Sursa: Acunetix
Red Teaming este o simulare complexă a atacurilor reale pentru a evalua securitatea cibernetică a sistemelor. „Echipa roșie” este un grup (specialişti care efectuează un test de penetrare în sistem). Ei pot fi fie angajați din exterior, fie angajați ai organizației dvs., dar în toate cazurile rolul lor este același - să imite acțiunile intrușilor și să încerce să pătrundă în sistemul dumneavoastră.
Alături de „echipele roșii” din domeniul securității cibernetice, există o serie de altele. Așadar, de exemplu, „echipa albastră” (Blue Team) lucrează împreună cu roșul, dar activitățile sale vizează îmbunătățirea securității infrastructurii sistemului din interior. Echipa Purple este veriga, asistând celelalte două echipe în dezvoltarea strategiilor de atac și apărării. Cu toate acestea, redtiming este una dintre cele mai puțin înțelese metode de gestionare a securității cibernetice, iar multe organizații rămân reticente în a adopta această practică.
În acest articol, vom explica în detaliu ce se află în spatele conceptului de Red Teaming și modul în care implementarea practicilor complexe de simulare a atacurilor reale poate ajuta la îmbunătățirea securității organizației dumneavoastră. Scopul acestui articol este de a arăta modul în care această metodă poate crește semnificativ securitatea sistemelor dumneavoastră de informații.
Prezentare generală a echipei roșii
Deși în epoca noastră, echipele „roșii” și „albastre” sunt asociate în primul rând cu domeniul tehnologiei informației și al securității cibernetice, aceste concepte au fost inventate de armată. În general, în armată am auzit prima dată despre aceste concepte. Lucrul ca analist de securitate cibernetică în anii 1980 a fost foarte diferit de cel de astăzi: accesul la sistemele informatice criptate era mult mai restricționat decât este în prezent.
În rest, prima mea experiență de jocuri de război — simulare, simulare și interacțiune — a fost foarte asemănătoare cu procesul complex de simulare a atacurilor de astăzi, care și-a găsit drumul în securitatea cibernetică. Ca și acum, s-a acordat o mare atenție utilizării metodelor de inginerie socială pentru a convinge angajații să acorde „inamicului” acces necorespunzător la sistemele militare. Prin urmare, deși metodele tehnice de simulare a atacurilor au avansat semnificativ începând cu anii 80, este de remarcat faptul că multe dintre principalele instrumente ale abordării contradictorii, și în special tehnicile de inginerie socială, sunt în mare parte independente de platformă.
De asemenea, valoarea de bază a imitației complexe a atacurilor reale nu s-a schimbat din anii 80. Simulând un atac asupra sistemelor dvs., vă este mai ușor să descoperiți vulnerabilități și să înțelegeți cum pot fi exploatate. Și, în timp ce redteaming-ul era folosit în primul rând de către hackerii cu pălărie albă și profesioniștii în securitate cibernetică care căutau vulnerabilități prin testarea de penetrare, acum a devenit mai utilizat pe scară largă în securitatea cibernetică și în afaceri.
Cheia pentru redtiming este să înțelegeți că nu puteți înțelege cu adevărat securitatea sistemelor dumneavoastră până când acestea nu sunt atacate. Și în loc să te expui riscului de a fi atacat de atacatori reali, este mult mai sigur să simulezi un astfel de atac cu o comandă roșie.
Red Teaming: cazuri de utilizare
O modalitate ușoară de a înțelege elementele de bază ale redtimingului este să te uiți la câteva exemple. Iată două dintre ele:
- Scenariul 1. Imaginați-vă că un site de servicii pentru clienți a fost testat și testat cu succes. S-ar părea că acest lucru sugerează că totul este în ordine. Cu toate acestea, mai târziu, într-un atac simulat complex, echipa roșie descoperă că, deși aplicația de serviciu pentru clienți în sine este în regulă, funcția de chat terță parte nu poate identifica cu exactitate oamenii, iar acest lucru face posibilă păcălirea reprezentanților serviciului pentru clienți să-și schimbe adresa de e-mail. .în cont (în urma căruia o persoană nouă, un atacator, poate avea acces).
- Scenariul 2. Ca urmare a pentestingului, toate comenzile VPN și de acces la distanță s-au dovedit a fi sigure. Totuși, atunci reprezentantul „echipei roșii” trece liber pe lângă ghișeul de înregistrare și scoate laptopul unuia dintre angajați.
