Izvor: Acunetix
Red Teaming je složena simulacija stvarnih napada u svrhu procjene kibernetičke sigurnosti sustava. "Crveni tim" je grupa (stručnjaci koji izvode test prodora u sustav). Oni mogu biti unajmljeni izvana ili zaposlenici vaše organizacije, ali u svim slučajevima njihova uloga je ista - oponašati radnje uljeza i pokušati prodrijeti u vaš sustav.
Uz "crvene timove" u kibernetičkoj sigurnosti postoji i niz drugih. Na primjer, Plavi tim radi zajedno s Crvenim timom, ali su njegove aktivnosti usmjerene na poboljšanje sigurnosti infrastrukture sustava iznutra. Ljubičasti tim je poveznica, pomaže druga dva tima u razvoju strategija napada i obrana. Međutim, redtiming je jedna od najmanje shvaćenih metoda upravljanja kibernetičkom sigurnošću, a mnoge organizacije i dalje oklijevaju usvojiti ovu praksu.
U ovom ćemo članku detaljno objasniti što se krije iza koncepta Red Teaminga i kako implementacija složenih praksi simulacije stvarnih napada može pomoći u poboljšanju sigurnosti vaše organizacije. Svrha ovog članka je pokazati kako se ovom metodom može značajno povećati sigurnost vaših informacijskih sustava.
Pregled Red Teaminga
Iako se u naše vrijeme "crveni" i "plavi" timovi prvenstveno povezuju s područjem informacijskih tehnologija i kibernetičke sigurnosti, ove koncepte skovala je vojska. Općenito, u vojsci sam prvi put čuo za te pojmove. Rad kao analitičar kibernetičke sigurnosti u 1980-ima bio je vrlo drugačiji od današnjeg: pristup šifriranim računalnim sustavima bio je mnogo ograničeniji nego danas.
Inače, moje prvo iskustvo s ratnim igrama – simulacija, simulacija i interakcija – bilo je vrlo slično današnjem složenom procesu simulacije napada, koji je pronašao put u kibernetičku sigurnost. Kao i sada, velika je pažnja posvećena korištenju metoda socijalnog inženjeringa kako bi se zaposlenici uvjerili da "neprijatelju" daju neprikladan pristup vojnim sustavima. Stoga, iako su tehničke metode simulacije napada značajno napredovale od 80-ih godina prošlog stoljeća, vrijedi napomenuti da su mnogi od glavnih alata adversarnog pristupa, a posebno tehnike društvenog inženjeringa, u velikoj mjeri neovisni o platformi.
Temeljna vrijednost složene imitacije stvarnih napada također se nije promijenila od 80-ih. Simulacijom napada na vaše sustave lakše ćete otkriti ranjivosti i razumjeti kako se mogu iskoristiti. I dok su redteaming prvenstveno koristili hakeri s bijelim šeširima i stručnjaci za kibernetičku sigurnost koji su tražili ranjivosti putem testiranja prodora, sada se sve više koristi u kibernetičkoj sigurnosti i poslovanju.
Ključ redtiminga je razumjeti da ne možete stvarno steći osjećaj sigurnosti svojih sustava dok ne budu napadnuti. I umjesto da se izlažete riziku da vas napadnu pravi napadači, puno je sigurnije simulirati takav napad crvenom naredbom.
Red Teaming: slučajevi korištenja
Jednostavan način da shvatite osnove redtiminga je da pogledate nekoliko primjera. Evo dva od njih:
- Scenarij 1. Zamislite da je stranica korisničke službe testirana i uspješno testirana. Čini se da to sugerira da je sve u redu. Međutim, kasnije, u složenom lažnom napadu, crveni tim otkriva da iako je sama aplikacija korisničke službe u redu, značajka chata treće strane ne može točno identificirati ljude, a to omogućuje prevaru predstavnika korisničke službe da promijene svoju adresu e-pošte .na računu (zbog čega nova osoba, napadač, može dobiti pristup).
- Scenarij 2. Kao rezultat pentestiranja, utvrđeno je da su sve kontrole VPN-a i daljinskog pristupa sigurne. No, tada predstavnik "crvenih" slobodno prolazi pored prijavnice i vadi laptop jednog od zaposlenika.
