Źródło: Acunetix
Red Teaming (atak «czerwonej drużyny») to kompleksowa symulacja rzeczywistych ataków mająca na celu ocenę bezpieczeństwa systemów. «Czerwona drużyna» to grupa (specjalistów przeprowadzających testy penetracyjne systemu). Mogą to być zarówno zewnętrzni kontrahenci, jak i pracownicy twojej organizacji, ale w każdym przypadku ich rola jest taka sama — symulować działania cyberprzestępców i próbować uzyskać dostęp do twojego systemu.
Obok «czerwonych drużyn» w cyberbezpieczeństwie funkcjonuje także szereg innych. Na przykład «niebieska drużyna» (Blue Team) współpracuje z czerwoną, ale jej działalność koncentruje się na poprawie bezpieczeństwa infrastruktury systemu od wewnątrz. «Fioletowa drużyna» (Purple Team) działa jako ogniwo łączące, pomagając dwóm pozostałym drużynom w opracowywaniu strategii ataku i środków ochrony. Niemniej jednak, red teaming jest jedną z najmniej zrozumiałych metod zarządzania cyberbezpieczeństwem, a wiele organizacji wciąż niechętnie korzysta z tej praktyki.
W tym artykule dokładnie wyjaśnimy, co kryje się za pojęciem Red Teaming i jak wdrożenie praktyk kompleksowej symulacji rzeczywistych ataków może pomóc w poprawie bezpieczeństwa twojej organizacji. Celem artykułu jest pokazanie, jak ta metoda może znacznie zwiększyć bezpieczeństwo twoich systemów informacyjnych.
Red Teaming: przegląd
Choć w dzisiejszych czasach «czerwone» i «niebieskie» drużyny kojarzone są przede wszystkim z obszarem technologii informacyjnych i cyberbezpieczeństwa, pojęcia te zostały wymyślone przez wojsko. Ogólnie rzecz biorąc, to w armii po raz pierwszy usłyszałem o tych pojęciach. Praca analityka ds. cyberbezpieczeństwa w latach 80. znacznie różniła się od dzisiejszej: dostęp do zaszyfrowanych systemów komputerowych był znacznie bardziej ograniczony niż obecnie.
W pozostałym zakresie moje pierwsze doświadczenie w grach wojennych — modelowanie, symulacja i organizacja współpracy — było bardzo podobne do dzisiejszego procesu złożonej symulacji ataków, który zyskał na znaczeniu w cyberbezpieczeństwie. Tak jak teraz, ogromną uwagę poświęcano wykorzystaniu metod inżynierii społecznej, aby przekonać pracowników do udzielenia «wrogowi» niezgodnego z prawem dostępu do systemów wojskowych. Dlatego, chociaż techniczne metody symulacji ataków znacznie się rozwinęły w porównaniu do lat 80-tych, warto zauważyć, że wiele z podstawowych narzędzi podejścia rywalizacyjnego, a zwłaszcza techniki inżynierii społecznej, w dużej mierze nie zależy od platformy.
Podstawowa wartość złożonej symulacji rzeczywistych ataków również nie zmieniła się od lat 80-tych. Symulując atak na swoje systemy, łatwiej jest wykryć luki i zrozumieć, jak mogą być wykorzystane. I chociaż wcześniej red teaming był głównie wykorzystywany przez «białych hakerów» i specjalistów ds. cyberbezpieczeństwa w poszukiwaniu luk poprzez testowanie na penetrowanie, obecnie ta metoda zyskała szersze zastosowanie w dziedzinie cyberbezpieczeństwa i biznesu.
Kluczowe dla red teamingu jest zrozumienie, że w rzeczywistości nie można uzyskać pełnego obrazu bezpieczeństwa swoich systemów, dopóki nie zostaną one zaatakowane. I zamiast narażać się na ryzyko ataku ze strony prawdziwych przestępców, znacznie bezpieczniej jest zasymulować taki atak z pomocą «czerwonej drużyny».
