Ред Теаминг је сложена симулација напада. Методологија и алати

Извор: Ацунетик

Ред Теаминг је комплексна симулација стварних напада у циљу процене сајбер безбедности система. „Црвени тим“ је група пентестерс (специјалисти који врше тест пенетрације у систем). Могу бити ангажовани или споља или запослени у вашој организацији, али у свим случајевима њихова улога је иста – да имитирају акције уљеза и покушају да продру у ваш систем.

Уз „црвене тимове” у сајбер безбедности, ту је и низ других. На пример, Плави тим ради заједно са Црвеним тимом, али његове активности су усмерене на побољшање безбедности инфраструктуре система изнутра. Љубичасти тим је веза која помаже друга два тима у развоју стратегија напада и одбране. Међутим, редтајминг је један од најмање разумљивих метода управљања сајбер-безбедношћу, а многе организације и даље нерадо усвоје ову праксу.
У овом чланку ћемо детаљно објаснити шта се крије иза концепта Ред Теаминг-а и како имплементација сложених пракси симулације стварних напада може помоћи у побољшању безбедности ваше организације. Сврха овог чланка је да покаже како овај метод може значајно повећати безбедност ваших информационих система.

Ред Теаминг Преглед

Иако се у наше време „црвени“ и „плави“ тимови првенствено везују за област информационих технологија и сајбер безбедности, ове концепте је сковала војска. Генерално, први пут сам чуо за ове концепте у војсци. Рад као аналитичар за сајбер безбедност осамдесетих година прошлог века био је веома другачији од данашњег: приступ шифрованим рачунарским системима био је много ограниченији него данас.

Иначе, моје прво искуство ратних игара – симулација, симулација и интеракција – било је веома слично данашњем сложеном процесу симулације напада, који је нашао свој пут у сајбер безбедности. Као и сада, велика пажња је посвећена употреби метода социјалног инжењеринга како би се запослени убедили да „непријатељу“ дају неприкладан приступ војним системима. Стога, иако су техничке методе симулације напада значајно напредовале од 80-их, вреди напоменути да су многи од главних алата адверсарног приступа, а посебно технике друштвеног инжењеринга, у великој мери независни од платформе.

Основна вредност сложене имитације стварних напада такође се није променила од 80-их. Симулацијом напада на ваше системе, лакше ћете открити рањивости и разумети како их можете искористити. И док су редтеаминг некада првенствено користили хакери са белим шеширима и професионалци за сајбер безбедност који су тражили рањивости путем тестирања пенетрације, сада је постао све више коришћен у сајбер безбедности и пословању.

Кључ за редтајминг је да разумете да не можете заиста да стекнете осећај безбедности својих система док они не буду нападнути. И уместо да се изложите ризику да вас нападају прави нападачи, много је сигурније симулирати такав напад црвеном командом.

Ред Теаминг: случајеви употребе

Једноставан начин да разумете основе редтајминга је да погледате неколико примера. Ево два од њих:

• Сценарио 1. Замислите да је сајт за корисничку подршку тестиран и успешно тестиран. Чини се да то сугерише да је све у реду. Међутим, касније, у сложеном лажном нападу, црвени тим открива да, иако је сама апликација за корисничку подршку у реду, функција ћаскања треће стране не може тачно да идентификује људе, што омогућава да превари представнике корисничке службе да промене адресу е-поште . на налогу (због чега нова особа, нападач, може добити приступ).
• Сценарио 2. Као резултат пентестирања, утврђено је да су све контроле ВПН-а и даљинског приступа безбедне. Међутим, тада представник „црвеног тима” слободно пролази поред пулта за регистрацију и вади лаптоп једног од запослених.

У оба наведена случаја „црвени тим” проверава не само поузданост сваког појединачног система, већ и читав систем у целини на слабости.

Коме је потребна сложена симулација напада?

Укратко, скоро свака компанија може имати користи од редтајминга. Као што је приказано у нашем Извештају о глобалном ризику података за 2019., застрашујуће велики број организација је под лажним уверењем да имају потпуну контролу над својим подацима. Открили смо, на пример, да је у просеку 22% директоријума компаније доступно сваком запосленом, а да 87% компанија има више од 1000 застарелих осетљивих датотека на својим системима.

Ако ваша компанија није у технолошкој индустрији, можда вам се неће чинити да ће вам редтајминг донети много користи. Али није. Сајбер безбедност није само заштита поверљивих информација.