În ambele cazuri de mai sus, „echipa roșie” verifică nu numai fiabilitatea fiecărui sistem individual, ci și întregul sistem în ansamblu pentru punctele slabe.
Cine are nevoie de simulare complexă de atac?
Pe scurt, aproape orice companie poate beneficia de redtiming. Așa cum se arată , un număr înspăimântător de mare de organizații sunt sub falsa credință că au control complet asupra datelor lor. Am constatat, de exemplu, că, în medie, 22% din dosarele unei companii sunt disponibile pentru fiecare angajat și că 87% dintre companii au peste 1000 de fișiere sensibile învechite pe sistemele lor.
Dacă compania ta nu face parte din industria tehnologiei, s-ar putea să nu pară că redtiming-ul îți va face mult bine. Dar nu este. Securitatea cibernetică nu înseamnă doar protejarea informațiilor confidențiale.
De asemenea, răufăcătorii încearcă să pună mâna pe tehnologii, indiferent de sfera de activitate a companiei. De exemplu, aceștia pot căuta să obțină acces la rețeaua dvs. pentru a-și ascunde acțiunile de a prelua un alt sistem sau o rețea în altă parte a lumii. Cu acest tip de atac, atacatorii nu au nevoie de datele dvs. Ei doresc să vă infecteze computerele cu malware pentru a vă transforma sistemul într-un grup de rețele bot cu ajutorul lor.
Pentru companiile mai mici, poate fi dificil să găsești resurse de răscumpărat. În acest caz, este logic să încredințați acest proces unui contractant extern.
Red Teaming: Recomandări
Timpul și frecvența optime pentru redtiming depind de sectorul în care lucrați și de maturitatea instrumentelor dvs. de securitate cibernetică.
În special, ar trebui să aveți activități automatizate, cum ar fi explorarea activelor și analiza vulnerabilităților. De asemenea, organizația dvs. ar trebui să combine tehnologia automatizată cu supravegherea umană, efectuând în mod regulat teste complete de penetrare.
După finalizarea mai multor cicluri de afaceri de testare a pătrunderii și găsirea vulnerabilităților, puteți trece la o simulare complexă a unui atac real. În această etapă, redtiming vă va aduce beneficii tangibile. Cu toate acestea, încercarea de a face acest lucru înainte de a avea elementele de bază ale securității cibernetice nu va aduce rezultate tangibile.
Este posibil ca o echipă cu pălărie albă să poată compromite un sistem nepregătit atât de rapid și ușor încât obțineți prea puține informații pentru a lua măsuri ulterioare. Pentru a avea un efect real, informațiile obținute de „echipa roșie” trebuie comparate cu testele anterioare de penetrare și cu evaluările de vulnerabilitate.
Ce este testarea de penetrare?
Imitația complexă a unui atac real (Red Teaming) este adesea confundată cu , dar cele două metode sunt ușor diferite. Mai precis, testarea de penetrare este doar una dintre metodele de redtiming.
Rolul unui pentester . Munca pentesterilor este împărțită în patru etape principale: planificare, descoperire de informații, atac și raportare. După cum puteți vedea, pentesterii fac mai mult decât să caute vulnerabilități software. Ei încearcă să se pună în pielea hackerilor și, odată ce intră în sistemul tău, începe munca lor reală.
Aceștia descoperă vulnerabilități și apoi efectuează noi atacuri pe baza informațiilor primite, deplasându-se prin ierarhia folderelor. Acesta este ceea ce distinge testerii de penetrare de cei care sunt angajați doar pentru a găsi vulnerabilități, folosind software-ul de scanare a porturilor sau detectarea virușilor. Un pentester experimentat poate determina:
- unde hackerii își pot direcționa atacul;
- felul în care hackerii vor ataca;
- Cum se va comporta apărarea ta?
- amploarea posibilă a încălcării.
Testarea de penetrare se concentrează pe identificarea punctelor slabe la nivel de aplicație și rețea, precum și a oportunităților de depășire a barierelor de securitate fizică. În timp ce testarea automată poate dezvălui unele probleme de securitate cibernetică, testarea manuală de penetrare ia în considerare și vulnerabilitatea unei afaceri la atacuri.
