Comprendere i test di penetrazione delle applicazioni
La sicurezza per progettazione e i test di sicurezza automatizzati si concentrano sulla prevenzione delle violazioni correggendo le vulnerabilità prima che possano essere sfruttate. Microsoft integra queste procedure preparando i servizi per eventuali compromissioni usando una strategia di presupposizione della violazione ("Assume Breach"). Tale strategia limita l'attendibilità riposta nelle applicazioni, nei servizi, nelle identità e nelle reti, considerando tutti, a livello interno ed esterno, come non sicuri e già compromessi. Questi principi consentono di limitare l'impatto delle vulnerabilità di sicurezza, riducendo i potenziali danni di un antagonista e consentendo una rapida individuazione e risposta alle minacce alla sicurezza.
Test di penetrazione SDL
Oltre ai test di codici dinamici automatizzati, SDL richiede test di penetrazione regolari di tutte le applicazioni. I test di penetrazione generali delle applicazioni del team di servizio vengono eseguiti regolarmente. I test di penetrazione delle applicazioni possono individuare difetti di sicurezza non rilevati da altri metodi di test. Testano anche le funzionalità di registrazione e rilevamento per garantire che il software fornisca ai team di risposta alla sicurezza di Microsoft i dati necessari per difendere i sistemi di produzione da utenti malintenzionati reali.
I team di servizio eseguono anche test di penetrazione mirati su interfacce software quando necessario, come parte della verifica della sicurezza. I test di penetrazione mirati sono progettati per rilevare tipi specifici di vulnerabilità. Questi test forniscono un ulteriore livello di protezione da potenziali vulnerabilità nelle funzioni software e nei flussi di dati principali.
Simulazione di attacchi
Dopo che il codice viene approvato per il rilascio e distribuito negli ambienti di produzione, si continua a testare la sicurezza operativa simulando gli attacchi rispetto ai sistemi di produzione. La simulazione degli attacchi testa il lato operativo del modello DevOps in base ai requisiti operativi di SDL. L'obiettivo principale della simulazione degli attacchi è convalidare le funzionalità di rilevamento e risposta. Anche se le simulazioni di attacco vengono sicuramente usate per identificare nuove vulnerabilità e percorsi nel servizio, una priorità principale è testare cosa accade dopo la compromissione. L'attacco è stato rilevato abbastanza rapidamente? Siamo in grado di correggere e rimuovere in modo efficace gli utenti malintenzionati? La simulazione degli attacchi e altre forme di test di penetrazione ci consentono di rispondere a queste domande su base continuativa.
Microsoft utilizza team di sicurezza offensivi interni dei dipendenti a tempo pieno per condurre test di penetrazione continui simulando attacchi contro i nostri sistemi. Chiamiamo queste squadre il Red Team. Il Red Team tenta di compromettere i sistemi Microsoft senza rilevamento individuando e sfruttando vulnerabilità e configurazioni errate della sicurezza. Gli sforzi di Red Team simulano attacchi reali e testano le funzionalità dei team di risposta alla sicurezza di Microsoft. Nel contesto dei test di penetrazione interni, i team di risposta alla sicurezza di Microsoft sono noti come Blue Team. Il Blue Team lavora per prevenire, rilevare e rispondere agli attacchi del Red Team usando i sistemi di monitoraggio della sicurezza e il processo di risposta agli eventi imprevisti di sicurezza.
Il Red Team attacca i sistemi e le operazioni di Microsoft Online Services usando le stesse tattiche, tecniche e procedure degli avversari reali. I suoi attacchi testano le nostre funzionalità di rilevamento e risposta della sicurezza e aiutano a identificare eventuali vulnerabilità di produzione, errori di configurazione, ipotesi non valide e altri problemi di sicurezza in modo controllato. Ogni violazione del Red Team è seguita dalla diffusione completa e dalla collaborazione tra entrambi i team per identificare e risolvere i gap di sicurezza operativa, per assegnare bug ai team di servizio per affrontare le vulnerabilità a livello di codice e per migliorare il rilevamento e la risposta alle violazioni.
Le simulazioni di attacco del Red Team sono progettate per simulare attacchi realistici senza influire negativamente sui clienti. I tenant dei clienti non sono mai il bersaglio di attacchi Red Team e i test di penetrazione di Red Team consentono di garantire che i Servizi online Microsoft siano pronti a prevenire, rilevare e rispondere alle minacce alla sicurezza.