Злочинци подједнако покушавају да се домогну технологије без обзира на сферу делатности компаније. На пример, они могу да траже приступ вашој мрежи како би сакрили своје акције за преузимање другог система или мреже негде другде у свету. Са овом врстом напада, нападачима нису потребни ваши подаци. Они желе да заразе ваше рачунаре малвером како би уз њихову помоћ претворили ваш систем у групу ботнета.

За мање компаније може бити тешко пронаћи ресурсе за откуп. У овом случају има смисла поверити овај процес спољном извођачу.

Црвени тим: препоруке

Оптимално време и фреквенција за редтајминг зависе од сектора у коме радите и зрелости ваших алата за сајбер безбедност.

Конкретно, требало би да имате аутоматизоване активности као што су истраживање имовине и анализа рањивости. Ваша организација такође треба да комбинује аутоматизовану технологију са људским надзором редовним спровођењем потпуног тестирања пенетрације.
Након завршетка неколико пословних циклуса тестирања пенетрације и проналажења рањивости, можете прећи на сложену симулацију правог напада. У овој фази, редтајминг ће вам донети опипљиве користи. Међутим, покушај да то урадите пре него што стекнете основе сајбер безбедности неће донети опипљиве резултате.

Тим белих шешира ће вероватно бити у стању да компромитује неприпремљен систем тако брзо и лако да добијете премало информација да бисте предузели даљу акцију. Да би имали прави ефекат, информације до којих је дошао „црвени тим” морају се упоредити са претходним тестовима пенетрације и проценама рањивости.

Шта је тестирање пенетрације?

Сложена имитација правог напада (Ред Теаминг) се често меша са пенетрацијско тестирање (пентест), али ове две методе се мало разликују. Тачније, тестирање пенетрације је само једна од метода редтајминга.

Улога пентестера добро дефинисан. Рад пентестера је подељен у четири главне фазе: планирање, откривање информација, напад и извештавање. Као што видите, пентестери раде више од тражења софтверских рањивости. Они покушавају да се ставе у кожу хакера, а када уђу у ваш систем, почиње њихов прави посао.

Они откривају рањивости и затим изводе нове нападе на основу примљених информација, крећући се кроз хијерархију фасцикли. То је оно што разликује тестере пенетрације од оних који су ангажовани само да пронађу рањивости, користећи софтвер за скенирање портова или откривање вируса. Искусни пентестер може одредити:

• где хакери могу да усмере свој напад;
• начин на који ће хакери напасти;
• Како ће се понашати ваша одбрана?
• могући степен кршења.

Тестирање пенетрације има за циљ да идентификује слабости на нивоу апликације и мреже, као и могућности за превазилажење физичких безбедносних баријера. Док аутоматизовано тестирање може открити неке проблеме са сајбер-безбедношћу, ручно тестирање пенетрације такође узима у обзир рањивост предузећа на нападе.

Ред Теаминг вс. пенетрација тестирање

Без сумње, тестирање пенетрације је важно, али то је само један део читавог низа активности које се редовно мењају. Активности "црвеног тима" имају много шире циљеве од пентестера, који често једноставно траже приступ мрежи. Редтеаминг често укључује више људи, ресурса и времена док црвени тим копа дубоко да би у потпуности разумео прави ниво ризика и рањивости у технологији и људским и физичким средствима организације.

Поред тога, постоје и друге разлике. Редтајминг обично користе организације са зрелијим и напреднијим мерама сајбер безбедности (иако то није увек случај у пракси).

Обично су то компаније које су већ урадиле тестирање пенетрације и поправиле већину пронађених рањивости и сада траже некога ко може поново да покуша да приступи осетљивим информацијама или на било који начин пробије заштиту.
Због тога се редтајминг ослања на тим стручњака за безбедност фокусиран на одређени циљ. Они циљају на унутрашње рањивости и користе и електронске и физичке технике социјалног инжењеринга на запосленима у организацији. За разлику од пентестера, црвени тимови одвајају време током својих напада, желећи да избегну откривање као што би прави сајбер криминалац.

Предности црвеног тима

Постоје многе предности сложене симулације стварних напада, али што је најважније, овај приступ вам омогућава да добијете свеобухватну слику о нивоу сајбер-безбедности организације. Типичан процес симулације напада са краја на крај би укључивао тестирање пенетрације (мрежа, апликација, мобилни телефон и други уређај), друштвени инжењеринг (уживо на лицу места, телефонски позиви, е-пошта или текстуалне поруке и ћаскање) и физички упад (разбијање брава, откривање мртвих зона сигурносних камера, заобилажење система упозорења). Ако постоје пропусте у било ком од ових аспеката вашег система, они ће бити пронађени.