Red Teaming vs. testarea de penetrare
Fără îndoială, testarea de penetrare este importantă, dar este doar o parte dintr-o serie întreagă de activități de redtiming. Activitățile „echipei roșii” au obiective mult mai largi decât cele ale pentesterilor, care deseori caută pur și simplu să obțină acces la rețea. Redteaming implică adesea mai mulți oameni, resurse și timp, deoarece echipa roșie sapă adânc pentru a înțelege pe deplin nivelul real de risc și vulnerabilitate în tehnologie și activele umane și fizice ale organizației.
În plus, există și alte diferențe. Redtiming este de obicei folosit de organizații cu măsuri de securitate cibernetică mai mature și mai avansate (deși acest lucru nu este întotdeauna cazul în practică).
Acestea sunt de obicei companii care au făcut deja teste de penetrare și au remediat majoritatea vulnerabilităților găsite și acum caută pe cineva care să încerce din nou să acceseze informații sensibile sau să rupă protecția în orice fel.
Acesta este motivul pentru care redtiming se bazează pe o echipă de experți în securitate concentrați pe o țintă specifică. Aceștia vizează vulnerabilitățile interne și folosesc atât tehnici de inginerie socială electronică, cât și fizică asupra angajaților organizației. Spre deosebire de pentesteri, echipele roșii își iau timpul în timpul atacurilor lor, dorind să evite detectarea așa cum ar face-o un adevărat criminal cibernetic.
Beneficiile Red Teaming
Există multe avantaje pentru simularea complexă a atacurilor reale, dar cel mai important, această abordare vă permite să obțineți o imagine cuprinzătoare a nivelului de securitate cibernetică a unei organizații. Un proces tipic de atac simulat end-to-end ar include testarea de penetrare (rețea, aplicație, telefon mobil și alt dispozitiv), inginerie socială (în direct la fața locului, apeluri telefonice, e-mail sau mesaje text și chat) și intruziune fizică (ruperea încuietorilor, detectarea zonelor moarte ale camerelor de securitate, ocolirea sistemelor de avertizare). Dacă există vulnerabilități în oricare dintre aceste aspecte ale sistemului dvs., acestea vor fi găsite.
Odată ce vulnerabilitățile sunt găsite, acestea pot fi remediate. O procedură eficientă de simulare a atacurilor nu se termină cu descoperirea vulnerabilităților. Odată ce defectele de securitate sunt identificate în mod clar, veți dori să lucrați la remedierea lor și la retestarea lor. De fapt, munca adevărată începe de obicei după o intruziune a echipei roșii, când analizezi criminalistică atacul și încerci să atenuezi vulnerabilitățile găsite.
Pe lângă aceste două beneficii principale, redtiming oferă și o serie de altele. Deci, „echipa roșie” poate:
- să identifice riscurile și vulnerabilitățile la atacuri în activele cheie de informații comerciale;
- simulează metodele, tacticile și procedurile atacatorilor reali într-un mediu cu risc limitat și controlat;
- Evaluați capacitatea organizației dvs. de a detecta, răspunde și preveni amenințările complexe, direcționate;
- Încurajați colaborarea strânsă cu departamentele de securitate și echipele albastre pentru a oferi o atenuare semnificativă și pentru a desfășura ateliere practice cuprinzătoare în urma vulnerabilităților descoperite.
Cum funcționează Red Teaming?
O modalitate excelentă de a înțelege cum funcționează redtiming-ul este să te uiți la modul în care se întâmplă de obicei. Procesul obișnuit de simulare a atacurilor complexe constă din mai multe etape:
- Organizația este de acord cu „echipa roșie” (internă sau externă) asupra scopului atacului. De exemplu, un astfel de obiectiv ar putea fi acela de a prelua informații sensibile de la un anumit server.
- Apoi „echipa roșie” efectuează recunoașterea țintei. Rezultatul este o diagramă a sistemelor țintă, inclusiv servicii de rețea, aplicații web și portaluri interne pentru angajați. .
- După aceea, vulnerabilitățile sunt căutate în sistemul țintă, care sunt de obicei implementate folosind atacuri de tip phishing sau XSS. .
- Odată ce jetoanele de acces sunt obținute, echipa roșie le folosește pentru a investiga alte vulnerabilități. .
