Является ли тестирование на проникновение, основанное на угрозах, новым стандартом?

Deloitte разъясняет, что такое TLPT, чем он отличается от традиционного тестирования на проникновение и его роль в DORA и других нормативных рамках.

Введение

Threat-Led Penetration Testing (TLPT) — одно из самых сложных и чаще всего неправильно понимаемых требований, введённых Регламентом Европейского союза о цифровой операционной устойчивости (EU DORA). Само название порождает большую часть путаницы. В нём есть слова «penetration testing», однако на практике у TLPT очень мало общего с обычным тестом на проникновение. У него шире охват, больше длительность, он проводится на действующих системах и от начала до конца управляется данными threat intelligence.

Эта статья призвана устранить путаницу. В ней объясняется, чем TLPT является на самом деле, чем он отличается от традиционного тестирования на проникновение, почему эти два подхода дополняют друг друга, а не заменяют, и как TLPT связан с устоявшейся методологией Threat Intelligence-Based Ethical Red Teaming (TIBER), на которой он основан.

Что такое TLPT?

EU DORA определяет TLPT как:

«методологию, которая имитирует тактику, техники и процедуры реальных субъектов угроз, воспринимаемых как источник подлинной киберугрозы, и обеспечивает контролируемое, индивидуально спроектированное, управляемое разведданными (red team) тестирование критически важных действующих производственных систем финансовой организации.»

Ключевая формулировка — «управляемое разведданными (red team) тестирование». Всё остальное в определении вытекает из неё. TLPT — это прежде всего форма red teaming: контролируемая имитация реальной атаки, призванная проверить, насколько хорошо организация способна предотвращать, обнаруживать и реагировать на решительного противника. Это не упражнение «для галочки» и не про составление длинного перечня технических уязвимостей. Оно отвечает на более трудный вопрос: если бы способный и мотивированный злоумышленник нацелился на нас сегодня, заметили бы мы его, смогли бы остановить и какой ущерб он смог бы нанести?

Термин появился не вместе с DORA. Он использовался ещё в 2018 году «Группой семи» (G-7) в публикации G-7 Fundamental Elements for Threat-Led Penetration Testing. Заявленная цель G-7 состояла в том, чтобы «предоставить организациям руководство по оценке их устойчивости к вредоносным киберинцидентам посредством имитации». Важно, что в той же публикации признавалось: TLPT «может называться Ethical Red Teaming». Иными словами, отрасль уже много лет понимает то, что скрывает название: TLPT — это разновидность red teaming, управляемая threat intelligence, а не увеличенный пентест.

Чем TLPT отличается от обычного теста на проникновение

Различия не косметические. Они затрагивают почти каждый аспект того, как проектируется и проводится оценка. В таблице ниже приведены ключевые отличия.

Охват

Пентест намеренно узок: вы направляете его на заданную цель и глубоко её исследуете. TLPT — противоположность. Это оценка масштаба всей организации, не ограниченная одной системой и даже не только киберизмерением. Человеческое измерение (можно ли манипулировать сотрудниками методами социальной инженерии?) и физическое (может ли злоумышленник проникнуть в здание или установить устройство?) — законная часть упражнения, потому что реальные субъекты угроз используют самый слабый путь.

Скрытность

В большинстве пентестов защитники знают, что проводится тест. В TLPT — нет. Синяя команда — центр мониторинга безопасности и специалисты по реагированию на инциденты — намеренно остаётся в неведении. Только небольшая доверенная контрольная группа внутри организации знает, что тест идёт. Эта скрытность критически важна: это единственный способ измерить, как на самом деле работают обнаружение и реагирование, когда тревога настоящая, а не ожидаемая.

Длительность

Реальные вторжения терпеливы. Злоумышленники могут неделями заниматься разведкой, закреплением, боковым перемещением и повышением привилегий. Чтобы достоверно это имитировать, TLPT нужно время. По DORA активная фаза тестирования должна длиться минимум двенадцать недель — намного дольше типичного пентеста, измеряемого днями.

