Cosa sono i test occulti
I test occulti sono un esercizio di sicurezza in cui un attacco o una violazione di policy viene simulato senza avvisare la maggior parte delle persone che lo incontreranno. Solo un gruppo ristretto, di solito lo sponsor e il responsabile del test, conosce il piano. Tutti gli altri, compresi il team di sicurezza e i dipendenti comuni, reagiscono come farebbero davanti a un evento reale.
Lo scopo è misurare ciò che l'organizzazione fa davvero, non ciò che dice di fare. Policy, registri della formazione e dashboard degli strumenti descrivono il comportamento voluto, mentre un test occulto mostra la distanza tra l'intenzione e un martedì pieno di impegni. In un programma per le minacce interne è la verifica pratica che i controlli e le persone che li circondano funzionino.
Il bersaglio è l'intera catena: se un dipendente segnala un messaggio sospetto, se un controllo blocca un trasferimento, se il rilevamento delle minacce interne genera un allarme e se qualcuno lo prende in carico e agisce in tempi ragionevoli.
Come si svolge un test occulto
Un test occulto è occulto solo nei confronti delle persone testate. Nei confronti del vertice dell'organizzazione vale il contrario: è pianificato, autorizzato e documentato. L'ordine abituale:
- 1
Autorizzare per iscritto
La direzione e l'ufficio legale approvano l'ambito, i limiti e le condizioni di interruzione prima che inizi qualsiasi cosa.
- 2
Progettare lo scenario
Scegliete una storia realistica, come una campagna di phishing simulato o il trasferimento di dati fittizi, e fate in modo che sia innocua.
- 3
Eseguire senza preavviso
Il tester agisce mentre il resto dell'organizzazione lavora come al solito, e una persona di fiducia può fermare subito il test.
- 4
Registrare la risposta
Annotate cosa è stato bloccato, cosa è stato rilevato, chi se n'è accorto e quanto è durata ogni fase.
- 5
Analizzare e correggere
Condividete i risultati con tutti gli interessati, chiudete le lacune trovate e ripetete lo scenario più avanti.
Forme di test occulti
Il test occulto è un metodo, non una tecnica unica. Lo scenario dipende dal controllo verificato, e la stessa idea va dalla casella di posta alla porta d'ingresso. Il phishing simulato è la forma più nota e può imitare varianti mirate, come il phishing per clonazione.
| Forma | Cosa viene simulato | Cosa mostra |
|---|---|---|
| Phishing simulato | E-mail ingannevoli inviate ai dipendenti | Quante persone segnalano il messaggio invece di darvi seguito |
| Esercizio di red team | Un attacco completo a sistemi e persone da parte di un team esterno o interno | Se il team di sicurezza lo rileva e lo contiene |
| Scenario di abuso interno | Un trasferimento messo in scena di dati sensibili fittizi verso una destinazione vietata | Se i controlli sui dati bloccano o segnalano il trasferimento |
| Test fisici e sui dispositivi | Entrare al seguito di un'altra persona da una porta o una chiavetta USB lasciata in sede | Se il personale ferma gli sconosciuti e segnala i dispositivi ignoti |
| Ingegneria sociale al telefono | Un chiamante che si finge supporto IT e chiede un accesso | Se il personale verifica chi chiama prima di agire |
Come appare un test in Anexet
Quando lo scenario è un trasferimento di dati, la prova sta nel livello di rilevamento. Un file fittizio che corrisponde a una regola di contenuto in un sistema DLP dovrebbe comparire come incidente con un livello di rischio, e il responsabile del test può aprirlo nell'analisi degli incidenti per seguire ciò che è accaduto dopo. In Anexet la scheda Rules elenca ogni regola di sicurezza con il numero di incidenti e il livello di rischio, quindi il contatore della regola che il test doveva attivare mostra se è stato rilevato.
