία εκπαίδευσης και οι πίνακες ελέγχου των εργαλείων περιγράφουν την επιδιωκόμενη συμπεριφορά, ενώ μια κρυφή δοκιμή δείχνει το κενό ανάμεσα στην πρόθεση και μια φορτωμένη Τρίτη. Σε ένα πρόγραμμα εσωτερικών απειλών αποτελεί τον πρακτικό έλεγχο του αν λειτουργούν τα μέτρα ελέγχου και οι άνθρωποι γύρω τους.

Ελέγχεται ολόκληρη η αλυσίδα: αν ένας εργαζόμενος αναφέρει ένα ύποπτο μήνυμα, αν ένα μέτρο ελέγχου μπλοκάρει μια μεταφορά, αν ο εντοπισμός εσωτερικών απειλών δημιουργεί ειδοποίηση και αν κάποιος την αναλαμβάνει και ενεργεί σε εύλογο χρόνο.

Μια κρυφή δοκιμή είναι κρυφή μόνο απέναντι στους ανθρώπους που δοκιμάζονται. Απέναντι στην ηγεσία του οργανισμού συμβαίνει το αντίθετο: είναι σχεδιασμένη, εγκεκριμένη και τεκμηριωμένη. Η συνήθης σειρά:

1. 1

   Έγγραφη έγκριση

   Η διοίκηση και το νομικό τμήμα εγκρίνουν το εύρος, τα όρια και τις συνθήκες διακοπής πριν ξεκινήσει οτιδήποτε.

2. 2

   Σχεδιασμός σεναρίου

   Επιλέξτε μια ρεαλιστική ιστορία, όπως μια προσομοιωμένη καμπάνια phishing ή τη μεταφορά ψεύτικων δεδομένων, και φροντίστε να είναι αβλαβής.

3. 3

   Εκτέλεση χωρίς ειδοποίηση

   Ο δοκιμαστής ενεργεί ενώ ο υπόλοιπος οργανισμός δουλεύει κανονικά, και ένα πρόσωπο εμπιστοσύνης μπορεί να διακόψει άμεσα τη δοκιμή.

4. 4

   Καταγραφή της αντίδρασης

   Σημειώστε τι μπλοκαρίστηκε, τι εντοπίστηκε, ποιος το πρόσεξε και πόσο κράτησε κάθε στάδιο.

5. 5

   Απολογισμός και διορθώσεις

   Μοιραστείτε τα αποτελέσματα με όλους τους εμπλεκομένους, κλείστε τα κενά που βρέθηκαν και επαναλάβετε το σενάριο αργότερα.

Η κρυφή δοκιμή είναι μέθοδος και όχι μία μεμονωμένη τεχνική. Το σενάριο εξαρτάται από το μέτρο που ελέγχεται και η ίδια ιδέα φτάνει από τα εισερχόμενα email μέχρι την πόρτα εισόδου. Το προσομοιωμένο phishing είναι η πιο γνωστή μορφή και μπορεί να μιμηθεί στοχευμένες παραλλαγές, όπως το phishing με κλωνοποίηση.

Όταν το σενάριο είναι μια μεταφορά δεδομένων, η απόδειξη βρίσκεται στο επίπεδο εντοπισμού. Ένα ψεύτικο αρχείο που ταιριάζει με κανόνα περιεχομένου σε ένα σύστημα DLP πρέπει να εμφανιστεί ως περιστατικό με επίπεδο κινδύνου, και ο υπεύθυνος της δοκιμής μπορεί να το ανοίξει στη διερεύνηση περιστατικών για να παρακολουθήσει τι ακολούθησε. Στο Anexet η καρτέλα Rules παραθέτει κάθε κανόνα ασφάλειας με τον αριθμό περιστατικών και το επίπεδο κινδύνου του, επομένως ο μετρητής του κανόνα που έπρεπε να ενεργοποιήσει η δοκιμή δείχνει αν εντοπίστηκε.