U oba navedena slučaja, "crveni tim" provjerava ne samo pouzdanost svakog pojedinog sustava, već i cijeli sustav u cjelini na slabosti.
Kome je potrebna složena simulacija napada?
Ukratko, gotovo svaka tvrtka može imati koristi od redtiminga. Kao što je prikazano , zastrašujuće velik broj organizacija je pod lažnim uvjerenjem da ima potpunu kontrolu nad svojim podacima. Otkrili smo, na primjer, da je u prosjeku 22% mapa tvrtke dostupno svakom zaposleniku i da 87% tvrtki ima više od 1000 zastarjelih osjetljivih datoteka na svojim sustavima.
Ako vaša tvrtka nije u tehnološkoj industriji, možda se neće činiti da vam redtiming neće puno pomoći. Ali nije. Kibernetička sigurnost nije samo zaštita povjerljivih informacija.
Zlonamjernici se jednako pokušavaju dočepati tehnologija bez obzira na područje djelovanja tvrtke. Na primjer, mogu tražiti pristup vašoj mreži kako bi sakrili svoje radnje za preuzimanje drugog sustava ili mreže negdje drugdje u svijetu. Kod ove vrste napada napadači ne trebaju vaše podatke. Oni žele zaraziti vaša računala zlonamjernim softverom kako bi vaš sustav uz njihovu pomoć pretvorili u skupinu botneta.
Za manje tvrtke može biti teško pronaći resurse za otkup. U ovom slučaju ima smisla ovaj proces povjeriti vanjskom izvođaču.
Red Teaming: Preporuke
Optimalno vrijeme i učestalost za redtiming ovisi o sektoru u kojem radite i zrelosti vaših alata za kibernetičku sigurnost.
Konkretno, trebali biste imati automatizirane aktivnosti kao što su istraživanje imovine i analiza ranjivosti. Vaša bi organizacija također trebala kombinirati automatiziranu tehnologiju s ljudskim nadzorom redovitim provođenjem potpunog testiranja prodora.
Nakon završetka nekoliko poslovnih ciklusa testiranja prodora i pronalaženja ranjivosti, možete pristupiti složenoj simulaciji pravog napada. U ovoj fazi redtiming će vam donijeti opipljive prednosti. Međutim, pokušaj da to učinite prije nego što ste uspostavili osnove kibernetičke sigurnosti neće donijeti opipljive rezultate.
Tim s bijelim šeširom vjerojatno će moći kompromitirati nepripremljeni sustav tako brzo i lako da ćete dobiti premalo informacija za poduzimanje daljnjih radnji. Da bi imali pravi učinak, informacije koje je dobio "crveni tim" moraju se usporediti s prethodnim testovima prodora i procjenama ranjivosti.
Što je penetracijsko testiranje?
Složena imitacija pravog napada (Red Teaming) često se brka s , ali te se dvije metode malo razlikuju. Točnije, penetracijsko testiranje samo je jedna od redtiming metoda.
Uloga pentestera . Rad pentestera podijeljen je u četiri glavne faze: planiranje, otkrivanje informacija, napad i izvješćivanje. Kao što vidite, pentesteri rade više od pukog traženja ranjivosti softvera. Pokušavaju se staviti u kožu hakera, a kada uđu u vaš sustav, njihov pravi posao počinje.
Oni otkrivaju ranjivosti i zatim izvode nove napade na temelju primljenih informacija, krećući se kroz hijerarhiju mapa. To je ono što razlikuje testere penetracije od onih koji su angažirani samo da pronađu ranjivosti, koristeći softver za skeniranje portova ili otkrivanje virusa. Iskusni pentester može odrediti:
- gdje hakeri mogu usmjeriti svoj napad;
- način na koji će hakeri napasti;
- Kako će se ponašati vaša obrana?
- mogući opseg povrede.
Penetracijsko testiranje ima za cilj identificirati slabosti na razini aplikacije i mreže, kao i prilike za prevladavanje fizičkih sigurnosnih prepreka. Dok automatizirano testiranje može otkriti neke probleme kibernetičke sigurnosti, ručno testiranje penetracije također uzima u obzir ranjivost poslovanja na napade.