Када се пронађу рањивости, могу се поправити. Ефикасна процедура симулације напада не завршава се откривањем рањивости. Када се јасно идентификују безбедносни недостаци, пожелећете да радите на њиховом поправљању и поновном тестирању. У ствари, прави посао обично почиње након упада црвеног тима, када форензички анализирате напад и покушате да ублажите пронађене рањивости.

Поред ове две главне предности, редтајминг нуди и низ других. Дакле, "црвени тим" може:

• идентификују ризике и рањивости на нападе у кључним пословним информацијама;
• симулирају методе, тактике и процедуре правих нападача у окружењу са ограниченим и контролисаним ризиком;
• Процените способност ваше организације да открије, одговори и спречи сложене, циљане претње;
• Подстакните блиску сарадњу са безбедносним одељењима и плавим тимовима како бисте обезбедили значајно ублажавање и спровели свеобухватне практичне радионице након откривених рањивости.

Како функционише Ред Теаминг?

Одличан начин да разумете како функционише редтајминг је да погледате како обично функционише. Уобичајени процес сложене симулације напада састоји се од неколико фаза:

• Организација се слаже са "црвеним тимом" (интерним или екстерним) о сврси напада. На пример, такав циљ би могао да буде преузимање осетљивих информација са одређеног сервера.
• Затим „црвена екипа“ врши извиђање мете. Резултат је дијаграм циљних система, укључујући мрежне услуге, веб апликације и интерне портале запослених. .
• Након тога, у циљном систему се траже рањивости, које се обично имплементирају помоћу пхисхинг или КССС напада. .
• Када се добију токени за приступ, црвени тим их користи за истраживање даљих рањивости. .
• Када се открију друге рањивости, „црвени тим“ ће настојати да повећа свој ниво приступа до нивоа неопходног за постизање циља. .
• Након добијања приступа циљним подацима или имовини, задатак напада се сматра завршеним.

У ствари, искусни стручњак за црвени тим ће користити огроман број различитих метода да прође кроз сваки од ових корака. Међутим, кључни закључак из горњег примера је да се мале рањивости у појединачним системима могу претворити у катастрофалне кварове ако су повезане заједно.

Шта треба узети у обзир када се говори о "црвеном тиму"?

Да бисте максимално искористили редтајминг, морате се пажљиво припремити. Системи и процеси које користи свака организација су различити, а ниво квалитета редтајминга се постиже када је усмерен на проналажење рањивости у вашим системима. Из тог разлога, важно је узети у обзир низ фактора:

Знајте шта тражите

Пре свега, важно је разумети које системе и процесе желите да проверите. Можда знате да желите да тестирате веб апликацију, али не разумете добро шта то заиста значи и који други системи су интегрисани са вашим веб апликацијама. Стога је важно да добро разумете сопствене системе и да поправите све очигледне рањивости пре него што започнете сложену симулацију правог напада.

Упознајте своју мрежу

Ово се односи на претходну препоруку, али више о техничким карактеристикама ваше мреже. Што боље можете квантификовати своје окружење за тестирање, то ће ваш црвени тим бити прецизнији и специфичнији.

Упознајте свој буџет

Редтајминг се може изводити на различитим нивоима, али симулација читавог спектра напада на вашу мрежу, укључујући друштвени инжењеринг и физички упад, може бити скупа. Из тог разлога, важно је разумети колико можете потрошити на такву проверу и, сходно томе, описати њен обим.

Знајте свој ниво ризика

Неке организације могу толерисати прилично висок ниво ризика као део својих стандардних пословних процедура. Други ће морати да ограниче свој ниво ризика у много већој мери, посебно ако компанија послује у високо регулисаној индустрији. Стога, када спроводите редтајминг, важно је да се фокусирате на ризике који заиста представљају опасност за ваше пословање.

