Policy sulle aspettative per i test di penetrazione dei clienti MDR

Scopo

Questa policy definisce le aspettative su come il servizio Sophos Managed Detection and Response (MDR) gestirà i test di penetrazione avviati dai clienti, sia che siano coordinati da esseri umani o automatizzati; inoltre, delinea le responsabilità condivise per la comunicazione, la frequenza e la collaborazione.

Fissando aspettative chiare, preveniamo supposizioni erronee, riduciamo al minimo le escalation superflue e manteniamo chiarezza e fiducia tra clienti, partner e team interni durante l’intero processo di test.

Rapporto con la Descrizione del servizio MDR

Questa policy è concepita come documento autonomo relativo al criterio MDR e vi verrà fatto riferimento nella Descrizione del servizio MDR.

1. Notifica e comunicazione

Non richiediamo notifiche preventive per i test di penetrazione coordinati da menti umane o automatizzati. Accogliamo con favore scenari realistici e non annunciati per testare le piene capacità di rilevamento, risposta e gestione degli incidenti di MDR.

Sebbene non sia richiesto un preavviso, il cliente deve fornire conferma immediata e collaborazione una volta rilevato un test, per garantire che l’attività venga identificata e gestita correttamente.

Questa policy si applica alle attività dei test di penetrazione intese a valutare le capacità di rilevamento e risposta di MDR. I test continui o non incentrati su MDR (ad esempio, le simulazioni BAS o le convalide continue di EDR) sono soggetti ai requisiti aggiuntivi di coordinamento indicati nella Sezione 6.

2. Collaborazione

Una collaborazione efficace tra il cliente e il team Sophos MDR è essenziale per garantire un rilevamento accurato, una risposta tempestiva e un’interruzione operativa minima durante le attività dei test di penetrazione.

Sostiene anche un miglioramento significativo: lavorando insieme e trattando l'esercizio come se fosse una minaccia reale, simulando comportamenti realistici degli attaccanti e modelli di comunicazione del mondo reale, entrambe le parti possono testare accuratamente i processi, identificare le lacune e concordare di sviluppare azioni concrete per rafforzare rilevamento, risposta e collaborazione in futuro.

Durante i test di penetrazione, il team Sophos MDR esegue le seguenti attività:

• Rileva, indaga e rispondi a sospette attività dannose utilizzando gli stessi flussi di lavoro e playbook applicati alle minacce autentiche.
• Come parte di questo flusso di lavoro standard, eseguire l'escalation al cliente in linea con i criteri di escalation e i dettagli di contatto definiti nelle modalità di risposta alle minacce configurate del cliente.

• Una volta che il cliente conferma che l’attività è un test di penetrazione autorizzato, il team MDR Sophos provvede a:

  • Interrompere le indagini standard, le azioni di risposta alle minacce e ulteriori attività di contenimento o recupero relative a tale attività di test.
  • Classificare e contrassegnare il caso associato e i rilevamenti associati come attività del test di penetrazione.
  • Continuare a rilevare e correlare i successivi avvisi relativi al test nello stesso caso (o in quello correlato) per la visibilità, senza avviare ulteriori contatti o escalation con il cliente per la durata del test, a meno che non venga identificata una minaccia separata e non correlata.

Ci si aspetta che i clienti mantengano una comunicazione tempestiva e chiara per l’intero ciclo di vita del test. Ai fini di questa policy, per “comunicazione tempestiva” si intende:

• Conferma telefonica immediata, se il contatto avviene tramite telefono o chiamata vocale.
• Risposta entro una (1) ora, se il contatto iniziale viene effettuato tramite e-mail o altro canale asincrono.

I clienti sono tenuti a:

• Confermare che l’attività osservata è un test di penetrazione autorizzato, su richiesta del team MDR.
• Avvisare il team MDR quando il test si è concluso, permettendo la corretta chiusura dei rilevamenti correlati e la normalizzazione delle linee di base dei comportamenti.
• Fornire artefatti di supporto (ad esempio, report di valutazione, strumenti utilizzati, campioni di payload) in cui vengono identificate le lacune di analisi, per assistere il team MDR nella classificazione accurata e nella risoluzione dell’attività.

Questo approccio collaborativo garantisce che il team Sophos MDR possa agire inizialmente come se l’attività fosse una minaccia reale, per poi passare in modo sicuro a una modalità di gestione dei test di penetrazione una volta ottenuta conferma, favorendo così sia la valutazione realistica che l’efficienza operativa per entrambe le parti.

I clienti che non aderiscono a questa policy secondaria saranno considerati in uno stato non conforme. Vedi Appendice.

3. Aspettative sulla frequenza

Il cliente deve condurre non più di due (2) simulazioni di test di penetrazione per periodo di 12 mesi.

Se rileviamo ulteriori test di penetrazione oltre questa frequenza e abbiamo un alto grado di certezza che l’attività sia correlata a test, questi saranno:

• Rilevati e riconosciuti nei nostri sistemi, classificati come attività di test.
• Gestiti al di fuori degli SLA standard, il che significa che non attiveranno i soliti flussi di lavoro di risposta, triage o escalation.

