Implementation of the TIBER-EU framework in a threat intelligence-led red team test

The financial sector is one of the most targeted by malicious actors who want to perform cyber attacks, motivated by multiple reasons such as hacktivism, money theft or data selling. Banks retain lots of valuable data: starting from the personal information of their clients up to payment information such as credit card numbers or transfer orders. All of them need to be stored in the safest way possible and lots of security systems are deployed for this reason. The complexity of banks' infrastructures and of the security systems themselves leads to difficulties in the absolute protection of the information. Bugs, misconfigurations, human errors or limits of the tools used are always around the corner and it is often not easy to recognize the problems until a cyber incident occurs. But in this case it is too late. One of the most effective ways to check the security posture of an entity is to perform Red Team tests: they are simulated attacks that mimic real world scenarios by emulating tactics, techniques and procedures used by malicious actors during their illegal activities. In this work an example of an end-to-end Red Teaming is presented; more specifically, it follows the TIBER-EU Framework, the European guide for Threat Intelligence-led Red Team tests. The three phases, Preparation Testing and Closure, are described both from a theoretical and practical point of view, giving real results and data coming from the Red Team exercise performed. Some comments about the implementation of the TIBER-EU Framework are also given to better contextualize the work done.

Il settore finanziario è uno dei più bersagliati da attori malevoli che intendono effettuare attacchi, motivati da molteplici ragioni tra cui hacktivismo, furto di denaro o rivendita di dati. Le banche custodiscono molte informazioni preziose: partendo dai dati personali dei propri clienti fino ad informazioni di pagamento come numeri di carte di credito e ordini di bonifici. Tutte queste informazioni necessitano di essere conservate nel modo più sicuro possibile e molti sistemi di protezione sono impiegati a questo scopo. La complessità delle infrastrutture delle banche e degli stessi sistemi di sicurezza porta a riscontrare difficoltà nella salvaguardia delle informazioni. Bug, configurazioni non corrette, errori umani o limiti degli strumenti utilizzati sono molto comuni e spesso non è semplice riconoscere i problemi fino a quando non ha luogo un incidente di sicurezza informatica, ma in questo caso è troppo tardi. Uno dei metodi più efficaci per verificare la robustezza di un'organizzazione nei confronti di minacce informatiche è quello di eseguire un esercizio di Red Team: questo è una simulazione di attacchi che mimano scenari reali attraverso l'emulazione di tattiche, tecniche e procedure utilizzate da attori malevoli durante le loro attività illegali. In questo elaborato è presentato un esempio di esercizio di Red Team dal principio alla conclusione; nello specifico, questo segue il Framework TIBER-EU, la guida europea per test Red Team basati su Threat Intelligence. Le tre fasi del Red Team, Preparazione, Esecuzione e Conclusione, sono descritte tanto da un punto di vista teorico, quanto pratico, fornendo risultati e dati reali provenienti dall'esercizio svolto. Sono inoltre forniti alcuni commenti riguardo l'implementazione del Framework TIBER-EU per meglio contestualizzare il lavoro.