Red Teaming: scenariusze użycia
Prosty sposób, aby zrozumieć podstawy red teamingu, to przyjrzeć się kilku przykładom. Oto dwa z nich:
- Scenariusz 1. Wyobraź sobie, że przeprowadzono test penetracyjny strony internetowej obsługi klienta, który zakończył się sukcesem. Wydaje się, że to oznacza, że wszystko jest w porządku. Jednak później, w wyniku kompleksowej symulacji ataku, «czerwona drużyna» odkrywa, że chociaż sama aplikacja obsługi klienta działa prawidłowo, funkcja czatu zewnętrznego nie jest w stanie dokładnie identyfikować osób, co daje możliwość oszukania przedstawicieli obsługi klienta, aby zmienili adres e-mail w koncie (w wyniku czego nowa osoba, przestępca, może uzyskać dostęp).
- Scenariusz 2. W wyniku przeprowadzenia testów penetracyjnych stwierdzono, że wszystkie środki kontroli VPN i zdalnego dostępu są zabezpieczone. Jednakże przedstawiciel „czerwonej drużyny” bez przeszkód przechodzi obok recepcji i wynosi laptopa jednego z pracowników.
W obu wspomnianych przypadkach „czerwona drużyna” sprawdza nie tylko solidność każdego systemu z osobna, ale także całego systemu jako całości w poszukiwaniu słabych punktów.
Kto potrzebuje kompleksowej symulacji ataków?
Krótko mówiąc, praktycznie każda firma może skorzystać z red teamingu. Jak pokazano , przerażająco duża liczba organizacji jest w fałszywym poczuciu, że mają pełną kontrolę nad swoimi danymi. Odkryliśmy na przykład, że średnio 22% folderów firmy jest dostępnych dla każdego pracownika oraz że 87% firm ma ponad 1000 przestarzałych plików poufnych w swoich systemach.
Jeśli Twoja firma nie działa w branży technologicznej, może wydawać się, że red teaming nie przyniesie wiele korzyści. Ale to nieprawda. Cyberbezpieczeństwo to nie tylko ochrona informacji poufnych.
Cyberprzestępcy równie mocno próbują zdobyć technologie, niezależnie od sektora działalności firmy. Na przykład mogą dążyć do uzyskania dostępu do Twojej sieci, aby w ten sposób ukryć swoje działania mające na celu przejęcie innego systemu lub sieci w innym miejscu na świecie. W tym typie ataku Twoje dane nie są dla nich istotne. Chcą zainfekować złośliwym oprogramowaniem właśnie Twoje komputery, aby w ten sposób przekształcić Twój system w sieć botnetów.
Dla małych firm może być trudno znaleźć zasoby do przeprowadzenia red teamingu. W takim przypadku ma sens zlecenie przeprowadzenia tego procesu zewnętrznemu wykonawcy.
Red Teaming: zalecenia
Optymalny czas przeprowadzenia red teamingu oraz jego częstotliwość zależą od sektora, w którym pracujesz, oraz od stopnia rozwoju Twoich środków zapewnienia cyberbezpieczeństwa.
W szczególności powinieneś zautomatyzować działania takie jak badanie aktywów i analiza podatności. Twoja organizacja powinna również łączyć technologie zautomatyzowane z kontrolą ludzką, regularnie przeprowadzając kompleksowe testy penetracyjne.
Po zakończeniu kilku cykli biznesowych testowania penetracyjnego i poszukiwania podatności, możesz przystąpić do kompleksowej symulacji rzeczywistego ataku. Na tym etapie red teaming przyniesie ci zauważalne korzyści. Jednak próba przeprowadzenia go zanim zbudujesz podstawy cyberbezpieczeństwa, nie przyniesie wymiernych rezultatów.
Zespół "białych hakerów" prawdopodobnie będzie w stanie tak szybko i łatwo narazić nieprzygotowany system, że uzyskasz zbyt mało informacji, aby podjąć dalsze kroki. Aby uzyskać rzeczywisty efekt, informacje uzyskane od "czerwonego zespołu" powinny być porównane z wcześniejszymi testami penetracyjnymi i ocenami podatności.
Czym jest testowanie penetracyjne?