- Când sunt descoperite alte vulnerabilități, „echipa roșie” va căuta să-și mărească nivelul de acces la nivelul necesar atingerii obiectivului. .
- La obținerea accesului la datele sau la activul țintă, sarcina de atac este considerată finalizată.
De fapt, un specialist experimentat în echipa roșie va folosi un număr mare de metode diferite pentru a parcurge fiecare dintre acești pași. Cu toate acestea, concluzia cheie din exemplul de mai sus este că vulnerabilitățile mici din sistemele individuale se pot transforma în eșecuri catastrofale dacă sunt legate împreună.
Ce ar trebui luat în considerare atunci când ne referim la „echipa roșie”?
Pentru a profita la maximum de redtiming, trebuie să vă pregătiți cu atenție. Sistemele și procesele utilizate de fiecare organizație sunt diferite, iar nivelul de calitate al redtiming este atins atunci când are ca scop găsirea vulnerabilităților în sistemele dumneavoastră. Din acest motiv, este important să luați în considerare o serie de factori:
Află ce cauți
În primul rând, este important să înțelegeți ce sisteme și procese doriți să verificați. Poate știi că vrei să testezi o aplicație web, dar nu înțelegi prea bine ce înseamnă cu adevărat și ce alte sisteme sunt integrate cu aplicațiile tale web. Prin urmare, este important să aveți o bună înțelegere a propriilor sisteme și să remediați eventualele vulnerabilități evidente înainte de a începe o simulare complexă a unui atac real.
Cunoaște-ți rețeaua
Aceasta este legată de recomandarea anterioară, dar este mai mult despre caracteristicile tehnice ale rețelei dvs. Cu cât vă puteți cuantifica mai bine mediul de testare, cu atât echipa dvs. roșie va fi mai precisă și mai specifică.
Cunoaște-ți bugetul
Redtiming poate fi efectuat la diferite niveluri, dar simularea întregii game de atacuri asupra rețelei dvs., inclusiv ingineria socială și intruziunea fizică, poate fi costisitoare. Din acest motiv, este important să înțelegeți cât de mult puteți cheltui pe un astfel de cec și, în consecință, să subliniați scopul acestuia.
Cunoaște-ți nivelul de risc
Unele organizații pot tolera un nivel destul de ridicat de risc ca parte a procedurilor lor standard de afaceri. Alții vor trebui să își limiteze nivelul de risc într-o măsură mult mai mare, mai ales dacă compania operează într-o industrie foarte reglementată. Prin urmare, atunci când efectuați redtiming, este important să vă concentrați asupra riscurilor care reprezintă cu adevărat un pericol pentru afacerea dvs.
Red Teaming: instrumente și tactici
Dacă este implementată corect, „echipa roșie” va efectua un atac la scară largă asupra rețelelor dumneavoastră folosind toate instrumentele și metodele folosite de hackeri. Printre altele, aceasta include:
- Testarea de penetrare a aplicației - urmărește să identifice punctele slabe la nivel de aplicație, cum ar fi falsificarea cererilor pe mai multe site-uri, defecte de introducere a datelor, management slab al sesiunilor și multe altele.
- Testare de penetrare în rețea - urmărește să identifice punctele slabe la nivel de rețea și sistem, inclusiv configurări greșite, vulnerabilități ale rețelei wireless, servicii neautorizate și multe altele.
- Testare de penetrare fizică — verificarea eficacității, precum și a punctelor forte și slabe ale controalelor de securitate fizică în viața reală.
- Inginerie sociala - își propune să exploateze slăbiciunile oamenilor și ale naturii umane, testând susceptibilitatea oamenilor la înșelăciune, persuasiune și manipulare prin e-mailuri de phishing, apeluri telefonice și mesaje text, precum și contact fizic la fața locului.
Toate cele de mai sus sunt componente de redtiming. Este o simulare de atac completă, stratificată, concepută pentru a determina cât de bine oamenii, rețelele, aplicațiile și controalele de securitate fizică pot rezista unui atac din partea unui atacator real.
Dezvoltarea continuă a metodelor Red Teaming
Natura simulării complexe a atacurilor reale, în care echipele roșii încearcă să găsească noi vulnerabilități de securitate și echipele albastre încearcă să le repare, duce la dezvoltarea constantă a metodelor pentru astfel de verificări. Din acest motiv, este dificil să alcătuiești o listă actualizată a tehnicilor moderne de redtiming, deoarece acestea devin rapid învechite.