Red Teaming vs. penetracijsko ispitivanje
Bez sumnje, penetracijsko testiranje je važno, ali ono je samo jedan dio čitavog niza redtiming aktivnosti. Aktivnosti "crvenog tima" imaju puno šire ciljeve od onih pentestera, koji često jednostavno žele dobiti pristup mreži. Redteaming često uključuje više ljudi, resursa i vremena dok crveni tim kopa duboko kako bi u potpunosti razumio stvarnu razinu rizika i ranjivosti u tehnologiji te ljudskim i fizičkim sredstvima organizacije.
Osim toga, postoje i druge razlike. Redtiming obično koriste organizacije sa zrelijim i naprednijim mjerama kibernetičke sigurnosti (iako to u praksi nije uvijek slučaj).
Obično su to tvrtke koje su već napravile penetracijsko testiranje i popravile većinu pronađenih ranjivosti i sada traže nekoga tko može ponovno pokušati pristupiti osjetljivim informacijama ili na bilo koji način probiti zaštitu.
Zbog toga se redtiming oslanja na tim sigurnosnih stručnjaka usmjerenih na određeni cilj. Ciljaju na unutarnje ranjivosti i koriste tehnike elektroničkog i fizičkog socijalnog inženjeringa na zaposlenicima organizacije. Za razliku od pentestera, crveni timovi ne žure tijekom svojih napada, želeći izbjeći otkrivanje kao što bi to učinio pravi kibernetički kriminalac.
Prednosti Red Teaminga
Postoje mnoge prednosti složene simulacije stvarnih napada, ali što je najvažnije, ovaj pristup vam omogućuje da dobijete sveobuhvatnu sliku o razini kibernetičke sigurnosti organizacije. Tipični proces simulacije napada od kraja do kraja uključivao bi testiranje penetracije (mreža, aplikacija, mobilni telefon i drugi uređaj), društveni inženjering (uživo na licu mjesta, telefonski pozivi, e-pošta ili tekstualne poruke i chat) i fizički upad (obijanje brava, otkrivanje mrtvih zona sigurnosnih kamera, zaobilaženje sustava upozorenja). Ako postoje ranjivosti u bilo kojem od ovih aspekata vašeg sustava, one će biti pronađene.
Nakon što se pronađu ranjivosti, one se mogu popraviti. Učinkovit postupak simulacije napada ne završava otkrivanjem ranjivosti. Nakon što se sigurnosne pogreške jasno identificiraju, poradit ćete na njihovom popravljanju i ponovnom testiranju. Zapravo, pravi posao obično počinje nakon upada crvenog tima, kada forenzički analizirate napad i pokušavate ublažiti pronađene ranjivosti.
Uz ove dvije glavne prednosti, redtiming nudi i niz drugih. Dakle, "crveni tim" može:
- identificirati rizike i ranjivosti na napade u ključnim poslovnim informacijama;
- simulirati metode, taktike i postupke pravih napadača u okruženju s ograničenim i kontroliranim rizikom;
- Procijenite sposobnost svoje organizacije da otkrije, odgovori i spriječi složene, ciljane prijetnje;
- Potaknite blisku suradnju sa sigurnosnim odjelima i plavim timovima kako biste pružili značajno ublažavanje i proveli sveobuhvatne praktične radionice nakon otkrivenih ranjivosti.
Kako funkcionira Red Teaming?
Sjajan način da shvatite kako radi redtiming je da pogledate kako obično funkcionira. Uobičajeni proces simulacije složenog napada sastoji se od nekoliko faza:
- Organizacija se slaže s "crvenim timom" (unutarnjim ili vanjskim) o svrsi napada. Na primjer, takav bi cilj mogao biti dohvaćanje osjetljivih informacija s određenog poslužitelja.
- Zatim "crveni tim" provodi izviđanje cilja. Rezultat je dijagram ciljanih sustava, uključujući mrežne usluge, web aplikacije i interne portale za zaposlenike. .
- Nakon toga se traže ranjivosti u ciljnom sustavu, koje se obično implementiraju korištenjem phishing ili XSS napada. .
- Nakon što se dobiju pristupni tokeni, crveni tim ih koristi za istraživanje daljnjih ranjivosti. .