Црвени тим: алати и тактике

Ако се правилно имплементира, „црвени тим“ ће извести свеобухватни напад на ваше мреже користећи све алате и методе које користе хакери. Између осталог, ово укључује:

• Тестирање пенетрације апликација - има за циљ да идентификује слабости на нивоу апликације, као што су фалсификовање захтева на више локација, недостаци у уносу података, слабо управљање сесијама и многи други.
• Тестирање пенетрације мреже - има за циљ да идентификује слабости на нивоу мреже и система, укључујући погрешне конфигурације, рањивости бежичне мреже, неовлашћене услуге и још много тога.
• Тестирање физичке пенетрације — провера ефикасности, као и предности и слабости контрола физичке безбедности у стварном животу.
• социјални инжењеринг - има за циљ да искоришћава слабости људи и људске природе, тестирајући подложност људи обманама, убеђивању и манипулацији путем пхисхинг мејлова, телефонских позива и текстуалних порука, као и физичким контактом на лицу места.

Све горе наведено су компоненте које мењају време. То је свеобухватна, слојевита симулација напада дизајнирана да одреди колико добро ваши људи, мреже, апликације и физичке безбедносне контроле могу да издрже напад правог нападача.

Континуирани развој Ред Теаминг метода

Природа сложене симулације стварних напада, у којој црвени тимови покушавају да пронађу нове безбедносне пропусте, а плави покушавају да их поправе, доводи до сталног развоја метода за такве провере. Из тог разлога, тешко је саставити ажурну листу савремених техника редтајминга, јер оне брзо застаревају.

Због тога ће већина редтеамерс-а провести барем део свог времена учећи о новим рањивостима и искоришћавајући их, користећи многе ресурсе које обезбеђује заједница црвеног тима. Ево најпопуларнијих од ових заједница:

• Пентестер Ацадеми је услуга претплате која нуди онлајн видео курсеве фокусиране првенствено на тестирање пенетрације, као и курсеве форензике оперативног система, задатака социјалног инжењеринга и асемблерског језика за безбедност информација.
• Винцент Ииу је „офанзивни оператер за сајбер безбедност“ који редовно пише блогове о методама за сложену симулацију стварних напада и добар је извор нових приступа.
• Твиттер је такође добар извор ако тражите ажуриране информације о редоследу. Можете га пронаћи са хасхтаговима #редтеам и #редтеаминг.
• Даниел Миесслер је још један искусни стручњак за редтајминг који производи билтен и подцаст, води Веб сајт и пише много о актуелним трендовима црвеног тима. Међу његовим недавним чланцима: „Пурпурни тимски пентест значи да су ваши црвени и плави тимови подбацили“ и „Награде за рањивост и када користити процену рањивости, тестирање пенетрације и свеобухватну симулацију напада“.
• Даили Свиг је билтен о веб безбедности који спонзорише ПортСвиггер Веб Сецурити. Ово је добар ресурс да сазнате о најновијим дешавањима и новостима у области редтајминга – хаковања, цурења података, експлоатације, рањивости веб апликација и нових безбедносних технологија.
• Флоријан Хансеман је бели хакер и тестер пенетрације који редовно покрива нове тактике црвеног тима у својој блог пост.
• МВР лабс је добар, иако изузетно технички, извор за вести које се брзо дешавају. Они објављују корисне за црвене тимове АлатИ њихови Твиттер феед садржи савете за решавање проблема са којима се суочавају тестери безбедности.
• Емад Сханаб – Адвокат и „бели хакер”. Његов Твиттер феед има технике корисне за „црвене тимове“ као што је писање СКЛ ињекција и фалсификовање ОАутх токена.
• Митреове противничке тактике, технике и опште знање (АТТ & ЦК) је курирана база знања о понашању нападача. Прати фазе животног циклуса нападача и платформе на које циљају.
• Тхе Хацкер Плаибоок је водич за хакере, који, иако прилично стар, покрива многе од основних техника које су још увек у срцу сложене имитације стварних напада. Аутор Петер Ким такође има Твиттер феед, у којој нуди савете за хаковање и друге информације.
• Институт САНС је још један велики добављач материјала за обуку о сајбер безбедности. Њихова Твиттер феедФокусиран на дигиталну форензику и реаговање на инциденте, садржи најновије вести о курсевима САНС-а и савете стручњака.
• Неке од најзанимљивијих вести о редтајмингу су објављене у Ред Теам Јоурнал. Постоје чланци фокусирани на технологију као што је поређење Ред Теаминг-а са тестирањем пенетрације, као и аналитички чланци као што је Манифест стручњака за Црвени тим.
• Коначно, Авесоме Ред Теаминг је ГитХуб заједница која нуди веома детаљна листа ресурси посвећени Црвеном тиму. Покрива практично сваки технички аспект активности црвеног тима, од добијања почетног приступа, обављања злонамерних активности, до прикупљања и извлачења података.

