Automatiserede angrebssimuleringer: hvad de kan, og hvad de ikke erstatter

Platforme til automatiseret angrebssimulering lover løbende afprøvning af forsvaret uden et hold af mennesker. Om de kan stå alene, afhænger af spørgsmålet: de er gode til at kontrollere, om kendte forsvarsmekanismer reagerer på foruddefineret adfærd, men de efterligner ikke en modstander, der tilpasser sig, vælger vej undervejs og udnytter organisationens egne processer.

Kategorien kaldes også breach and attack simulation. For en sikkerhedsfunktion er den interessant, fordi den kan gentage den samme afprøvning mange gange og dermed vise, om noget er blevet bedre eller dårligere. Den er mindre egnet til at sige noget om, hvordan mennesker og beslutninger fungerer, når et angreb ikke følger manuskriptet.

Hvad kategorien kan gøre

En automatiseret simulering afvikler på forhånd beskrevne handlinger i miljøet og registrerer, om de bliver blokeret, logget eller udløser en alarm. Handlingerne er som regel knyttet til et fælles katalog over kendt modstanderadfærd, fx MITRE ATT&CK, som MITRE beskriver som en vidensbase over modstanderes taktikker og teknikker baseret på observationer fra virkeligheden. → MITRE ATT&CK i red teaming

Resultatet kan være en oversigt over, hvilke dele af kataloget forsvaret reagerede på, og hvilke det ikke gjorde. Den slags oversigt kan være et nyttigt supplement til detektionsarbejdet, fordi den gør hullerne konkrete og sammenlignelige over tid.

Hvor automatisering har sin styrke

Automatiseringens fordel er gentagelsen. Den samme afprøvning kan køres efter en opdatering af overvågningsplatformen, efter et skift af SOC-leverandør eller efter en ændring i regelsættet. Det giver sikkerhedsfunktionen mulighed for at opdage, at en kontrol stille og roligt er holdt op med at virke.

Den kan også bruges til at:

Bekræfte konfiguration · reagerer de kontroller, I har betalt for, på den adfærd, de skal fange?
Følge regressioner · forsvandt en alarm efter seneste ændring?
Prioritere detektionsarbejde · hvilke huller i dækningen er størst i forhold til jeres trusselsbillede?
Forberede en større øvelse · kendte huller kan lukkes, før et red team bruger tid på dem.

Det sidste er værd at fremhæve. Hvis en simpel, kendt adfærd ikke udløser noget, er det spild af en dyr øvelse at lade et menneskeligt hold vise det samme. → Små, hyppige kontrolløvelser mellem de store

Det, en maskine ikke efterligner

En modstander tilpasser sig. Når en vej lukkes, vælger den en anden. Den læser organisationen, udnytter en travl periode og kombinerer tekniske svagheder med menneskelige vaner. En automatiseret simulering følger sit manuskript og ved ikke, hvad der er særligt ved jeres forretning.

Der er også ting, kategorien slet ikke afprøver:

Eskalering og beslutninger · simuleringen måler, om en alarm opstår, ikke om nogen handler fornuftigt på den.
Mennesker og processer · servicedesk, godkendelsesgange og fysisk adgang ligger uden for rækkevidde.
Sammenkædning over tid · en tålmodig modstander spreder sine handlinger; en simulering kan afvikle dem samlet.
Forretningsmål · simuleringen ved ikke, hvad der er kronjuvelerne, medmindre I fortæller den det.

Derfor kan en flot dækningsoversigt give et misvisende billede. At en alarm opstod i en kontrolleret afprøvning, siger ikke, at den blev set, forstået og fulgt op, da den samme adfærd indgik i et rigtigt forløb. → Opdagelse, eskalering og reaktion

Når I overvejer kategorien

Spørg først, hvilket problem I vil løse. Hvis problemet er, at I ikke ved, om jeres kontroller virker efter ændringer, kan løbende automatisering være et godt svar. Hvis problemet er, at ledelsen vil vide, om organisationen kan stoppe en målrettet modstander, er svaret et andet.

Overvej også driften. En simulering kører i produktionsmiljøet og skal styres som enhver anden aktivitet, der kan udløse alarmer. Blue team og SOC-leverandøren skal vide, hvornår den kører, så resultaterne ikke forveksles med reelle hændelser, og så alarmerne ikke bliver vane, som analytikerne lærer at ignorere.

Og overvej, hvem der læser resultaterne. En liste over manglende detektioner er kun nyttig, hvis nogen har ansvaret for at gøre noget ved den. → Detektionsdækning

Sådan formidles resultaterne til ledelsen

Automatiserede platforme kan levere pæne grafer og samlede scorer. De er fristende at sende videre, men de kan let blive læst som et mål for, hvor sikker organisationen er. Det er de ikke. En score viser, hvor stor en del af et udvalgt katalog der udløste en reaktion under kontrollerede forhold.

Oversæt derfor resultaterne til de spørgsmål, ledelsen faktisk stiller. Hvilke af de huller, der er fundet, berører de scenarier, I er mest bekymrede for? Hvad er planen for at lukke dem, og hvem ejer den? Er udviklingen siden sidste kvartal gået i den rigtige retning, og hvorfor?

Fortæl også tydeligt, hvad tallene ikke dækker. Hvis ledelsen tror, at en høj score betyder, at der ikke er behov for en red team-øvelse, har formidlingen skabt mere skade end gavn. → Nøgletal til ledelsen fra en red team-øvelse

Kombinationen med red teaming

Automatisering og red teaming fungerer bedst sammen. Automatiseringen holder styr på de kendte huller mellem øvelserne. Red teaming viser med jævne mellemrum, hvordan forsvaret som helhed klarer en modstander, der tænker selv. Efter en red team-øvelse kan de handlinger, der ikke blev opdaget, lægges ind som faste kontroller i den automatiserede afprøvning, så I kan se, om rettelserne holder.

Det giver også et bedre grundlag for at vurdere værdien af sikkerhedsværktøjerne. Et værktøj, der reagerer i simuleringen, men ikke i øvelsen, peger på et problem i opsætning eller i den menneskelige opfølgning. → Sikkerhedsværktøjernes værdi

Det skal I lade være med

At kalde en automatiseret simulering for red teaming · navnet ændrer ikke, at ingen modstander tilpasser sig.
At læse høj dækning som god sikkerhed · dækning af et katalog er ikke det samme som at stoppe et angreb.
At lade simuleringen køre uden aftale med blue team · alarmer, der ignoreres, bliver en vane.
At glemme ansvaret for resultaterne · uden en ejer forbliver hullerne åbne.
At vælge platform før spørgsmålet · formålet skal styre valget, ikke omvendt.

Hvad kan og ikke kan konkluderes

En automatiseret simulering kan vise, om bestemte kontroller reagerede på bestemt adfærd i et bestemt øjeblik. Den kan ikke vise, om organisationen ville opdage og stoppe en modstander, der tilpasser sig, og den siger intet om beslutninger, eskalering eller menneskelige processer. Resultaterne er et supplement til en øvelse, ikke en erstatning.

Tjekliste før I tager kategorien i brug

☐ Er det formuleret, hvilket spørgsmål automatiseringen skal besvare?
☐ Ved blue team og SOC-leverandøren, hvornår afprøvningen kører?
☐ Har nogen ansvaret for at følge op på manglende detektioner?
☐ Er resultaterne koblet til jeres trusselsbillede og ikke kun til kataloget?
☐ Er det aftalt, hvordan fund fra red team-øvelser lægges ind som faste kontroller?