Kompleksową symulację rzeczywistego ataku (Red Teaming) często myli się z ale te dwie metody różnią się nieco. Dokładniej mówiąc, testowanie penetracyjne jest tylko jedną z metod red teamingu.
Rola pentestera Praca pentesterów dzieli się na cztery główne etapy: planowanie, zbieranie informacji, atak i raportowanie. Jak widać, pentesterzy robią więcej niż tylko poszukiwanie podatności oprogramowania. Starają się wczuć w rolę hakerów, a po dostaniu się do twojego systemu zaczyna się ich prawdziwa praca.
Oni odkrywają podatności, a następnie przeprowadzają nowe ataki, opierając się na uzyskanych informacjach, poruszając się po hierarchii folderów. To właśnie tym różnią się specjaliści przeprowadzający test penetracyjny od tych, którzy są zatrudniani tylko do poszukiwania podatności, korzystając z oprogramowania do skanowania portów lub wykrywania wirusów. Doświadczony pentester może określić:
- gdzie hakerzy mogą skierować swój atak;
- jak hakerzy będą atakować;
- jak zachowa się twoja obrona;
- jaki może być rozmiar naruszenia.
Testy penetracyjne mają na celu wykrycie luk w aplikacjach i sieciach, a także możliwości pokonywania fizycznych barier bezpieczeństwa. Chociaż zautomatyzowane testy mogą ujawnić pewne problemy z cyberbezpieczeństwem, ręczne testy penetracyjne biorą pod uwagę także podatność biznesu na ataki.
Red Teaming vs. testy penetracyjne
Niezaprzeczalnie test penetracyjny jest ważny, ale stanowi tylko część całego szeregu działań podejmowanych w ramach red teamingu. Działania „czerwonej drużyny” mają znacznie szersze cele niż pentesterzy, którzy często dążą jedynie do uzyskania dostępu do sieci. W red teamingu zazwyczaj angażuje się więcej osób, zasobów i czasu, ponieważ specjaliści z „czerwonej drużyny” głęboko analizują, aby w pełni zrozumieć rzeczywisty poziom ryzyka i podatności w technologiach oraz zasobach ludzkich i fizycznych organizacji.
Ponadto istnieją inne różnice. Red teaming zazwyczaj jest wykorzystywany przez organizacje z bardziej dojrzałymi i rozwiniętymi środkami cyberbezpieczeństwa (chociaż w praktyce nie zawsze tak jest).
Zwykle są to firmy, które już przeprowadziły testy penetracyjne i naprawiły większość wykrytych podatności, a teraz szukają kogoś, kto ponownie spróbuje uzyskać dostęp do poufnych informacji lub złamać zabezpieczenia w dowolny sposób.
Dlatego red teaming polega na zespole ekspertów ds. bezpieczeństwa, skupionych na konkretnym celu. Skupiają się na wewnętrznych podatnościach i wykorzystują zarówno metody elektroniczne, jak i fizyczne techniki inżynierii społecznej względem pracowników organizacji. W przeciwieństwie do pentesterów, „czerwone drużyny” nie spieszą się podczas swoich ataków, chcąc uniknąć wykrycia, tak jak zrobiłby to prawdziwy cyberprzestępca.
Zalety Red Teamingu
W kompleksowej symulacji rzeczywistych ataków jest wiele zalet, ale najważniejsze jest to, że podejście to pozwala uzyskać wyczerpujący obraz poziomu bezpieczeństwa cybernetycznego organizacji. Typowy proces kompleksowej symulacji ataku będzie obejmował testy penetracyjne (sieć, aplikację, telefon komórkowy i inne urządzenia), inżynierię społeczną (przez bezpośrednie kontakty, rozmowy telefoniczne, e-maile lub wiadomości tekstowe i czaty) oraz fizyczne intruzje (łamanie zamków, wykrywanie martwych stref kamer, obejście systemów alarmowych). Jeśli w którymkolwiek z tych aspektów twojego systemu występują luki, zostaną one wykryte.