- Kada se otkriju druge ranjivosti, "crveni tim" će nastojati povećati svoju razinu pristupa na razinu potrebnu za postizanje cilja. .
- Nakon dobivanja pristupa ciljanim podacima ili imovini, zadatak napada smatra se dovršenim.
Zapravo, iskusni stručnjak crvenog tima koristit će ogroman broj različitih metoda kako bi prošao kroz svaki od ovih koraka. Međutim, ključni zaključak iz gornjeg primjera je da se male ranjivosti u pojedinačnim sustavima mogu pretvoriti u katastrofalne kvarove ako se povežu zajedno.
Što treba uzeti u obzir kada se govori o "crvenom timu"?
Kako biste maksimalno iskoristili redtiming, morate se pažljivo pripremiti. Sustavi i procesi koje koristi svaka organizacija su različiti, a razina kvalitete redtiminga postiže se kada je usmjeren na pronalaženje ranjivosti u vašim sustavima. Zbog toga je važno uzeti u obzir niz čimbenika:
Znajte što tražite
Prije svega, važno je razumjeti koje sustave i procese želite provjeriti. Možda znate da želite testirati web aplikaciju, ali ne razumijete dobro što to zapravo znači i koji su drugi sustavi integrirani s vašim web aplikacijama. Stoga je važno da dobro razumijete vlastite sustave i da popravite sve očite ranjivosti prije nego započnete složenu simulaciju pravog napada.
Upoznajte svoju mrežu
Ovo je povezano s prethodnom preporukom, ali se više odnosi na tehničke karakteristike vaše mreže. Što bolje možete kvantificirati svoje okruženje za testiranje, to će vaš crveni tim biti precizniji i specifičniji.
Upoznajte svoj proračun
Redtiming se može izvesti na različitim razinama, ali simulacija cijelog niza napada na vašu mrežu, uključujući društveni inženjering i fizički upad, može biti skupa. Iz tog je razloga važno razumjeti koliko možete potrošiti na takav ček i, sukladno tome, ocrtati njegov opseg.
Znajte svoju razinu rizika
Neke organizacije mogu tolerirati prilično visoku razinu rizika kao dio svojih standardnih poslovnih procedura. Drugi će morati ograničiti svoju razinu rizika u mnogo većoj mjeri, posebno ako tvrtka posluje u visoko reguliranoj industriji. Stoga je pri provođenju redtiminga važno usredotočiti se na rizike koji stvarno predstavljaju opasnost za vaše poslovanje.
Red Teaming: Alati i taktike
Ako se pravilno implementira, "crveni tim" će izvesti sveobuhvatni napad na vaše mreže koristeći sve alate i metode koje koriste hakeri. Između ostalog, to uključuje:
- Testiranje penetracije aplikacije - ima za cilj identificirati slabosti na razini aplikacije, kao što su krivotvorenje zahtjeva između stranica, nedostaci u unosu podataka, slabo upravljanje sesijom i mnogi drugi.
- Test penetracije mreže - ima za cilj identificirati slabosti na razini mreže i sustava, uključujući pogrešne konfiguracije, ranjivosti bežične mreže, neovlaštene usluge i još mnogo toga.
- Ispitivanje fizičke penetracije — provjera učinkovitosti, kao i prednosti i slabosti fizičkih sigurnosnih kontrola u stvarnom životu.
- socijalni inženjering - ima za cilj iskorištavanje slabosti ljudi i ljudske prirode, testiranje podložnosti ljudi prijevari, uvjeravanju i manipulaciji putem phishing mailova, telefonskih poziva i SMS poruka, kao i fizičkim kontaktom na licu mjesta.
Sve gore navedeno su redtiming komponente. To je cjelovita, slojevita simulacija napada dizajnirana da odredi koliko dobro vaši ljudi, mreže, aplikacije i fizičke sigurnosne kontrole mogu izdržati napad pravog napadača.
Kontinuirani razvoj Red Teaming metoda
Priroda složene simulacije stvarnih napada, u kojoj crveni timovi pokušavaju pronaći nove sigurnosne propuste, a plavi ih pokušavaju popraviti, dovodi do stalnog razvoja metoda za takve provjere. Iz tog razloga, teško je sastaviti ažuran popis modernih tehnika mjerenja vremena jer one brzo zastarijevaju.