Queste aspettative sulla frequenza si applicano ai test di penetrazione discreti, progettati per valutare MDR. I test continui e non focalizzati su MDR opportunamente coordinati come descritto nella sezione 6 sono esclusi da questo limite, ma possono essere soggetti a ottimizzazione o soppressione e non rientrano negli SLA MDR standard.

I clienti che non aderiscono a questa policy secondaria saranno considerati in uno stato non conforme. Vedi Appendice.

4. Intervallo minimo e durata dei test

I test di penetrazione devono essere condotti a intervalli non inferiori a tre (3) mesi di distanza. Questa frequenza concede tempo sufficiente per le attività di remediation, ottimizzazione e miglioramento continuo tra una valutazione e l’altra.

Inoltre, la durata massima di ogni singolo incarico di test non deve superare cinque (5) giorni consecutivi. Prolungare i test oltre questa soglia può portare a problemi di chiarezza di rilevamento, affaticamento degli avvisi e interruzioni operative.

I clienti che non aderiscono a questa policy secondaria saranno considerati in uno stato non conforme. Vedi Appendice.

5. Qualità e realismo dei test di penetrazione

I test di penetrazione dovrebbero mirare a simulare scenari di attacco realistici.

Ci aspettiamo che i test si basino su comportamenti cybercriminali autentici, come accesso iniziale, privilege escalation e movimento laterale, piuttosto che su accessi amministrativi predefiniti o metodi di ingresso semplificati artificialmente.

Questo approccio garantisce che il nostro servizio MDR possa valutare il rilevamento reale e l’efficacia effettiva della risposta.

La presenza di vulnerabilità esistenti all'interno di un ambiente cliente potrebbe influenzare in modo significativo il risultato del penetration test e potrebbe influire sulla risposta MDR.

I clienti che non aderiscono a questa policy secondaria saranno considerati in uno stato non conforme. Vedi Appendice.

Aspettative sul rilevamento e sulla generazione di casi

Sophos MDR è progettato per identificare, svolgere indagini e rispondere alle attività di sicurezza che soddisfano le soglie di rilevamento, correlazione, gravità e indagine di MDR. I clienti non devono presumere che ogni attività dei test di penetrazione genererà un caso, un’escalation o un’indagine guidata da un analista.

Esempi di attività che potrebbero non creare un caso MDR includono, a titolo esemplificativo ma non esaustivo:

• scansioni di base delle porte o enumerazione dei servizi;
• attività di ricognizione a basso volume o senza impatto;
• alcuni tentativi di brute force che non soddisfano le soglie di rilevamento o escalation;
• scansioni alla ricerca di vulnerabilità prive di attività di exploit associate;
• attività amministrative benigne o previste;
• esecuzione isolata di strumenti che viene bloccata, o che risulta essere a bassa gravità o priva di un sufficiente contesto malevolo.

6. Test continui e non focalizzati su MDR

Alcuni clienti potrebbero voler svolgere attività di test continue o ad alta frequenza che non sono principalmente destinate a valutare Sophos MDR, ma si concentrano invece sulla verifica della propria infrastruttura, della protezione endpoint, dell’hardening o dell’ambiente IT più esteso.

Ai fini di questa policy, i Test continui e non focalizzati su MDR includono, a titolo esemplificativo ma non esaustivo:

• l’utilizzo in corso o programmato di piattaforme di simulazione di violazioni e attacchi (BAS);
• strumenti automatizzati per red team e purple team configurati per eseguirsi regolarmente;
• test ripetuti o continui di configurazioni e controlli EDR/AV;
• esercizi di convalida della sicurezza interna ad alta frequenza che generano rilevamenti ripetuti o prevedibili.

Queste attività sono distinte dai test di penetrazione avviati dal cliente descritti nelle sezioni 2-5, che hanno esplicitamente lo scopo di testare le capacità di rilevamento, risposta e gestione degli incidenti di MDR.

6.1 Obblighi di notifica

Poiché i test continui o automatizzati possono generare volumi sostenuti di telemetria di sicurezza, è necessaria notifica preventiva quando i clienti intendono eseguire test continui e non incentrati su MDR che possono attivare avvisi visibili su MDR.

I clienti sono tenuti a:

• Fornire un ragionevole preavviso (ad esempio, almeno cinque (5) giorni lavorativi) prima di abilitare o modificare in modo significativo tali test.
• Condividere una descrizione di alto livello di strumenti, tecniche e comportamenti attesi (ad esempio: nome dell'attrezzo, pianificazione/frequenza approssimativa, modelli di avviso tipici e obiettivi primari).
• Identificare quali attività non rientrano nell'ambito di applicazione della risposta MDR (ad esempio: account di test specifici, host o domini utilizzati dallo strumento).

