Red Teaming е сложена симулација на напади. Методологија и алатки

Извор: Acunetix

Red Teaming е сложена симулација на вистински напади со цел да се процени сајбер безбедноста на системите. „Црвениот тим“ е група педагози (специјалисти кои вршат тест за пенетрација во системот). Тие можат да бидат ангажирани или однадвор или вработени во вашата организација, но во сите случаи нивната улога е иста - да ги имитираат постапките на натрапниците и да се обидат да навлезат во вашиот систем.

Заедно со „црвените тимови“ во сајбер безбедноста има и ред други. На пример, Синиот тим работи заедно со Црвениот тим, но неговите активности се насочени кон подобрување на безбедноста на инфраструктурата на системот одвнатре. Виолетовиот тим е врската, која им помага на другите два тима да развијат стратегии за напад и одбрана. Како и да е, повторниот тајминг е еден од најмалку разбраните методи за управување со сајбер безбедноста и многу организации и понатаму не сакаат да ја усвојат оваа практика.
Во оваа статија детално ќе објасниме што се крие зад концептот на Red Teaming и како имплементацијата на сложени симулациски практики на вистински напади може да помогне да се подобри безбедноста на вашата организација. Целта на оваа статија е да покаже како овој метод може значително да ја зголеми безбедноста на вашите информациски системи.

Црвениот тимски преглед

Иако во наше време, „црвените“ и „сините“ тимови се првенствено поврзани со областа на информатичката технологија и сајбер безбедноста, овие концепти беа измислени од војската. Во принцип, во армијата првпат слушнав за овие концепти. Работењето како аналитичар за сајбер безбедност во 1980-тите беше многу различно од денес: пристапот до шифрирани компјутерски системи беше многу поограничен отколку што е денес.

Инаку, моето прво искуство со воени игри - симулација, симулација и интеракција - беше многу слично на денешниот сложен процес на симулација на напади, кој се најде во сајбер безбедноста. Како и сега, големо внимание беше посветено на употребата на методи на социјален инженеринг за да се убедат вработените да му дадат на „непријателот“ несоодветен пристап до воените системи. Затоа, иако техничките методи на симулација на напад значително напреднаа од 80-тите, вреди да се напомене дека многу од главните алатки на противничкиот пристап, а особено техниките на општествено инженерство, во голема мера се независни од платформата.

Основната вредност на сложената имитација на вистински напади, исто така, не е променета од 80-тите. Со симулирање на напад на вашите системи, полесно ви е да откриете пропусти и да разберете како тие можат да се искористат. И додека redteaming се користеше првенствено од хакери со бела шапка и професионалци за сајбер-безбедност кои бараа ранливости преку тестирање на пенетрација, тој сега стана пошироко користен во сајбер-безбедноста и бизнисот.

Клучот за повторен тајминг е да разберете дека навистина не можете да добиете чувство за безбедноста на вашите системи додека не бидат нападнати. И наместо да се изложувате на ризик да бидете нападнати од вистински напаѓачи, многу побезбедно е да симулирате таков напад со црвена команда.

Црвен тим: случаи за употреба

Лесен начин да се разберат основите на редот е да се погледнат неколку примери. Еве две од нив:

• Сценарио 1. Замислете дека страницата за услуги на клиентите е проверена и успешно тестирана. Се чини дека ова сугерира дека сè е во ред. Меѓутоа, подоцна, во сложен лажен напад, црвениот тим открива дека иако самата апликација за услуги на клиентите е во ред, функцијата за разговор од трета страна не може точно да ги идентификува луѓето, а тоа овозможува да се измамат претставниците на услугите на клиентите да ја променат нивната адреса на е-пошта во сметката (како резултат на што ново лице, напаѓач, може да добие пристап).
• Сценарио 2. Како резултат на тестирањето, беше откриено дека сите контроли за VPN и далечински пристап се безбедни. Сепак, тогаш претставникот на „црвениот тим“ слободно поминува покрај бирото за регистрација и го вади лаптопот на еден од вработените.

