Na rozdíl od generického penetračního testování emulační plány zrcadlí dokumentované postupy protivníka — často mapované na MITRE ATT&CK — takže výsledky odpovídají ostřejší otázce: „Chytili bychom tohoto konkrétního protivníka?" Emulační plány mohou pocházet z informací o hrozbách, veřejných knihoven jako ATT&CK Evaluations či Adversary Emulation Library, nebo interní analýzy.
Klíčové body
Relevantní profily protivníkůVybírejte emulační profily z aktérů známých cílením na sektor a prostředí organizace, nikoli nejslavnější jméno.
Skórování detekceZaznamenejte, které techniky byly pozorovány, alarmovány a zastaveny — minutý raný krok hraje roli, i když byl finální cíl zablokován.
Důležité omezeníEmulace je reprezentace. Skuteční protivníci se přizpůsobují, kombinují techniky a zneužívají podmínky, které plán nemodeloval; projití emulace neznamená přežití skutečného aktéra.