Один документ, который отделяет red team от уголовного дела

Оператор на проекте для финтеха нашёл, что тестируемое приложение обращается к API платёжного шлюза. Перешёл по эндпоинту, начал фаззить параметры — и уронил sandbox-среду провайдера на два часа. В Rules of Engagement не было ни строчки про третьи стороны. Итог — претензия от платёжной системы и урок, который стоил дороже контракта.

ROE — не формальность для подшивки к договору. Это граница между авторизованной операцией и реальными проблемами с законом. И путать его с двумя другими документами — ошибка, которую допускают постоянно.

➡️Договор — юридическая рамка: стороны, стоимость, сроки, штрафы. Никаких технических деталей.
➡️Scope of Work — что тестируем: IP-диапазоны, домены, приложения, физические объекты.
➡️ROE — как тестируем: какие тактики разрешены, какие запрещены, кому звонить в три часа ночи, если сработала физическая охрана.

SoW отвечает на вопрос «что входит в проект», ROE — «что оператор имеет право делать, стоя перед терминалом прямо сейчас». Без ROE каждое решение принимается на лету, и каждое такое решение — юридический риск.

🎇Главная ловушка в scope — не то, что перечислено, а то, что забыли перечислить. Грамотный ROE делит активы на четыре категории:

• В scope — IP-диапазоны, домены, офисы, конкретные сотрудники для социальной инженерии
• Вне scope — системы, которые нельзя трогать ни при каких условиях (production-базы, медоборудование, АСУ ТП)
• Серая зона — всё, что не классифицировано явно: зафиксировать, прекратить взаимодействие, запросить авторизацию
• Третьи стороны — облачные провайдеры, SaaS, партнёрские API

Последний пункт — тот самый, который привёл к инциденту из начала поста. Доступ к приложению заказчика не означает автоматического права тестировать его хостинг-провайдера или shared-инфраструктуру.

Ещё один момент, который часто упускают: формулировка цели операции. «Оценить защищённость» — бесполезная фраза, не ограничивающая оператора ничем. Рабочая цель выглядит так: «Определить, может ли внешний атакующий без инсайдерского доступа получить доступ к базе клиентов PCI DSS scope за 10 рабочих дней». Здесь задан тип операции, time-boxing и критерий успеха — спорить не о чем.

То же касается запретов. «Соблюдать осторожность» — формулировка, которая заставляет разных людей принимать разные решения под давлением. Полезный запрет называет конкретное действие и его границу.

📌В полной статье — готовая структура ROE с примерами формулировок, разбор разрешённых и запрещённых TTP, маппинг на MITRE ATT&CK и рекомендации NIST.

https://codeby.net/threads/rules-of-engagement-dlya-red-team-scope-i-riski.95949/