Во двата горенаведени случаи, „црвениот тим“ ја проверува не само веродостојноста на секој поединечен систем, туку и целиот систем како целина за слабости.

Кому му е потребна симулација на комплексен напад?

Накратко, речиси секоја компанија може да има корист од редизајнот. Како што е прикажано во нашиот извештај за глобален ризик за податоци за 2019 година., застрашувачки голем број организации се под лажно верување дека имаат целосна контрола врз нивните податоци. Откривме, на пример, дека во просек 22% од папките на една компанија се достапни за секој вработен и дека 87% од компаниите имаат повеќе од 1000 застарени чувствителни датотеки на нивните системи.

Ако вашата компанија не е во технолошката индустрија, можеби нема да изгледа како да ви помогне средувањето на времето. Но, тоа не е. Сајбер безбедноста не е само заштита на доверливи информации.

Злосторниците подеднакво се обидуваат да ги зафатат технологиите без оглед на сферата на активност на компанијата. На пример, тие може да бараат да добијат пристап до вашата мрежа за да ги сокријат своите дејствија за преземање друг систем или мрежа на друго место во светот. Со овој тип на напад, на напаѓачите не им се потребни вашите податоци. Тие сакаат да ги заразат вашите компјутери со малициозен софтвер за со нивна помош да го претворат вашиот систем во група на ботнети.

За помалите компании, може да биде тешко да се најдат ресурси за откупување. Во овој случај, има смисла да се довери овој процес на надворешен изведувач.

Црвен тим: Препораки

Оптималното време и фреквенција за редизајн зависи од секторот во кој работите и зрелоста на вашите алатки за сајбер-безбедност.

Особено, треба да имате автоматизирани активности како што се истражување на имот и анализа на ранливост. Вашата организација исто така треба да комбинира автоматизирана технологија со човечки надзор со редовно спроведување на целосно тестирање на пенетрација.
По завршувањето на неколку деловни циклуси на тестирање на пенетрација и пронаоѓање на ранливости, можете да продолжите на сложена симулација на вистински напад. Во оваа фаза, повторното време ќе ви донесе опипливи придобивки. Сепак, обидот да го направите тоа пред да ги поставите основите на сајбер безбедноста нема да донесе опипливи резултати.

Тимот со бела капа веројатно ќе може да го загрози неподготвен систем толку брзо и лесно што ќе добиете премалку информации за да преземете понатамошни активности. За да има вистински ефект, информациите до кои дојде „црвениот тим“ мора да се споредат со претходните тестови за пенетрација и проценки на ранливост.

Што е тестирање на пенетрација?

Комплексната имитација на вистински напад (Red Teaming) често се меша со тестирање на пенетрација (пентест), но двата методи се малку различни. Поточно, тестирањето на пенетрација е само еден од методите за средување на времето.

Улогата на пентестер добро дефинирани. Работата на петестерите е поделена на четири главни фази: планирање, откривање информации, напад и известување. Како што можете да видите, петестерите прават повеќе отколку само да бараат софтверски пропусти. Тие се обидуваат да се стават во кожата на хакерите и штом ќе влезат во вашиот систем, започнува нивната вистинска работа.

Тие откриваат пропусти и потоа извршуваат нови напади врз основа на добиените информации, движејќи се низ хиерархијата на папките. Ова е она што ги разликува тестерите за пенетрација од оние кои се ангажирани само за да пронајдат пропусти, користејќи софтвер за скенирање пристаништа или откривање вируси. Искусен пентестер може да утврди:

• каде хакерите можат да го насочат својот напад;
• начинот на кој хакерите ќе нападнат;
• Како ќе се однесува вашата одбрана?
• можен обем на прекршување.

Тестирањето на пенетрација е насочено кон идентификување на слабостите на ниво на апликација и мрежа, како и можности за надминување на физичките безбедносни бариери. Додека автоматското тестирање може да открие некои проблеми со сајбер безбедноста, рачното тестирање на пенетрација исто така ја зема предвид ранливоста на бизнисот од напади.

