Los engagements pueden ser muy complejos y burocráticos. La clave para un engagement exitoso es definir claramente los objetivos y metas. Los objetivos del cliente deberían ser hablados entre el cliente y el red team para crear un entendimiento mutuo entre ambas partes de lo que se espera y lo que se ofrece.
Si objetivos y expectaciones claros, estás preparando una campaña sin planificación y no estructurada. Los objetivos configuran el tono del resto del engagement.
Los engagements pueden categorizarse entre test de penetración de red o interno o una emulación de adversarios. Una emulación centrada definirá un APT (Advanced Persistent Threat) o grupo que emula el engagement. Eso es determinado basado en grupos que apunten a las industrias particulares de la compañía, por ejemplo, instituciones financieras y APT38. Un test de penetración de red o interno seguirá una estructura similar pero menos enfocada y usará TTPs más estándar.
Los acercamientos específicos dependerán del caso específico del engagement y los objetivos del cliente. Estos objetivos también afectarán al ROE (Rules Of Engagement).
El siguiente paso para un engagement preciso y transparente es un scope bien definido. El alcance de un engagement variará según la organización y cómo se vea su infraestructura. Este alcance definirá lo que puedes y lo que no puedes hacer. Mientras que los objetivos pueden ser hablados y determinados por ambas partes, el alcance sólo lo define el cliente. En algunos casos el red team puede discutir el sobrepase del alcance si afecta al engagement. Aquí un ejemplo de cómo se puede ver un scope:
- No exfiltration of data.
- Production servers are off-limits.
- 10.0.3.8/18 is out of scope.
- 10.0.0.8/20 is in scope.
- System downtime is not permitted under any circumstances.
- Exfiltration of PII (Personally Identifiable Information) is prohibited.