Assumed breach
Assumed breach es una decisión de alcance por la que el encargo arranca desde una posición que un atacante tendría que haberse ganado: una cuenta de usuario normal, un puesto de trabajo o un pie dentro de un segmento de red. Es una forma de gastar el presupuesto en lo que pasa después de entrar, en vez de en demostrar que entrar es posible.
El argumento a favor es aritmético. El acceso inicial es cuestión de tiempo y de volumen, y un adversario decidido tiene los dos, mientras que un encargo tiene un número fijo de días. Gastar la mayoría de ellos en el perímetro produce muchas veces un informe que dice que el perímetro aguantó, lo cual no le cuenta al cliente nada sobre el estado del directorio, de la segmentación ni de la detección que hay detrás.
No es admitir que el perímetro sea débil, y no sustituye a una evaluación externa. Es dejar dicho de forma explícita, en las rules of engagement, qué pregunta se está pagando. La posición de partida hay que escribirla con precisión, porque un usuario de dominio en un portátil gestionado y un administrador local en uno no gestionado dan resultados completamente distintos, y un informe que no diga desde dónde arrancó no se puede comparar con el siguiente.
En la práctica esta es la conversación que más veces atasca la reunión de arranque de un proyecto interno, y cerrarla pronto vale un día de pruebas. Lo que recomendamos anotar junto al resultado es cuánto le habría costado al atacante llegar a esa posición, para que el informe recoja las dos mitades: este es el aspecto que tiene una intrusión una vez alguien está dentro, y este es el trabajo que habría supuesto esa entrada. A partir de ahí el encargo va de movimiento lateral y de privilegios, que es la sustancia de las pruebas internas donde la posición de partida se acuerda antes de que arranque el reloj.