Prin urmare, cei mai mulți membri ai echipei roșii își vor petrece cel puțin o parte din timp învățând despre noi vulnerabilități și exploatându-le, folosind numeroasele resurse oferite de comunitatea echipei roșii. Iată cele mai populare dintre aceste comunități:
- este un serviciu prin abonament care oferă cursuri video online axate în primul rând pe testarea de penetrare, precum și cursuri despre criminalistica sistemului de operare, sarcini de inginerie socială și limbaj de asamblare de securitate a informațiilor.
- este un „operator ofensiv de securitate cibernetică” care scrie în mod regulat pe blog despre metode de simulare complexă a atacurilor reale și este o sursă bună de abordări noi.
- Twitter este, de asemenea, o sursă bună dacă căutați informații actualizate de redtiming. Îl poți găsi cu hashtag-uri и .
- este un alt specialist în redtiming cu experiență care produce un buletin informativ și , Oportunitati și scrie multe despre tendințele actuale ale echipei roșii. Printre articolele sale recente: и .
- este un buletin informativ de securitate web sponsorizat de PortSwigger Web Security. Aceasta este o resursă bună pentru a afla despre cele mai recente evoluții și știri în domeniul redtiming - hack-uri, scurgeri de date, exploatări, vulnerabilități ale aplicațiilor web și noile tehnologii de securitate.
- este un hacker cu pălărie albă și un tester de penetrare care acoperă în mod regulat noile tactici ale echipei roșii .
- MWR labs este o sursă bună, deși extrem de tehnică, pentru știri redtiming. Postează utile pentru echipele roșii și a lor conține sfaturi pentru rezolvarea problemelor cu care se confruntă testerii de securitate.
- - Avocat și „hacker alb”. Feed-ul său de Twitter are tehnici utile pentru „echipe roșii”, cum ar fi scrierea de injecții SQL și falsificarea token-urilor OAuth.
- (ATT & CK) este o bază de cunoștințe curată a comportamentului atacatorului. Acesta urmărește fazele ciclului de viață al atacatorilor și platformele pe care le vizează.
- este un ghid pentru hackeri, care, deși destul de vechi, acoperă multe dintre tehnicile fundamentale care se află încă în centrul imitării complexe a atacurilor reale. Autorul Peter Kim are și el , în care oferă sfaturi de hacking și alte informații.
- Institutul SANS este un alt furnizor important de materiale de instruire în domeniul securității cibernetice. Al lor Axat pe criminalistica digitală și răspunsul la incidente, conține cele mai recente știri despre cursurile SANS și sfaturi de la practicieni experți.
- Unele dintre cele mai interesante știri despre redtiming sunt publicate în . Există articole axate pe tehnologie, cum ar fi compararea Red Teaming cu testarea de penetrare, precum și articole analitice, cum ar fi The Red Team Specialist Manifesto.
- În cele din urmă, Awesome Red Teaming este o comunitate GitHub care oferă resurse dedicate Red Teaming-ului. Acesta acoperă practic fiecare aspect tehnic al activităților unei echipe roșii, de la obținerea accesului inițial, efectuarea de activități rău intenționate, până la colectarea și extragerea de date.
„Echipa albastră” - ce este?
Cu atât de multe echipe multicolore, poate fi dificil să-ți dai seama de ce tip are nevoie organizația ta.
O alternativă la echipa roșie, și mai precis un alt tip de echipă care poate fi folosit împreună cu echipa roșie, este echipa albastră. Echipa albastră evaluează, de asemenea, securitatea rețelei și identifică eventualele vulnerabilități ale infrastructurii. Cu toate acestea, ea are un alt scop. Echipele de acest tip sunt necesare pentru a găsi modalități de a proteja, schimba și regrupa mecanismele de apărare pentru a face răspunsul la incident mult mai eficient.
La fel ca echipa roșie, echipa albastră trebuie să aibă aceleași cunoștințe despre tacticile, tehnicile și procedurile atacatorilor pentru a crea strategii de răspuns pe baza acestora. Cu toate acestea, îndatoririle echipei albastre nu se limitează doar la apărarea împotriva atacurilor. De asemenea, este implicată în consolidarea întregii infrastructuri de securitate, folosind, de exemplu, un sistem de detectare a intruziunilor (IDS) care oferă o analiză continuă a activităților neobișnuite și suspecte.