Црвениот тим vs. тестирање на пенетрација

Несомнено, тестирањето на пенетрација е важно, но тоа е само еден дел од цела низа активности за средување на времето. Активностите на „црвениот тим“ имаат многу пошироки цели од оние на петестерите, кои честопати едноставно бараат пристап до мрежата. Redteaming често вклучува повеќе луѓе, ресурси и време додека црвениот тим копа длабоко за целосно да го разбере вистинското ниво на ризик и ранливост во технологијата и човечките и физичките средства на организацијата.

Покрај тоа, постојат и други разлики. Redtiming обично се користи од организации со позрели и напредни мерки за сајбер-безбедност (иако тоа не е секогаш случај во пракса).

Тоа се обично компании кои веќе направиле тестирање за пенетрација и ги поправиле повеќето пронајдени пропусти и сега бараат некој кој може повторно да се обиде да пристапи до чувствителни информации или да ја наруши заштитата на кој било начин.
Ова е причината зошто redtiming се потпира на тим од безбедносни експерти фокусирани на одредена цел. Тие се насочени кон внатрешните ранливости и користат и електронски и физички техники за социјално инженерство на вработените во организацијата. За разлика од петестерите, црвените тимови одвојуваат време за време на нивните напади, сакајќи да избегнат откривање како вистински сајбер криминалец.

Придобивките од Црвениот тим

Има многу предности за сложената симулација на вистински напади, но најважно е што овој пристап ви овозможува да добиете сеопфатна слика за нивото на сајбер безбедноста на една организација. Типичен процес на симулиран напад од крај до крај би вклучувал тестирање на пенетрација (мрежа, апликација, мобилен телефон и друг уред), социјално инженерство (во живо на лице место, телефонски повици, е-пошта или текстуални пораки и разговор) и физички упад ( кршење брави, откривање мртви зони на безбедносни камери, заобиколување на системи за предупредување). Ако има пропусти во некој од овие аспекти на вашиот систем, тие ќе бидат пронајдени.

Откако ќе се пронајдат пропусти, тие може да се поправат. Ефикасна процедура за симулација на напад не завршува со откривање на ранливости. Откако безбедносните пропусти се јасно идентификувани, ќе сакате да работите на нивно поправање и повторно тестирање. Всушност, вистинската работа обично започнува по упад на црвен тим, кога форензички го анализирате нападот и се обидувате да ги ублажите пронајдените ранливости.

Во прилог на овие две главни придобивки, redtiming нуди и голем број други. Така, „црвениот тим“ може:

• идентификуваат ризици и ранливости на напади во клучните деловни информации средства;
• симулирање на методите, тактиките и процедурите на вистинските напаѓачи во средина со ограничен и контролиран ризик;
• Проценете ја способноста на вашата организација да открие, одговори и спречи сложени, насочени закани;
• Поттикнете ја блиската соработка со безбедносните одделенија и сините тимови за да обезбедите значително ублажување и да спроведете сеопфатни практични работилници по откриените пропусти.

Како функционира Red Teaming?

Одличен начин да се разбере како функционира redtiming е да се погледне како тоа обично функционира. Вообичаениот процес на симулација на комплексен напад се состои од неколку фази:

• Организацијата се согласува со „црвениот тим“ (внатрешна или надворешна) за целта на нападот. На пример, таква цел може да биде да се повлечат чувствителни информации од одреден сервер.
• Потоа „црвениот тим“ врши извидување на целта. Резултатот е дијаграм на целни системи, вклучувајќи мрежни услуги, веб-апликации и внатрешни портали за вработени. .
• После тоа, се бараат пропусти во целниот систем, кои обично се имплементираат со користење на фишинг или XSS напади. .
• Откако ќе се добијат токени за пристап, црвениот тим ги користи за да истражи понатамошни пропусти. .
• Кога ќе се откријат други пропусти, „црвениот тим“ ќе се обиде да го зголеми нивото на пристап до нивото неопходно за постигнување на целта. .
• По добивањето пристап до целните податоци или средство, задачата за напад се смета за завршена.

