Covert Testing

Testy ukryte to ćwiczenie bezpieczeństwa, w którym symulowany atak lub naruszenie zasad przeprowadza się bez uprzedzania większości osób, które się z nim zetkną. Plan zna wąska grupa, zwykle sponsor i kierownik testu. Cała reszta, także zespół bezpieczeństwa i zwykli pracownicy, reaguje tak, jak zareagowałaby na prawdziwe zdarzenie.

Chodzi o zmierzenie tego, co organizacja faktycznie robi, a nie tego, co deklaruje. Polityki, listy przeszkolonych i panele narzędzi opisują zachowanie zamierzone, a test ukryty pokazuje lukę między zamiarem a zwykłym, zabieganym wtorkiem. W programie przeciwdziałania zagrożeniom wewnętrznym jest to praktyczny sprawdzian, czy zabezpieczenia i ludzie wokół nich działają.

Sprawdzany jest cały łańcuch: czy pracownik zgłosi podejrzaną wiadomość, czy zabezpieczenie zablokuje transfer, czy wykrywanie zagrożeń wewnętrznych wygeneruje alert i czy ktoś go podejmie i zareaguje w rozsądnym czasie.

Test jest ukryty tylko wobec osób, które się testuje. Wobec kierownictwa jest odwrotnie: zaplanowany, autoryzowany i udokumentowany. Typowa kolejność:

1. 1

   Pisemna zgoda

   Zarząd i dział prawny zatwierdzają zakres, granice i warunki przerwania, zanim cokolwiek się zacznie.

2. 2

   Projekt scenariusza

   Wybierz realistyczną historię, na przykład fałszywą kampanię phishingową lub przesłanie atrapy danych, i zadbaj, by była nieszkodliwa.

3. 3

   Przebieg bez uprzedzenia

   Testujący działa, a reszta organizacji pracuje jak zwykle; zaufana osoba może natychmiast przerwać test.

4. 4

   Zapis reakcji

   Odnotuj, co zablokowano, co wykryto, kto to zauważył i ile trwał każdy etap.

5. 5

   Omówienie i poprawki

   Przekaż wyniki wszystkim zaangażowanym, usuń znalezione luki i powtórz scenariusz po pewnym czasie.

Test ukryty to metoda, a nie jedna technika. Scenariusz zależy od sprawdzanego zabezpieczenia, a sam pomysł sięga od skrzynki pocztowej po drzwi wejściowe. Najbardziej znany jest fałszywy phishing, który może naśladować także wyspecjalizowane odmiany, jak phishing klonujący.

Gdy scenariuszem jest przesłanie danych, dowód leży w warstwie wykrywania. Atrapa pliku, która pasuje do reguły treści w systemie DLP, powinna pojawić się jako incydent z poziomem ryzyka, a prowadzący test może otworzyć go w ramach analizy incydentów i prześledzić dalszy bieg zdarzeń. W Anexet zakładka Rules wymienia każdą regułę bezpieczeństwa z liczbą incydentów i poziomem ryzyka, więc licznik reguły, którą test miał uruchomić, pokazuje, czy został wykryty.

Najtrudniejsza część testu ukrytego nie jest techniczna. O bezpieczeństwie i uczciwości ćwiczenia decyduje to, kogo się informuje, a kogo nie. Im mniej osób wie, tym bardziej wiarygodny wynik i tym ważniejszy ślad dokumentacyjny.

Oba pojęcia łatwo pomylić, bo w obu ktoś czegoś nie wie. Różnią się jednak z natury. Test ukryty to zaplanowane, ograniczone w czasie ćwiczenie sprawdzające zabezpieczenia, zatwierdzone z góry przez kierownictwo i zakończone omówieniem. Ukryty monitoring to potajemne obserwowanie pracowników przez dłuższy czas, a wiele krajów dopuszcza je tylko w wąskich wyjątkach.

Zwykłe monitorowanie pracowników najlepiej prowadzić jawnie: z pisemną polityką i czytelną informacją, na przykład przez baner zgody przy logowaniu. Test ukryty tego nie zmienia. Testujący nie powinni czytać prywatnych wiadomości ani zbierać prawdziwych danych pracowników, a omówienie wyników powinno jasno mówić, co zrobiono.

Większość testów ukrytych zawodzi z przyczyn organizacyjnych, a nie technicznych:

• Traktowanie porażki jako wyroku na człowieka: kliknięcie w fałszywy link to sygnał o procesie, a obwinianie uczy ludzi ukrywać błędy.
• Brak warunku przerwania: scenariusz, którego nie da się zatrzymać, może zakłócić prawdziwą pracę lub uruchomić realną akcję kryzysową.
• Prawdziwe dane w scenariuszu: używaj plików-atrap i kont testowych, nigdy danych klientów ani pracowników.
• Urządzenia zostawione w biurze bez ewidencji: test z nośnikami wymiennymi wymaga rejestru każdego podłożonego i odebranego urządzenia.
• Jednorazowość: pojedynczy wynik szybko się starzeje, bo zmieniają się ludzie, narzędzia i reguły.

Zacznij od małych i prostych rzeczy: jeden scenariusz, jedno zabezpieczenie, jedna wyraźna miara. Wybierz scenariusz, który niepokoi cię najbardziej, ustal z góry miarę, na przykład czas do zauważenia przez pierwszą osobę, i powtórz test po poprawkach. Seria małych testów z czasem mówi więcej niż jedno efektowne ćwiczenie.

Wyniki przedstawiaj jako cechę systemu: czas wykrycia, czas reakcji i miejsce, w którym łańcuch się urwał, nigdy jako listę nazwisk.