Stoga će većina redteamara provesti barem dio svog vremena učeći o novim ranjivostima i iskorištavajući ih, koristeći mnoge resurse koje pruža zajednica crvenog tima. Evo najpopularnijih od ovih zajednica:
- je pretplatnička usluga koja nudi online video tečajeve usmjerene prvenstveno na testiranje prodora, kao i tečajeve o forenzici operacijskog sustava, zadacima društvenog inženjeringa i asemblerskom jeziku informacijske sigurnosti.
- je "ofenzivni operater kibernetičke sigurnosti" koji redovito blogira o metodama za složenu simulaciju stvarnih napada i dobar je izvor novih pristupa.
- Twitter je također dobar izvor ako tražite ažurne informacije o redtimingu. Možete ga pronaći pomoću hashtagova и .
- još je jedan iskusni stručnjak za redtiming koji izrađuje bilten i , vodi i puno piše o trenutnim trendovima crvenog tima. Među njegovim nedavnim člancima: и .
- je bilten o web sigurnosti kojeg sponzorira PortSwigger Web Security. Ovo je dobar izvor za saznati o najnovijim dostignućima i novostima u području redtiminga - hakiranja, curenja podataka, iskorištavanja, ranjivosti web aplikacija i nove sigurnosne tehnologije.
- je haker s bijelim šeširom i tester penetracije koji redovito pokriva nove taktike crvenog tima u svom .
- MWR labs je dobar, iako izuzetno tehnički, izvor za redtiming vijesti. Objavljuju korisne za crvene timove i njihovi sadrži savjete za rješavanje problema s kojima se susreću testeri sigurnosti.
- - Odvjetnik i "bijeli haker". Njegov Twitter feed ima tehnike korisne za "crvene timove", kao što je pisanje SQL injekcija i krivotvorenje OAuth tokena.
- (ATT & CK) je odabrana baza znanja o ponašanju napadača. Prati faze životnog ciklusa napadača i platforme koje ciljaju.
- je vodič za hakere, koji, iako prilično star, pokriva mnoge temeljne tehnike koje su još uvijek u srcu složene imitacije pravih napada. Autor Peter Kim također ima , u kojem nudi hakerske savjete i druge informacije.
- SANS Institut je još jedan veliki pružatelj materijala za obuku o kibernetičkoj sigurnosti. Njihovo Usredotočen na digitalnu forenziku i odgovor na incidente, sadrži najnovije vijesti o SANS tečajevima i savjete stručnjaka iz prakse.
- Neke od najzanimljivijih vijesti o redtimingu objavljene su u . Postoje članci usmjereni na tehnologiju kao što je usporedba Red Teaminga s testiranjem prodora, kao i analitički članci kao što je The Red Team Specialist Manifesto.
- Konačno, Awesome Red Teaming je GitHub zajednica koja nudi resursi posvećeni Red Teamingu. Pokriva gotovo svaki tehnički aspekt aktivnosti crvenog tima, od dobivanja početnog pristupa, izvođenja zlonamjernih aktivnosti do prikupljanja i ekstrakcije podataka.
"Plavi tim" - što je to?
Uz toliko raznobojnih timova, može biti teško shvatiti koji tip treba vašoj organizaciji.
Jedna alternativa crvenom timu, točnije druga vrsta tima koji se može koristiti u kombinaciji s crvenim timom, je plavi tim. Plavi tim također procjenjuje sigurnost mreže i identificira sve potencijalne ranjivosti infrastrukture. Međutim, ona ima drugačiji cilj. Timovi ove vrste potrebni su za pronalaženje načina za zaštitu, promjenu i regrupiranje obrambenih mehanizama kako bi reakcija na incidente bila mnogo učinkovitija.
Kao i crveni tim, plavi tim mora imati isto znanje o napadačkim taktikama, tehnikama i procedurama kako bi na temelju njih mogao stvoriti strategije odgovora. Međutim, dužnosti plavog tima nisu ograničene samo na obranu od napada. Također je uključen u jačanje cjelokupne sigurnosne infrastrukture, koristeći, primjerice, sustav za otkrivanje upada (IDS) koji omogućuje kontinuiranu analizu neobičnih i sumnjivih aktivnosti.