Questa notifica consente a Sophos MDR di:

• Implementare adeguate azioni di ottimizzazione, applicazione id tag o soppressione, per evitare indagini superflue sull’attività di test nota.
• Preservare le capacità MDR e concentrarsi sulle minacce effettive.
• Ridurre il rischio di stress o desensibilizzazione da eccesso di avvisi, causato dalle attività costanti generate dai test.

6.2 Relazione con i limiti del test di penetrazione

Quando adeguatamente coordinate in anticipo e chiaramente identificate come Test continui e non focalizzati su MDR:

• Queste attività non verranno conteggiate ai fini dei limiti di frequenza dei test di penetrazione descritti nella Sezione 3; e
• Le aspettative sull’intervallo e sulla durata di cui alla sezione 4 non si applicheranno a tali test.

Tuttavia, Sophos MDR non si impegna a rispettare SLA standard o flussi di lavoro di indagine completi per attività che sono state esplicitamente concordate come test continui e non incentrati su MDR e possono essere soggette a messa a punto, tag o soppressione.

6.3 Test continui e non coordinati

Qualora vengano introdotti test continui o ad alta frequenza senza coordinamento preventivo e si determinino allarmi persistenti o ripetitivi osservabili da Sophos MDR:

• L’attività potrebbe essere classificata come non conforme ai sensi della presente policy e gestita conformemente a quanto indicato nell’Appendice.
• Il rilevamento e la generazione di casi relativi a tale attività potrebbero essere soppressi, depriorizzati o esclusi dagli SLA MDR standard per preservare l’efficienza operativa.
• Il cliente verrà avvisato e gli verrà chiesto di coordinare il test ai sensi della Sezione 6.1 o di modificarne la portata, la frequenza o la configurazione.

Questo approccio offre ai clienti la possibilità di usufruire dei vantaggi di una sicurezza continua e di test basati su strumenti, mentre Sophos MDR rimane focalizzato sulle minacce effettive e mantiene capacità di rilevamento e risposta affidabili e di alta qualità per l’ambiente di produzione.

Appendice: Gestione della non conformità

Di seguito viene illustrato come verrà gestita l'attività di penetration test non conforme all'interno del quadro del servizio MDR.

A. Identificazione della non conformità

Un cliente può essere considerato non conforme se non si attiene a nessuna delle policy secondarie definite in questo documento. Nello specifico, la non conformità include (a titolo esemplificativo ma non esaustivo):

• Superamento della frequenza consentita: esecuzione di più di due (2) test di penetrazione avviati dal cliente nell’arco di un periodo continuativo di 12 mesi.
• Violazione dei requisiti di intervallo o durata: avvio di test a meno di tre (3) mesi di distanza l’uno dall’altro, o esecuzione di incarichi che superano i cinque (5) giorni consecutivi di durata.
• Mancato rispetto delle aspettative di qualità e realismo, inclusi test che non rispettano i requisiti di realismo descritti nella Sezione 5.
• Collaborazione insufficiente da parte del cliente, ad esempio la mancata conferma dell’attività di test quando richiesto, la mancata notifica quando il test si conclude, o la mancata fornitura ragionevole di artefatti, necessari per un’analisi accurata.
• Esecuzione di prove continue o ad alta frequenza che generano avvisi prolungati visibili a MDR, senza il coordinamento preventivo descritto nella Sezione 6.

B. Notifica iniziale

In caso di individuazione di attività non conformi:

• Il team MDR invierà una notifica ai contatti designati del cliente, delineando la natura della non conformità e richiedendo conferma dell’attività, unitamente a un piano per riallinearsi alla presente policy.
• Se il team MDR tenta di contattare tutti i contatti designati in due occasioni separate senza ricevere una risposta o un avviso, l'attività verrà trattata come comportamento di test non confermato e attiverà la soppressione temporanea.

C. Soppressione temporanea

In presenza di uno stato di non conformità:

• Il rilevamento e la generazione di casi relativi ad attività di test ripetute potrebbero essere soppressi o depriorizzati per preservare l’efficienza operativa.
• Gli SLA standard non si applicheranno ai rilevamenti identificati come parte di test non conformi.

D. Ripristino della conformità

Per tornare a uno stato conforme, il cliente deve:

• Interrompere ogni attività di test non coordinata o eccessiva.
• Riconoscere la non conformità e confermare le misure correttive.
• Attendere almeno tre (3) mesi prima di riprendere qualsiasi nuova attività di penetration test.

Una volta confermata la conformità, riprenderanno a pieno regime i processi MDR di rilevamento, risposta e applicazione degli SLA.

E. Escalation

La continua inosservanza di tali requisiti può comportare:

• Notifica formale di violazione dei termini del servizio MDR.
• Limitazione o sospensione dei servizi MDR relativi al rilevamento o alla gestione dei casi.
• Segnalazione al team Account management o revisione contrattuale.

Tabella riassuntiva: Aspettative di conformità per i test di penetrazione