Iată câțiva dintre pașii pe care îi face „echipa albastră”:
- audit de securitate, în special audit DNS;
- analiză jurnal și memorie;
- analiza pachetelor de date din retea;
- analiza datelor de risc;
- analiza amprentei digitale;
- Inginerie inversă;
- testare DDoS;
- dezvoltarea scenariilor de implementare a riscurilor.
Diferențele dintre echipele roșii și albastre
O întrebare comună pentru multe organizații este ce echipă ar trebui să folosească, roșu sau albastru. Această problemă este adesea însoțită de animozitate amicală între oamenii care lucrează „pe părți opuse ale baricadelor”. În realitate, niciuna dintre comenzi nu are sens fără cealaltă. Deci răspunsul corect la această întrebare este că ambele echipe sunt importante.
Echipa Roșie atacă și este folosită pentru a testa pregătirea echipei Albastre de a se apăra. Uneori, echipa roșie poate găsi vulnerabilități pe care echipa albastră le-a trecut cu vederea complet, caz în care echipa roșie trebuie să arate cum pot fi remediate acele vulnerabilități.
Este vital ca ambele echipe să lucreze împreună împotriva infractorilor cibernetici pentru a consolida securitatea informațiilor.
Din acest motiv, nu are sens să alegi o singură parte sau să investești într-un singur tip de echipă. Este important să ne amintim că scopul ambelor părți este prevenirea criminalității cibernetice.
Cu alte cuvinte, companiile trebuie să stabilească o cooperare reciprocă a ambelor echipe pentru a oferi un audit cuprinzător - cu jurnalele tuturor atacurilor și verificărilor efectuate, înregistrări ale caracteristicilor detectate.
„Echipa roșie” oferă informații despre operațiunile pe care le-au efectuat în timpul atacului simulat, în timp ce echipa albastră oferă informații despre acțiunile pe care le-au întreprins pentru a completa golurile și a remedia vulnerabilitățile găsite.
Importanța ambelor echipe nu poate fi subestimată. Fără auditurile de securitate în curs, testele de penetrare și îmbunătățirile de infrastructură, companiile nu ar fi conștiente de starea propriei securități. Cel puțin până când datele sunt scurse și devine dureros de clar că măsurile de securitate nu au fost suficiente.
Ce este o echipă violetă?
„Echipa Violet” s-a născut din încercările de a uni echipele Roșu și Albastru. Echipa Purple este mai mult un concept decât un tip separat de echipă. Cel mai bine este privit ca o combinație de echipe roșii și albastre. Ea implică ambele echipe, ajutându-le să lucreze împreună.
Purple Team poate ajuta echipele de securitate să îmbunătățească detectarea vulnerabilităților, descoperirea amenințărilor și monitorizarea rețelei prin modelarea cu acuratețe a scenariilor comune de amenințări și ajutând la crearea de noi metode de detectare și prevenire a amenințărilor.
Unele organizații angajează o echipă violetă pentru activități concentrate o singură dată, care definesc în mod clar obiectivele de siguranță, termenele și rezultatele cheie. Aceasta include recunoașterea punctelor slabe în atac și apărare, precum și identificarea viitoarelor cerințe de pregătire și tehnologie.
O abordare alternativă care acum câștigă avânt este de a vedea Echipa Purple ca un model vizionar care funcționează în întreaga organizație pentru a ajuta la crearea și îmbunătățirea continuă a unei culturi de securitate cibernetică.
Concluzie
Red Teaming, sau simularea unui atac complex, este o tehnică puternică pentru testarea vulnerabilităților de securitate ale unei organizații, dar ar trebui folosită cu grijă. În special, pentru a-l folosi, trebuie să ai suficient În caz contrar, s-ar putea să nu justifice speranțele puse asupra lui.
Redtiming poate dezvălui vulnerabilități din sistemul dvs. despre care nici măcar nu știați că există și vă poate ajuta să le remediați. Prin adoptarea unei abordări adverse între echipele albastre și roșii, puteți simula ce ar face un hacker adevărat dacă ar vrea să vă fure datele sau să vă deterioreze bunurile.
Sursa: www.habr.com