"Плави тим" - шта је то?

Са толико разнобојних тимова, може бити тешко схватити који тип је потребан вашој организацији.

Једна алтернатива црвеном тиму, тачније друга врста тима која се може користити у комбинацији са црвеним тимом, је плави тим. Плави тим такође процењује безбедност мреже и идентификује све потенцијалне инфраструктурне рањивости. Међутим, она има другачији циљ. Тимови овог типа су потребни да пронађу начине да заштите, промене и прегрупишу одбрамбене механизме како би реаговање на инцидент био много ефикаснији.

Као и црвени тим, плави тим мора имати исто знање о тактици нападача, техникама и процедурама како би креирао стратегије одговора на основу њих. Међутим, дужности плавог тима нису ограничене само на одбрану од напада. Такође је укључен у јачање целокупне безбедносне инфраструктуре, користећи, на пример, систем за откривање упада (ИДС) који обезбеђује континуирану анализу необичних и сумњивих активности.

Ево неких од корака које „плави тим“ предузима:

• ревизија безбедности, посебно ДНС ревизија;
• анализа дневника и меморије;
• анализа мрежних пакета података;
• анализа података о ризику;
• анализа дигиталног отиска;
• Обрнути инжењеринг;
• ДДоС тестирање;
• развој сценарија имплементације ризика.

Разлике између црвених и плавих тимова

Уобичајено питање за многе организације је који тим треба да користе, црвени или плави. Ово питање је такође често праћено пријатељским анимозитетом између људи који раде „на супротним странама барикада“. У стварности, ниједна наредба нема смисла без друге. Дакле, тачан одговор на ово питање је да су оба тима важна.

Црвени тим напада и користи се за тестирање спремности Плавог тима за одбрану. Понекад црвени тим може пронаћи рањивости које је плави тим потпуно превидео, у ком случају црвени тим мора показати како се те рањивости могу поправити.

Од виталног је значаја за оба тима да раде заједно против сајбер криминалаца како би ојачали безбедност информација.

Из тог разлога, нема смисла бирати само једну страну или улагати само у један тип тима. Важно је запамтити да је циљ обе стране да спрече сајбер криминал.
Другим речима, компаније треба да успоставе међусобну сарадњу оба тима како би обезбедиле свеобухватну ревизију – са евиденцијама свих извршених напада и провера, евиденцијом откривених карактеристика.

„Црвени тим“ пружа информације о операцијама које су извели током симулираног напада, док плави тим пружа информације о акцијама које су предузели да попуне празнине и поправе пронађене рањивости.

Не може се потценити значај оба тима. Без њихових текућих безбедносних ревизија, тестирања пенетрације и побољшања инфраструктуре, компаније не би биле свесне стања сопствене безбедности. Барем док подаци не процуре и док не постане болно јасно да мере безбедности нису биле довољне.

Шта је љубичасти тим?

"Љубичасти тим" је настао из покушаја да се уједине црвено-плави тимови. Љубичасти тим је више концепт него посебна врста тима. Најбоље се посматра као комбинација црвених и плавих тимова. Она ангажује оба тима, помажући им да раде заједно.

Љубичасти тим може помоћи безбедносним тимовима да побољшају откривање рањивости, откривање претњи и праћење мреже прецизним моделирањем уобичајених сценарија претњи и помагањем у креирању нових метода откривања и превенције претњи.

Неке организације запошљавају Љубичасти тим за једнократне фокусиране активности које јасно дефинишу безбедносне циљеве, временске оквире и кључне резултате. Ово укључује препознавање слабости у нападу и одбрани, као и идентификацију будућих потреба за обуком и технологијом.

Алтернативни приступ који сада добија на замаху је посматрање Пурпле Теам-а као визионарског модела који функционише у целој организацији како би помогао у стварању и сталном унапређењу културе сајбер безбедности.

Закључак

Ред Теаминг, или сложена симулација напада, је моћна техника за тестирање безбедносних рањивости организације, али треба је пажљиво користити. Конкретно, да бисте га користили, морате имати довољно напредна средства заштите безбедности информацијаУ супротном, можда неће оправдати наде које су му полагане.
Редтајминг може открити рањивости у вашем систему за које нисте ни знали да постоје и помоћи да их поправите. Узимајући супротстављени приступ између плавог и црвеног тима, можете симулирати шта би прави хакер урадио када би желео да украде ваше податке или оштети вашу имовину.

Извор: ввв.хабр.цом