🧪 Red team отделяет от уголовного дела один документ
🧪 Red team отделяет от уголовного дела один документ Оператор на проекте для финтеха зашёл на эндпоинт платёжного шлюза, начал фаззить параметры и на два часа уронил песочницу провайдера. В Rules of Engagement про третьи стороны не было ни строчки. Итог — претензия от платёжной системы и урок дороже контракта. ROE это не формальность для подшивки к договору. Он отделяет авторизованную операцию от реальных проблем с законом. 🔹 Договор — юридическая рамка: стороны, стоимость, сроки 🔹 Scope of Work — что тестируем: IP, домены, приложения 🔹 ROE — как тестируем: какие тактики разрешены, а какие нет Главная ловушка в scope — не то, что перечислили, а то, что забыли. ROE делит активы на четыре категории: в scope, вне scope, серая зона и третьи стороны. Последние и приводят к инцидентам: доступ к приложению клиента не даёт права трогать его хостинг-провайдера. Ещё ошибка — формулировки вроде «оценить защищённость». Рабочая цель звучит конкретно: определить, может ли внешний атакующий без инсайдерского доступа получить доступ к базе клиентов PCI DSS за 10 рабочих дней. Тип операции, сроки и критерий успеха заданы сразу. В полной статье — готовая структура ROE с примерами формулировок, разбор запрещённых тактик, маппинг на MITRE ATT&CK и рекомендации NIST: https://clck.su/bpgAT Полная статья: https://clck.su/bpgAT 🔗 Полная версия: https://belskii.com/news/red-team-otdelyaet-ot-ugolovnogo-dela-odin-dokument/ 🗓 2026-10-16 · #ИБ #pentest #redteam