W przeciwieństwie do ogólnych testów penetracyjnych plany emulacji odzwierciedlają udokumentowane techniki przeciwnika — często zmapowane na MITRE ATT&CK — więc wyniki odpowiadają na ostrzejsze pytanie: „czy złapalibyśmy tego konkretnego przeciwnika?" Plany emulacji mogą pochodzić z informacji o zagrożeniach, publicznych bibliotek, takich jak ATT&CK Evaluations czy Adversary Emulation Library, lub z analiz wewnętrznych.
Najważniejsze punkty
Trafnie dobrane profile przeciwnikówWybieraj profile emulacji aktorów znanych z atakowania sektora i środowiska organizacji, a nie najgłośniejszą nazwę.
Ocenianie detekcjiRejestruj, które techniki zostały zaobserwowane, zaalarmowane i zatrzymane — pominięty wczesny krok ma znaczenie nawet wtedy, gdy końcowy cel został zablokowany.
Istotne ograniczenieEmulacja jest reprezentacją. Rzeczywiści przeciwnicy adaptują się, łączą techniki i wykorzystują warunki, których plan nie modelował; zaliczenie emulacji nie oznacza przetrwania działań faktycznego aktora.