Gdy luki zostaną wykryte, można je naprawić. Skuteczna procedura symulacji ataku nie kończy się po odkryciu luk. Po dokładnym zidentyfikowaniu niedociągnięć bezpieczeństwa, zechcesz skupić się na ich naprawie i ponownym testowaniu. W rzeczywistości prawdziwa praca zwykle zaczyna się po inwazji „czerwonej drużyny”, kiedy przeprowadzasz analizę kryminalistyczną ataku i próbujesz zredukować wykryte luki.
Oprócz tych dwóch głównych zalet, red teaming oferuje także szereg innych. Tak, „czerwona drużyna” może:
- zidentyfikować ryzyka i luki w kluczowych informacyjnych aktywach biznesowych;
- symulować metody, taktyki i procedury rzeczywistych przestępców w ograniczonym i kontrolowanym ryzyku;
- ocenić zdolność twojej organizacji do wykrywania, reagowania i zapobiegania złożonym zagrożeniom celowanym;
- stymulować bliską współpracę z działami bezpieczeństwa informatycznego i „niebieską drużyną”, aby zapewnić istotne zmniejszenie skutków i przeprowadzić kompleksowe praktyczne warsztaty po wykryciu luk.
Jak działa Red Teaming?
Doskonale można zrozumieć zasadę działania red teamingu, patrząc na to, jak zazwyczaj się to odbywa. Zwykły proces kompleksowej symulacji ataków składa się z kilku etapów:
- Organizacja uzgadnia z „czerwoną drużyną” (wewnętrzną lub zewnętrzną) cel przeprowadzanego ataku. Na przykład takim celem może być wyciągnięcie poufnych informacji z określonego serwera.
- Następnie „czerwony zespół” przeprowadza rekonesans celu. W rezultacie tworzy się schemat systemów docelowych, w tym usług sieciowych, aplikacji webowych i wewnętrznych portali dla pracowników.
- Po tym w systemie docelowym szuka się luk bezpieczeństwa, które zazwyczaj realizowane są za pomocą phishingu lub ataków XSS.
- Gdy zostaną uzyskane tokeny dostępu, „czerwony zespół” używa ich do zbadania dalszych luk bezpieczeństwa.
- Gdy zostaną odkryte inne luki, „czerwony zespół” będzie dążył do podniesienia swojego poziomu dostępu do niezbędnego poziomu, aby osiągnąć cel.
- Gdy uzyska się dostęp do danych docelowych lub aktywów, zadanie ataku uznaje się za wykonane.
W rzeczywistości doświadczony specjalista „czerwonego zespołu” użyje ogromnej liczby różnych metod, aby przejść przez każdy z wymienionych kroków. Kluczowe wnioski z powyższego przykładu mówią o tym, że małe luki w poszczególnych systemach mogą przerodzić się w katastrofalne awarie, jeśli zostaną połączone w łańcuch.
Na co należy zwrócić uwagę, kontaktując się z „czerwonym zespołem”?
Aby uzyskać maksymalne korzyści z red teaming, należy dokładnie się przygotować. Systemy i procesy stosowane przez każdą organizację są różne, a wysoka jakość red teamingu osiągana jest, gdy koncentruje się na poszukiwaniu luk w Twoich systemach. Z tego powodu ważne jest, aby wziąć pod uwagę szereg czynników:
Wiedz, czego szukasz
Przede wszystkim istotne jest zrozumienie, które systemy i procesy chcesz sprawdzić. Być może wiesz, że chcesz przetestować aplikację webową, ale nie do końca rozumiesz, co to tak naprawdę oznacza i jakie inne systemy są zintegrowane z Twoimi aplikacjami webowymi. Dlatego ważne jest, aby dobrze znać swoje systemy i naprawić wszelkie oczywiste luki, zanim rozpoczniesz kompleksową symulację rzeczywistego ataku.
Poznaj swoją sieć
To jest powiązane z poprzednią rekomendacją, ale bardziej dotyczy specyfikacji technicznych Twojej sieci. Im lepiej będziesz w stanie ocenić środowisko testowe, tym dokładniej i konkretniej będzie działał Twój „czerwony zespół”.