Το δυσκολότερο μέρος μιας κρυφής δοκιμής δεν είναι τεχνικό. Το ποιος ενημερώνεται και ποιος όχι καθορίζει αν η άσκηση είναι ασφαλής και δίκαιη. Όσο λιγότεροι γνωρίζουν, τόσο πιο ειλικρινές το αποτέλεσμα και τόσο πιο σημαντικό το αρχείο τεκμηρίωσης.

Τα δύο μπερδεύονται εύκολα, γιατί και στα δύο κάποιος δεν ενημερώνεται για κάτι. Διαφέρουν όμως στην ουσία. Η κρυφή δοκιμή είναι μια σχεδιασμένη άσκηση περιορισμένης διάρκειας που ελέγχει τις άμυνες, εγκεκριμένη εκ των προτέρων από την ηγεσία και ολοκληρωμένη με απολογισμό. Η κρυφή παρακολούθηση σημαίνει μυστική παρατήρηση των εργαζομένων επί μακρόν, και πολλές χώρες την επιτρέπουν μόνο σε στενές εξαιρέσεις.

Η συνήθης παρακολούθηση εργαζομένων γίνεται καλύτερα φανερά, με γραπτή πολιτική και σαφή ενημέρωση, για παράδειγμα ένα banner συγκατάθεσης κατά τη σύνδεση. Μια κρυφή δοκιμή δεν το αλλάζει αυτό. Οι δοκιμαστές δεν πρέπει να διαβάζουν προσωπικά μηνύματα ούτε να συλλέγουν πραγματικά δεδομένα εργαζομένων, και ο απολογισμός πρέπει να λέει καθαρά τι έγινε.

Οι περισσότερες κρυφές δοκιμές αποτυγχάνουν για οργανωτικούς και όχι για τεχνικούς λόγους:

• Η αποτυχία αντιμετωπίζεται ως ετυμηγορία για ένα πρόσωπο: ένα κλικ σε προσομοιωμένο σύνδεσμο phishing είναι ένδειξη για τη διαδικασία, και η κατηγορία διδάσκει τους ανθρώπους να κρύβουν τα λάθη.
• Απουσία συνθήκης διακοπής: ένα σενάριο που δεν μπορεί να σταματήσει μπορεί να διακόψει την πραγματική εργασία ή να πυροδοτήσει πραγματική αντίδραση έκτακτης ανάγκης.
• Πραγματικά δεδομένα στο σενάριο: χρησιμοποιήστε ψεύτικα αρχεία και δοκιμαστικούς λογαριασμούς, ποτέ δεδομένα πελατών ή εργαζομένων.
• Συσκευές που αφήνονται στον χώρο χωρίς αρχείο καταγραφής: μια δοκιμή με αφαιρούμενα μέσα απαιτεί καταγραφή κάθε συσκευής που τοποθετήθηκε και συλλέχθηκε.
• Μία και μοναδική εκτέλεση: ένα μεμονωμένο αποτέλεσμα παλιώνει γρήγορα, καθώς αλλάζουν οι άνθρωποι, τα εργαλεία και οι κανόνες.

Ξεκινήστε μικρά και απλά: ένα σενάριο, ένα μέτρο ελέγχου, ένα σαφές μέτρο μέτρησης. Διαλέξτε το σενάριο που σας ανησυχεί περισσότερο, συμφωνήστε εκ των προτέρων τη μέτρηση, για παράδειγμα τον χρόνο μέχρι να το προσέξει το πρώτο άτομο, και επαναλάβετε τη δοκιμή μετά τις διορθώσεις. Μια σειρά μικρών δοκιμών λέει με τον καιρό περισσότερα από μία θεαματική άσκηση.

Παρουσιάστε τα αποτελέσματα ως ιδιότητα του συστήματος: χρόνος εντοπισμού, χρόνος αντίδρασης και το σημείο όπου έσπασε η αλυσίδα, ποτέ ως λίστα ονομάτων.