Среда

Пожалуй, самое существенное отличие в том, что TLPT проводится на действующих производственных системах, а не в стерильной тестовой среде. Именно это делает результаты достоверными — и именно это требует строгого контроля рисков, тесной координации с контрольной командой и тщательно согласованных правил взаимодействия, чтобы бизнесу никогда не был нанесён реальный ущерб.

Цель

Пентест стремится к исчерпывающести: найти каждую слабость цели. TLPT ориентирован на цель. Задача — достичь заданных критически важных для бизнеса результатов — «флагов», таких как проведение мошеннического платежа, доступ к особо ценной базе данных или нарушение критического сервиса, — используя хотя бы один реалистичный путь атаки. Один достоверный путь к цели ценнее сотни находок низкой критичности, потому что он доказывает, чего реально мог бы добиться противник.

Threat Intelligence

TLPT начинается не с инструментов, а с разведданных. Индивидуальный отчёт threat intelligence описывает конкретных субъектов угроз, которые вероятно нацелятся на организацию, их мотивы, тактику, техники и процедуры (TTP). Из этого отчёта выводятся достоверные сценарии атак. Затем красная команда отыгрывает эти сценарии, эмулируя противников, с которыми организация действительно сталкивается, а не абстрактного хакера.

Purple Teaming

Наконец, TLPT не заканчивается, когда красная команда останавливается. После этого проводится упражнение purple teaming, объединяющее красную и синюю команды, чтобы шаг за шагом разобрать атаку. Именно здесь происходит настоящее обучение: защитники видят точно, что было сделано, где они это упустили и как закрыть пробелы.

Дополняют, а не конкурируют

Два инструмента, две задачи

Тестирование на проникновение и TLPT — разные, дополняющие друг друга виды оценки. Пентест даёт глубокую техническую уверенность в конкретных системах — правильный инструмент, когда нужно узнать, защищено ли определённое приложение или сеть. TLPT даёт реалистичную сквозную имитацию, которая проверяет готовность всей организации: людей, процессы и технологии вместе. Нужны оба. Один говорит, заперта ли дверь; другой — сможет ли злоумышленник пройти с улицы до сейфа так, что никто не заметит.

Регуляторный контекст

TLPT — не изолированное европейское изобретение. Он опирается на методологию TIBER-EU и согласуется с ней; эта методология — охватывающая определение охвата, threat intelligence, red teaming и устранение недостатков — фактически становится обязательной для назначенных организаций в рамках DORA. Аналогичные национальные и региональные методологии существуют по всему миру и следуют той же философии:

CBEST — Великобритания TIBER-EU — Европейский союз AASE — Сингапур iCAST — Гонконг

Во всех них тестирование, управляемое угрозами, стало стандартным способом оценки организационной устойчивости к кибератакам реалистичным, но контролируемым по рискам образом. DORA лишь превращает его в юридическую обязанность для определённой группы финансовых организаций в ЕС.

Заключение

Было бы ошибкой рассматривать TLPT исключительно как галочку для соответствия требованиям. Помимо удовлетворения регулятора, TLPT даёт результаты, которые напрямую важны для высшего руководства: основанное на доказательствах представление о реальной подверженности рискам, ясную картину пробелов в средствах обнаружения и предотвращения и веское доказательство того, устойчивы ли процессы и готовы ли люди, когда происходит настоящий инцидент.

Выполненное правильно, тестирование, управляемое угрозами, превращает абстрактное беспокойство — «в безопасности ли мы?» — в конкретные, продемонстрированные ответы. Оно сочетает экспертизу в threat intelligence, глубокое знание регуляторики и проверенные навыки red teaming, помогая организациям честно и реалистично понять, насколько они готовы к серьёзной кибератаке. Именно эта готовность, а не сертификат, и есть настоящий результат.