Znaj swoją wartość budżetową
Red teaming może być realizowane na różnych poziomach, ale symulacja pełnego spektrum ataków na twoją sieć, w tym inżynierii społecznej i fizycznych włamań, może okazać się kosztownym przedsięwzięciem. Z tego powodu ważne jest, aby zrozumieć, ile możesz przeznaczyć na taką kontrolę, a co za tym idzie, określić jej zakres.
Znaj swoje ryzyko
Niektóre organizacje mogą akceptować dość wysoki poziom ryzyka w ramach swoich standardowych procedur biznesowych. Inne z kolei będą musiały znacząco ograniczyć swoje ryzyko, szczególnie jeśli firma działa w ściśle regulowanej branży. Dlatego przeprowadzając red teaming, ważne jest, aby skupić się na ryzykach, które rzeczywiście stanowią zagrożenie dla twojego biznesu.
Red Teaming: narzędzia i taktyki
Przy właściwej realizacji "czerwona drużyna" przeprowadzi kompleksowy atak na twoje sieci, wykorzystując wszystkie narzędzia i metody stosowane przez hakerów. Wśród nich znajdują się:
- Testowanie aplikacji pod kątem penetracji — ma na celu wykrycie wad na poziomie aplikacji, takich jak fałszowanie zapytań między witrynami, wady wprowadzania danych, słabe zarządzanie sesjami i wiele innych.
- Testowanie sieci pod kątem penetracji — ma na celu wykrycie wad na poziomie sieci i systemu, w tym niewłaściwych konfiguracji, luk w zabezpieczeniach sieci bezprzewodowej, nieautoryzowanych usług i wielu innych.
- Fizyczne testowanie pod kątem penetracji — ocena skuteczności oraz mocnych i słabych stron fizycznych środków kontroli bezpieczeństwa w rzeczywistości.
- Inżynieria społeczna — ma na celu wykorzystanie słabości ludzi i natury człowieka, testowanie podatności ludzi na oszustwa, perswazję i manipulacje za pomocą phishingu mailowego, połączeń telefonicznych i wiadomości tekstowych, a także kontaktów fizycznych na miejscu.
Wszystkie wymienione powyżej elementy są komponentami red teamingu. To kompleksowe, wielowarstwowe modelowanie ataku mające na celu określenie, jak dobrze twoi ludzie, sieci, aplikacje i fizyczne środki kontroli bezpieczeństwa potrafią przeciwstawić się atakowi rzeczywistego przestępcy.
Ciągły rozwój metod Red Teaming
Natura kompleksowego symulowania rzeczywistych ataków, w których „czerwone zespoły” próbują odnaleźć nowe luki w systemie bezpieczeństwa, a „niebieskie zespoły” próbują je naprawić, prowadzi do ciągłego rozwoju metod takich testów. Z tego powodu trudno jest stworzyć aktualną listę współczesnych technik red teamingu, ponieważ szybko się dezaktualizują.
Dlatego większość specjalistów zajmujących się red teamingiem będzie spędzać przynajmniej część swojego czasu na poszukiwaniu nowych luk i metod ich eksploatacji, korzystając z wielu zasobów dostarczanych przez społeczność „czerwonych zespołów”. Oto kilka z najpopularniejszych takich społeczności:
- — to subskrypcyjna usługa oferująca kursy wideo online, głównie skupiające się na testowaniu penetracyjnym, a także kursy z zakresu kryminalistyki systemów operacyjnych, inżynierii społecznej oraz języka asemblera do ochrony informacji.
- — „operator ofensywnych cyberbezpieczeństw”, który regularnie prowadzi bloga o metodach kompleksowego symulowania rzeczywistych ataków i jest dobrym źródłem nowych podejść.
- Twitter to również dobre źródło, jeśli szukasz aktualnych informacji o red teamingu. Możesz je znaleźć pod hashtagami i .
- — kolejny doświadczony specjalista w zakresie red teamingu, który publikuje biuletyn i , prowadzi i wiele pisze o współczesnych tendencjach „czerwonych zespołów”. Wśród jego ostatnich artykułów znajdują się: i .