Всушност, искусен специјалист за црвениот тим ќе користи огромен број различни методи за да го помине секој од овие чекори. Сепак, клучното нешто од горенаведениот пример е дека малите пропусти во поединечните системи може да се претворат во катастрофални неуспеси ако се оковани заедно.

Што треба да се земе предвид кога се мисли на „црвениот тим“?

За да го извлечете максимумот од редот, треба внимателно да се подготвите. Системите и процесите што ги користи секоја организација се различни, а нивото на квалитет на задоволување на времето се постигнува кога е насочено кон пронаоѓање на ранливости во вашите системи. Поради оваа причина, важно е да се земат предвид голем број фактори:

Знајте што барате

Пред сè, важно е да разберете кои системи и процеси сакате да ги проверите. Можеби знаете дека сакате да тестирате веб-апликација, но не разбирате многу добро што тоа навистина значи и кои други системи се интегрирани со вашите веб-апликации. Затоа, важно е добро да ги разберете сопствените системи и да ги поправите сите очигледни пропусти пред да започнете сложена симулација на вистински напад.

Запознајте ја вашата мрежа

Ова е поврзано со претходната препорака, но повеќе се однесува на техничките карактеристики на вашата мрежа. Колку подобро можете да ја квантифицирате вашата околина за тестирање, толку попрецизен и поконкретен ќе биде вашиот црвен тим.

Знајте го вашиот буџет

Redtiming може да се изврши на различни нивоа, но симулирањето на целиот опсег на напади на вашата мрежа, вклучувајќи социјален инженеринг и физички упад, може да биде скапо. Поради оваа причина, важно е да разберете колку можете да потрошите на таков чек и, соодветно, да го опишете неговиот опсег.

Знајте го вашето ниво на ризик

Некои организации може да толерираат прилично високо ниво на ризик како дел од нивните стандардни деловни процедури. Другите ќе треба да го ограничат нивото на ризик во многу поголема мера, особено ако компанијата работи во високо регулирана индустрија. Затоа, при спроведувањето на редот на времето, важно е да се фокусирате на ризиците кои навистина претставуваат опасност за вашиот бизнис.

Црвен тим: Алатки и тактики

Доколку се имплементира правилно, „црвениот тим“ ќе изврши целосен напад на вашите мрежи користејќи ги сите алатки и методи што ги користат хакерите. Меѓу другото, ова вклучува:

• Тестирање на пенетрација на апликацијата - има за цел да ги идентификува слабостите на ниво на апликација, како што се фалсификување на барања преку страници, недостатоци во внесувањето податоци, слабо управување со сесиите и многу други.
• Тестирање на пенетрација на мрежата - има за цел да ги идентификува слабостите на ниво на мрежа и систем, вклучувајќи погрешни конфигурации, пропусти на безжичната мрежа, неовластени услуги и многу повеќе.
• Тестирање на физичка пенетрација — проверка на ефективноста, како и на јаките и слабите страни на контролите за физичка безбедност во реалниот живот.
• социјален инженеринг - има за цел да ги искористи слабостите на луѓето и човечката природа, тестирајќи ја подложноста на луѓето на измама, убедување и манипулација преку фишинг-мејлови, телефонски повици и СМС пораки, како и физички контакт на лице место.

Сите од горенаведените се компоненти за средување на времето. Тоа е целосна, слоевита симулација на напад дизајнирана да определи колку добро вашите луѓе, мрежи, апликации и контроли за физичка безбедност можат да издржат напад од вистински напаѓач.

Континуиран развој на методите на Red Teaming

Природата на сложената симулација на вистински напади, во која црвените тимови се обидуваат да најдат нови безбедносни пропусти, а сините тимови се обидуваат да ги поправат, води до постојан развој на методи за такви проверки. Поради оваа причина, тешко е да се состави ажурирана листа на модерни техники за средување на времето, бидејќи тие брзо стануваат застарени.