Evo nekih od koraka koje "plavi tim" poduzima:
- revizija sigurnosti, posebno revizija DNS-a;
- analiza dnevnika i memorije;
- analiza mrežnih paketa podataka;
- analiza podataka o riziku;
- analiza digitalnog otiska;
- obrnuti inženjering;
- DDoS testiranje;
- razvoj scenarija provedbe rizika.
Razlike između crvenih i plavih timova
Često pitanje za mnoge organizacije je koji tim trebaju koristiti, crveni ili plavi. Ovo pitanje također često prati prijateljsko neprijateljstvo između ljudi koji rade "s druge strane barikada". U stvarnosti, nijedna naredba nema smisla bez druge. Dakle, točan odgovor na ovo pitanje je da su oba tima važna.
Crveni tim napada i koristi se za provjeru spremnosti Plavog tima za obranu. Ponekad crveni tim može pronaći ranjivosti koje je plavi tim potpuno previdio, u kojem slučaju crveni tim mora pokazati kako se te ranjivosti mogu popraviti.
Od vitalne je važnosti da oba tima rade zajedno protiv kibernetičkih kriminalaca kako bi ojačali informacijsku sigurnost.
Iz tog razloga nema smisla birati samo jednu stranu ili ulagati u samo jednu vrstu tima. Važno je upamtiti da je cilj obiju strana spriječiti kibernetički kriminal.
Drugim riječima, tvrtke moraju uspostaviti međusobnu suradnju oba tima kako bi pružile sveobuhvatnu reviziju – s zapisima svih napada i izvršenih provjera, evidencijom otkrivenih značajki.
"Crveni tim" pruža informacije o operacijama koje su izveli tijekom simuliranog napada, dok plavi tim daje informacije o radnjama koje su poduzeli kako bi popunili praznine i popravili pronađene ranjivosti.
Važnost obje momčadi ne može se podcijeniti. Bez njihovih stalnih sigurnosnih revizija, testiranja prodora i poboljšanja infrastrukture, tvrtke ne bi bile svjesne stanja vlastite sigurnosti. Barem dok podaci ne procure i ne postane bolno jasno da sigurnosne mjere nisu bile dovoljne.
Što je ljubičasti tim?
"Ljubičasti tim" nastao je iz pokušaja ujedinjenja Crvenog i Plavog tima. Ljubičasti tim više je koncept nego posebna vrsta tima. Najbolje ga je promatrati kao kombinaciju crvenih i plavih timova. Ona uključuje oba tima, pomažući im da rade zajedno.
Ljubičasti tim može pomoći sigurnosnim timovima da poboljšaju otkrivanje ranjivosti, otkrivanje prijetnji i nadzor mreže točnim modeliranjem uobičajenih scenarija prijetnji i pomaganjem u stvaranju novih metoda otkrivanja i prevencije prijetnji.
Neke organizacije koriste Ljubičasti tim za jednokratne usmjerene aktivnosti koje jasno definiraju sigurnosne ciljeve, vremenske rokove i ključne rezultate. To uključuje prepoznavanje slabosti u napadu i obrani, kao i prepoznavanje budućih zahtjeva za obuku i tehnologiju.
Alternativni pristup koji sada dobiva na zamahu je promatranje Ljubičastog tima kao vizionarskog modela koji djeluje u cijeloj organizaciji kako bi pomogao u stvaranju i stalnom poboljšanju kulture kibernetičke sigurnosti.
Zaključak
Red Teaming, ili složena simulacija napada, moćna je tehnika za testiranje sigurnosnih ranjivosti organizacije, ali treba je koristiti s oprezom. Konkretno, da biste ga koristili, morate imati dovoljno Inače, možda neće opravdati nade koje su mu stavljene.
Redtiming može otkriti ranjivosti u vašem sustavu za koje niste ni znali da postoje i pomoći u njihovom popravljanju. Uzimajući suparnički pristup između plavih i crvenih timova, možete simulirati što bi pravi haker učinio kada bi želio ukrasti vaše podatke ili oštetiti vašu imovinu.
Izvor: www.habr.com