- — to biuletyn informacyjny dotyczący bezpieczeństwa w sieci, sponsorowany przez PortSwigger Web Security. To dobre źródło, aby dowiedzieć się o postępach i nowościach w dziedzinie red teamingu — atakach, wyciekach danych, exploitach, lukach w aplikacjach internetowych oraz nowych technologiach bezpieczeństwa.
- — „biały hacker” i specjalista w zakresie testów penetracyjnych, regularnie porusza nowe taktyki „czerwonej drużyny” na swoim .
- MWR labs — to dobre, choć niezwykle techniczne źródło wiadomości o red teamingu. Publikują przydatne informacje dla „czerwonych zespołów” , a ich zawiera porady dotyczące rozwiązywania problemów, przed którymi stają specjaliści ds. bezpieczeństwa.
- — prawnik i „biały haker”. W jego feedzie na Twitterze znajdują się metody przydatne dla „czerwonych zespołów”, takie jak pisanie iniekcji SQL i fałszowanie tokenów OAuth.
- (ATT & CK) — to starannie dobrana baza wiedzy na temat zachowań przestępców. Śledzi etapy cyklu życia przestępców oraz platformy, na które są nastawieni.
- — to podręcznik dla hakerów, który, mimo że jest dość stary, obejmuje wiele fundamentalnych metod, które wciąż stanowią podstawę kompleksowej symulacji rzeczywistych ataków. Autor Peter Kim ma również , w której oferuje porady dotyczące hackingu i inne informacje.
- Instytut SANS — to kolejny duży dostawca materiałów szkoleniowych dotyczących cyberbezpieczeństwa. Ich , poświęcony cyfrowej kryminalistyce i reagowaniu na incydenty, zawiera najnowsze wieści o kursach SANS oraz porady od ekspertów-praktyków.
- Niektóre z najciekawszych nowinek dotyczących red teaming zostały opublikowane w . Znajdziesz tam artykuły skoncentrowane na technologiach, takie jak porównanie red teamingu z testami penetracyjnymi, a także analityczne artykuły, takie jak „Manifest specjalisty od czerwonych zespołów”.
- Na koniec, Awesome Red Teaming to społeczność na GitHubie, która oferuje zasobów poświęconych red teamingowi. Obejmuje praktycznie wszystkie techniczne aspekty działalności „czerwonego zespołu”, od uzyskiwania wstępnego dostępu, przez wykonywanie złośliwych działań, aż po zbieranie i ekstrakcję danych.
Czym jest „niebieski zespół”?
Przy tak wielu „kolorowych” zespołach może być trudno określić, jaki typ jest potrzebny twojej organizacji.
Jedną z alternatyw dla „czerwonego zespołu”, a dokładniej innym typem zespołu, który może być używany razem z „czerwonym zespołem”, jest „niebieski zespół”. „Niebieski zespół” również ocenia bezpieczeństwo sieci i identyfikuje wszelkie możliwe podatności w infrastrukturze. Ma jednak inny cel. Zespoły tego typu są potrzebne do znajdowania sposobów ochrony, zmiany i przemyślenia mechanizmów obronnych, aby uczynić reagowanie na incydenty znacznie skuteczniejszym.
Podobnie jak „czerwony zespół”, niebieski musi posiadać tę samą wiedzę na temat taktyk przestępców, technik i procedur, aby na ich podstawie tworzyć strategie reagowania. Jednak obowiązki „niebieskiego zespołu” nie ograniczają się tylko do ochrony przed atakami. Uczestniczy on również w wzmacnianiu całej infrastruktury bezpieczeństwa, wykorzystując na przykład system wykrywania włamań (IDS), który zapewnia ciągłą analizę nietypowej i podejrzanej aktywności.
Oto niektóre z kroków, które wykonuje „niebieski zespół”:
- audyt bezpieczeństwa, w szczególności audyt DNS;
- analiza dzienników i pamięci;
- analiza pakietów danych sieciowych;
- analiza danych o ryzyku;
- analiza śladu cyfrowego;
- inżynieria wsteczna;
- testowanie DDoS;
- opracowywanie scenariuszy realizacji ryzyk.