Затоа, повеќето redteamers ќе поминат барем дел од своето време за учење за новите пропусти и искористувајќи ги, користејќи ги многуте ресурси обезбедени од заедницата на црвениот тим. Еве ги најпопуларните од овие заедници:

• Академија Пентестер е претплатална услуга која нуди онлајн видео курсеви фокусирани првенствено на тестирање на пенетрација, како и курсеви за форензика на оперативниот систем, задачи за социјално инженерство и асемблерски јазик за безбедност на информации.
• Винсент Јиу е „навредлив оператор за сајбер безбедност“ кој редовно блогира за методи за сложена симулација на вистински напади и е добар извор на нови пристапи.
• Твитер е исто така добар извор ако барате ажурирани информации за задоволување на времето. Можете да го најдете со хаштагови #redteam и #redteaming.
• Даниел Мислер е уште еден искусен специјалист за „redtiming“ кој произведува билтен и подкаст, води веб-страница и пишува многу за актуелните трендови на црвениот тим. Меѓу неговите неодамнешни написи: „Purple Team Pentest значи дека вашите црвени и сини тимови потфрлија“ и „Награди за ранливост и кога да се користи проценка на ранливост, тестирање на пенетрација и сеопфатна симулација на напад“.
• Daily Swig е билтен за веб-безбедност спонзориран од PortSwigger Web Security. Ова е добар ресурс за да дознаете за најновите случувања и новости во областа на redtiming - хакери, протекување податоци, експлоатирања, пропусти на веб-апликации и нови безбедносни технологии.
• Флоријан Хансеман е хакер со бела капа и тестер за пенетрација кој редовно покрива нови тактики на црвениот тим во неговата блог пост.
• MWR labs е добар, иако екстремно технички, извор за вести за задоцнување. Тие објавуваат корисни за црвените тимови Алаткии нивните Твитер храна содржи совети за решавање на проблемите со кои се соочуваат безбедносните тестери.
• Емад Шанаб - Адвокат и „бел хакер“. Неговиот „Твитер“ има техники корисни за „црвените тимови“, како што се пишување инјекции на SQL и фалсификување токени OAuth.
• Противничките тактики, техники и заедничко знаење на Митре (ATT & CK) е курирана база на знаење за однесувањето на напаѓачот. Ги следи фазите од животниот циклус на напаѓачите и платформите што тие ги таргетираат.
• Книга за хакери е водич за хакери, кој иако е доста стар, опфаќа многу од основните техники кои сè уште се во срцето на сложената имитација на вистински напади. Автор Питер Ким, исто така, има Твитер храна, во која тој нуди совети за хакирање и други информации.
• Институтот САНС е уште еден главен снабдувач на материјали за обука за сајбер безбедност. Нивните Твитер хранаФокусиран на дигитална форензика и одговор на инциденти, ги содржи најновите вести за курсевите на SANS и совети од стручни практичари.
• Некои од најинтересните вести за redtime се објавени во Црвениот тимски весник. Постојат статии фокусирани на технологија, како што се споредување на Red Teaming со тестирање на пенетрација, како и аналитички написи како што е Манифестот на специјалисти на Црвениот тим.
• Конечно, Awesome Red Teaming е заедница на GitHub што нуди многу детална листа ресурси посветени на Red Teaming. Го опфаќа буквално секој технички аспект од активностите на црвениот тим, од добивање првичен пристап, извршување на злонамерни активности, до собирање и извлекување податоци.

„Синиот тим“ - што е тоа?

Со толку многу разнобојни тимови, може да биде тешко да се открие кој тип и е потребен на вашата организација.

Една алтернатива на црвениот тим, и поконкретно друг тип на тим што може да се користи заедно со црвениот тим, е синиот тим. Синиот тим, исто така, ја проценува безбедноста на мрежата и ги идентификува сите потенцијални инфраструктурни пропусти. Сепак, таа има друга цел. Тимови од овој тип се потребни за да се најдат начини за заштита, промена и прегрупирање на одбранбените механизми за да се направи одговорот на инцидентот многу поефективен.

