Stesura dei report di Red Team

Un report di red team comunica alla dirigenza il rischio aziendale delle vulnerabilità identificate (riepilogo esecutivo), consente ai difensori di riprodurre i risultati e migliorare il rilevamento (dettagli tecnici) e fornisce un piano d'azione per la correzione (raccomandazioni).

Struttura standard di un report di red team:

1. Pagina di copertina e definizione dell'ambito
2. Riepilogo esecutivo
3. Panoramica della metodologia
4. Narrazione dell'attacco / kill chain
5. Elenco dei risultati con livelli di gravità
6. Dettagli tecnici per ogni risultato
7. Raccomandazioni e roadmap
8. Appendici: evidenze, IOC, elenco degli strumenti

Scriva il riepilogo esecutivo per ultimo. Dovrebbe indicare:

• Obiettivi e ambito dell'ingaggio
• Principali risultati espressi in termini aziendali ("abbiamo ottenuto l'accesso come amministratore di dominio in 4 ore")
• Valutazione complessiva del livello di rischio
• Le 3 priorità principali per la correzione

Niente gergo. Presuma che il lettore sia un dirigente non tecnico.

La narrazione dell'attacco racconta cronologicamente la storia dell'ingaggio:

1. Vettore di accesso iniziale (come è stato ottenuto il primo punto d'appoggio)
2. Persistenza e discovery
3. Passaggi di escalation dei privilegi
4. Percorso del movimento laterale
5. Obiettivi raggiunti (dati a cui si è avuto accesso, dominio compromesso)

Associ ogni passaggio agli ID delle tecniche MITRE ATT&CK.

Ogni risultato dovrebbe includere:

• Titolo: nome chiaro e specifico
• Gravità: Critica/Alta/Media/Bassa/Informativa (con punteggio CVSS, se applicabile)
• Descrizione: ciò che è stato rilevato
• Impatto: rischio aziendale in caso di sfruttamento
• Passaggi per la riproduzione: prova tecnica dettagliata
• Evidenze: screenshot, log
• Raccomandazione: correzione specifica

CVSS (Common Vulnerability Scoring System) fornisce un punteggio di gravità standardizzato da 0 a 10. Componenti: vettore d'attacco, complessità, privilegi richiesti, interazione dell'utente, ambito, impatto su riservatezza/integrità/disponibilità. Utilizzi CVSS 3.1 per ottenere livelli di gravità coerenti e difendibili.

Associ ogni tecnica utilizzata ad ATT&CK per fornire ai difensori informazioni utili all'azione:

• T1566.001 — Spearphishing Attachment (accesso iniziale)
• T1059.001 — PowerShell (esecuzione)
• T1003.001 — LSASS Memory (accesso alle credenziali)

La mappatura ATT&CK aiuta i blue team a scrivere regole di rilevamento per i TTP osservati.

Le schermate dovrebbero includere:

• Data e ora visibili nel terminale
• Nome host del sistema compromesso
• Comando e output completo
• Nessun ritaglio che elimini il contesto

Annoti le schermate per evidenziare l'elemento critico. Le evidenze autenticano i risultati.

Le buone raccomandazioni sono:

• Specifiche: «Abiliti AMSI di PowerShell e la modalità con linguaggio vincolato», non «migliori la sicurezza»
• Prioritarie: indicano quale affrontare per prima in base al rischio
• Attuabili: il lettore sa esattamente che cosa fare
• Realistiche: tengono conto dei vincoli operativi

Una presentazione di debrief dal vivo integra il report scritto. Accompagni il cliente nella narrazione dell'attacco mostrando schermate acquisite in tempo reale, dimostri come avrebbe potuto rilevare ogni passaggio e risponda alle domande. Spesso è più efficace del report scritto nel promuovere il cambiamento.

I report del red team contengono informazioni sensibili sulle vulnerabilità. Gestirli di conseguenza:

• Crittografare il report (PGP o PDF protetto da password)
• Trasmetterlo tramite un canale sicuro
• Limitare la distribuzione alle persone che ne hanno bisogno
• Definire una policy di conservazione e distruzione dei report
• Non inviare mai report non crittografati tramite email

Quale sezione di un report del red team fornisce i passaggi associati a MITRE ATT&CK, mostrando esattamente come il red team è passato dall'accesso iniziale agli obiettivi?

I report del red team si rivolgono a destinatari aziendali (riepilogo esecutivo), tecnici (narrativa dell'attacco e risultati) e difensivi (mappatura ATT&CK). Ogni risultato include gravità, impatto, passaggi per la riproduzione, prove e raccomandazioni specifiche. La mappatura MITRE ATT&CK trasforma i risultati offensivi in opportunità di rilevamento difensivo. Crittografare e gestire i report come documenti sensibili.