Com’è fatta un’operazione
La simulazione di avversario è pianificata intorno a una minaccia realistica per il vostro settore e la vostra geografia, mappata su MITRE ATT&CK, ed eseguita in silenzio. Fasi tipiche:
- Ricognizione — intelligence da fonti aperte su organizzazione, personale, fornitori e tecnologia; identificazione di percorsi plausibili di accesso iniziale.
- Accesso iniziale — phishing o altri pretesti di ingegneria sociale, servizi esposti, esposizione di credenziali, fiducia nei fornitori — quello che è realistico e in perimetro.
- Punto d’appoggio ed escalation — persistenza, escalation dei privilegi e movimento laterale, con attenzione a cosa i vostri controlli registrano e segnalano.
- Obiettivo — prova del raggiungimento del target concordato: un file segnaposto, uno screenshot, un’azione controllata — mai un danno reale.
- Debrief — ripercorriamo i passi chiave con i vostri difensori e stiliamo un elenco congiunto di miglioramenti a rilevamenti e processi.
Regole di ingaggio
Ogni operazione è disciplinata da regole di ingaggio firmate che stabiliscono obiettivi, perimetro, tecniche ammesse, procedura di deconfliction, condizioni di sicurezza e di stop e contatti nominati da entrambe le parti, supportate dall’autorità documentata dei proprietari di asset, locali, sistemi, dati e del datore di lavoro. Le tecniche sono non distruttive e l’impatto è simulato con metodi concordati; i dati personali sono minimizzati, e il reporting sulle persone segue le regole di ingaggio e le tutele giuslavoristiche e di privacy applicabili — di norma riportiamo schemi, non nomi.
Riservatezza
Chi acquista un red team se lo aspetta e noi lavoriamo così: un piccolo gruppo di contatti fidati, nessun case study pubblico, ed evidenze gestite secondo termini di gestione dei dati concordati e cancellate dopo l’incarico, salvo eccezioni di conservazione legali, contrattuali o di legal hold indicate nel contratto. Un esercizio red team standard non è automaticamente un threat-led penetration test (TLPT) ai sensi di DORA.