Како и црвениот тим, синиот тим мора да го има истото познавање на тактиките, техниките и процедурите на напаѓачите со цел да креира стратегии за одговор врз основа на нив. Сепак, должностите на сините не се ограничени само на одбрана од напади. Тој е вклучен и во зајакнувањето на целата безбедносна инфраструктура, користејќи, на пример, систем за откривање на упад (IDS) кој обезбедува континуирана анализа на невообичаени и сомнителни активности.

Еве дел од чекорите што ги презема „синиот тим“:

• безбедносна ревизија, особено ревизија на DNS;
• анализа на дневник и меморија;
• анализа на мрежни податочни пакети;
• анализа на податоци за ризик;
• анализа на дигитален отпечаток;
• обратно инженерство;
• DDoS тестирање;
• развој на сценарија за спроведување на ризик.

Разлики помеѓу црвените и сините тимови

Вообичаено прашање за многу организации е кој тим треба да го користат, црвено или сино. Ова прашање е често придружено и со пријателски непријателство меѓу луѓето кои работат „на спротивните страни на барикадите“. Во реалноста, ниту една команда нема смисла без другата. Значи, точниот одговор на ова прашање е дека двата тима се важни.

Црвениот тим напаѓа и се користи за тестирање на подготвеноста на Сините да се бранат. Понекогаш црвениот тим може да најде ранливост што синиот тим целосно ги занемарил, во тој случај црвениот тим мора да покаже како тие пропусти може да се поправат.

Од витално значење е двата тима да работат заедно против сајбер криминалците за да ја зајакнат безбедноста на информациите.

Поради оваа причина, нема смисла да се избере само една страна или да се инвестира само во еден тип на тим. Важно е да се запамети дека целта на двете страни е да се спречи сајбер криминалот.
Со други зборови, компаниите треба да воспостават меѓусебна соработка на двата тима со цел да се обезбеди сеопфатна ревизија - со дневници на сите извршени напади и проверки, евиденција на откриени карактеристики.

„Црвениот тим“ дава информации за операциите што ги извршиле за време на симулираниот напад, додека синиот тим дава информации за активностите што ги презеле за да ги пополнат празнините и да ги поправат пронајдените пропусти.

Важноста на двата тима не може да се потцени. Без нивните тековни безбедносни ревизии, тестирање на пенетрација и подобрувања на инфраструктурата, компаниите не би биле свесни за состојбата на нивната сопствена безбедност. Барем додека не протечат податоците и не стане болно јасно дека безбедносните мерки не биле доволни.

Што е виолетова екипа?

„Виолетовиот тим“ се роди од обидите да се обединат црвено-сините тимови. Виолетовиот тим е повеќе концепт отколку посебен тип на тим. Најдобро се гледа како комбинација на црвени и сини тимови. Таа ги ангажира двата тима, помагајќи им да работат заедно.

Виолетовиот тим може да им помогне на безбедносните тимови да го подобрат откривањето ранливост, откривањето закани и следењето на мрежата со прецизно моделирање на вообичаени сценарија за закани и помагање да се создадат нови методи за откривање и спречување закани.

Некои организации користат Виолетовиот тим за еднократни фокусирани активности кои јасно ги дефинираат безбедносните цели, временските рокови и клучните резултати. Ова вклучува препознавање на слабостите во нападот и одбраната, како и идентификување на идните барања за обука и технологија.

Алтернативен пристап кој сега добива на интензитет е да се гледа на Виолетовиот тим како визионерски модел кој работи низ целата организација за да помогне во креирањето и постојаното подобрување на културата на сајбер безбедноста.

Заклучок

Red Teaming, или сложена симулација на напад, е моќна техника за тестирање на безбедносните пропусти на организацијата, но треба да се користи внимателно. Особено, за да го користите, треба да имате доволно напредни средства за заштита на безбедноста на информациитеВо спротивно, можеби нема да ги оправда надежите што му се полагаат.
Redtiming може да открие пропусти во вашиот систем за кои не сте ни знаеле дека постојат и да ви помогне да ги поправите. Со преземање противнички пристап помеѓу сините и црвените тимови, можете да симулирате што би направил вистински хакер доколку сака да ги украде вашите податоци или да ги оштети вашите средства.

Извор: www.habr.com