Różnice między czerwonym a niebieskim zespołem
Powszechne pytanie dla wielu organizacji: jaki zespół powinny wybrać — czerwony czy niebieski. To pytanie często wiąże się z koleżeńską niechęcią między osobami pracującymi „po różnych stronach barykady”. W rzeczywistości jednak żadna z drużyn nie ma sensu bez drugiej. Dlatego poprawna odpowiedź na to pytanie brzmi: obie drużyny są ważne.
„Czerwony zespół” atakuje i jest używany do sprawdzania gotowości „niebieskiego zespołu” do obrony. Czasami „czerwony zespół” może znaleźć podatności, które „niebieski zespół” całkowicie przeoczył, a w takim przypadku „czerwony zespół” powinien pokazać, jak te podatności mogą być naprawione.
Dla obu zespołów kluczowe jest współdziałanie przeciwko cyberprzestępcom w celu wzmocnienia bezpieczeństwa informacji.
Z tego powodu nie ma sensu wybierać tylko jednej strony ani inwestować tylko w jeden typ zespołu. Ważne jest, aby pamiętać, że celem obu stron jest zapobieganie cyberprzestępczości.
Innymi słowy, firmy muszą nawiązać wzajemną współpracę obu zespołów, aby zapewnić kompleksowy audyt — z dziennikami wszystkich przeprowadzonych ataków i kontroli, zapisami wykrytych zagrożeń.
Zespół czerwony dostarcza informacje o operacjach, które przeprowadził podczas symulacji ataku, a zespół niebieski o działaniach, które podjął, aby wypełnić luki i wyeliminować znalezione podatności.
Nie można underestimate znaczenia obu zespołów. Bez ich ciągłego audytu bezpieczeństwa, przeprowadzania testów penetracyjnych i doskonalenia infrastruktury, firmy nie byłyby świadome stanu swojego bezpieczeństwa. Przynajmniej do czasu, gdy dojdzie do wycieku danych, a stanie się jasne, że środki bezpieczeństwa były niewystarczające.
Czym jest 'zespół purpurowy'?
Zespół purpurowy powstał w wyniku prób połączenia zespołów czerwonych i niebieskich. Zespół purpurowy to raczej koncepcja, a nie oddzielny typ zespołu. Lepiej jest postrzegać go jako połączenie zespołów czerwonych i niebieskich. Angażuje obie grupy, pomagając im współpracować.
Zespół purpurowy może pomóc służbom bezpieczeństwa zwiększyć skuteczność wykrywania podatności, poszukiwania zagrożeń i monitorowania sieci, poprzez dokładne modelowanie wspólnych scenariuszy zagrożeń i pomoc w tworzeniu nowych metod wykrywania i zapobiegania zagrożeniom.
Niektóre organizacje angażują 'zespół purpurowy' do jednorazowych działań celowanych, w których cele bezpieczeństwa, terminy i kluczowe wyniki są dokładnie określone. Obejmuje to uznanie luk w ataku i obronie oraz określenie przyszłych potrzeb dotyczących szkoleń i technologii.
Alternatywne podejście, które zyskuje na popularności, polega na postrzeganiu 'zespołu purpurowego' jako koncepcyjnego modelu, który działa w całej organizacji, wspierając tworzenie kultury bezpieczeństwa cybernetycznego i jej nieustannego doskonalenia.
Podsumowanie
Red Teaming, czyli kompleksowe symulacje ataków, to potężna metoda testowania luk w systemie bezpieczeństwa organizacji, ale należy ją stosować ostrożnie. W szczególności, do jej zastosowania potrzebne są odpowiednio , w przeciwnym razie może nie spełnić pokładanych w nim nadziei.
Red Teaming może ujawnić luki w Twoim systemie, o których nawet nie miałeś pojęcia, i pomóc je usunąć. Stosując konkurencyjne podejście między niebieskim a czerwonym zespołem, możesz zasymulować działania prawdziwego hakera, jeśli miałby zamiar ukraść Twoje dane lub uszkodzić Twoje aktywa.
Źródło: habr.com