Chi sa che cosa
La parte più difficile di un test occulto non è tecnica. Decidere chi viene informato e chi no stabilisce se l'esercizio è sicuro ed equo. Meno persone sanno, più onesto è il risultato, e più conta la documentazione scritta.
| Ruolo | Informato in anticipo | Parte nel test |
|---|---|---|
| Sponsor della direzioneApprova l'esercizio | Sì | Firma l'ambito e le condizioni di interruzione |
| Responsabile del testPianifica e conduce lo scenario | Sì | Progetta lo scenario e registra i risultati |
| HR e ufficio legaleTutelano equità e legge | Sì | Verificano il piano rispetto alle norme sul lavoro e sulla privacy |
| Team di sicurezzaRileva e risponde | Di solito no | Tratta l'evento come reale finché non gli viene detto altro |
| DipendentiBersaglio dello scenario | No | Reagiscono come farebbero normalmente |
Test occulto non è monitoraggio occulto
I due concetti si confondono facilmente, perché in entrambi qualcuno non viene informato di qualcosa. Ma sono diversi per natura. Il test occulto è un esercizio pianificato e limitato nel tempo che verifica le difese, approvato in anticipo dalla direzione e chiuso con un debriefing. Il monitoraggio occulto consiste nell'osservare di nascosto i dipendenti nel tempo, e molti paesi lo ammettono solo in eccezioni ristrette.
Il normale monitoraggio dei dipendenti si svolge meglio alla luce del sole, con una policy scritta e un'informativa chiara, per esempio un banner di consenso all'accesso. Un test occulto non cambia questo. I tester non devono leggere messaggi personali né raccogliere dati reali dei dipendenti, e il debriefing deve dire chiaramente cosa è stato fatto.
Errori comuni
La maggior parte dei test occulti fallisce per ragioni organizzative, non tecniche:
Non eseguite mai un test occulto senza autorizzazione scritta: senza di essa, l'esercizio può essere trattato come un vero attacco.
- Trattare un fallimento come un verdetto su una persona: il clic su un link di phishing simulato è un segnale sul processo, e la colpevolizzazione insegna a nascondere gli errori.
- Nessuna condizione di interruzione: uno scenario che non si può fermare può bloccare il lavoro reale o far scattare una vera risposta di emergenza.
- Dati reali nello scenario: usate file fittizi e account di prova, mai dati di clienti o dipendenti.
- Dispositivi lasciati in sede senza un registro: un test con supporti rimovibili richiede l'elenco di ogni dispositivo posizionato e recuperato.
- Farlo una sola volta: un risultato isolato invecchia in fretta, perché cambiano persone, strumenti e regole.
Da dove iniziare
Iniziate in piccolo e in modo semplice: uno scenario, un controllo, una misura chiara. Scegliete lo scenario che vi preoccupa di più, concordate la misura in anticipo, per esempio il tempo che passa prima che la prima persona se ne accorga, e ripetete il test dopo le correzioni. Una serie di piccoli test dice col tempo più di un solo esercizio spettacolare.
Presentate i risultati come una proprietà del sistema: tempo di rilevamento, tempo di risposta e punto in cui la catena si è spezzata, mai un elenco di nomi.
Un controllo mai testato è solo un'ipotesi. Un test occulto la trasforma in una misura.
Anexet TeamCome Anexet affronta questo
Anexet non esegue test occulti e non attacca nessuno: è il livello di rilevamento che un test di questo tipo verifica. Gli elementi della console qui sotto mostrano se uno scenario è stato notato.
Regole e incidenti
Una regola di sicurezza registra un incidente quando un trasferimento soddisfa la sua condizione, e la scheda Rules mostra il numero di incidenti e il livello di rischio di ogni regola.
Stato e categoria
Ogni incidente ha uno stato, come False alert o Important incident, e può ricevere una categoria, così gli incidenti di test si possono etichettare ed esaminare separatamente da quelli reali.
Dall'incidente all'attività
Il comando Open user activity su un incidente mostra cosa ha fatto l'utente intorno a quel momento, e aiuta a ricostruire l'intero percorso di un'azione di test.
Anexet DLP
Scopri di più