Las reglas del engagement (ROE) son una guía de objetivos del cliente y alcance con detalles avanzados y expectaciones del proceso entre ambas partes. Esta es la documentación oficial en la planificación del engagement y requiere debida autorización entre el cliente y el red team. Este documento suele actuar como contrato general entre dos partidos; un contrato externo u otras NDAs (Non-Disclosure Agreement) pueden ser utilizados.
El formato y vocabulario del ROE son críticos ya que es un contrato vinculante y marca expectativas claras.
Cada estructura será determinada por el cliente y el red team y puede variar en contenido, longitud y secciones. Debajo un resumen de las secciones estandarizadas que encontrarás en el ROE:
| Section Name | Section Details |
|---|---|
| Resumen Ejecutivo | Resumen global de todos los contenidos y autorización para con el ROE. |
| Propósito | Define por qué se usa el documento ROE. |
| Referencias | Cualquier referencia usada a lo largo del ROE (HIPAA, ISO, etc.). |
| Alcance | Declaración de acuerdo a las restricciones y guías. |
| Definiciones | Las definiciones de los términos técnicos utilizados a lo largo del ROE. |
| Reglas de Engagement y Acuerdo de Soporte | Define las obligaciones de ambas partes y las expectativas técnicas en la conducción del engagement. |
| Provisiones | Define excepciones e información adicional del ROE. |
| Requerimientos, Restricciones y Autoridad | Define expectativas específicas del red team. |
| Reglas Base | Define limitaciones de las interacciones del red team. |
| Resolución de Problemas y Puntos de Contacto | Contiene todo el personal esencial involucrado en el engagement. |
| Autorización | Declaración de autorización del engagement. |
| Aprobación | Firma de ambas partes aprobando las subsecciones del documento precedente. |
| Apéndice | Cualquier información más allá de las subsecciones precedentes. |
Una plantilla de este documento puede encontrarse en redteam.guide.