Purple teaming: превръщане на констатациите от red team в правила за откриване

Най-неудобният ред в един red team разговор по резултатите е „а вашият SOC не видя нищо от това“. Той е и най-ценният — ако направите нещо с него. Purple teaming е начинът да превърнете „това го пропуснахте“ в „вече го откриваме“, умишлено и бързо.

Закупените инструменти не гарантират откриване на атаки

Организациите инвестират сериозно в EDR, SIEM и SOAR и основателно допускат, че са покрити. Но внедрени инструменти не е същото като открити техники. Единственият начин да разберете какво в действителност улавяте е да изпълните действителни техники на нападател и да наблюдавате какво се задейства. Точно това е purple team упражнението: red и blue в една стая, изпълняващи техники умишлено и измерващи реакцията.

Как протича

1. Планиране. Договарят се техниките за тестване — съотнесени към MITRE ATT&CK — и как изглежда успехът.
2. Съвместно изпълнение. Всяка техника се изпълнява контролирано, докато защитниците наблюдават инструментите си в реално време.
3. Измерване. Записваме кои действия са предотвратени, кои са предизвикали сигнали и кои са останали неоткрити. Свързваме резултатите с техниките в MITRE ATT&CK, за да покажем пропуските в покритието.
4. Настройване и повторно изпълнение. Изграждат се или се подобряват правила за откриване, които покриват пропуските, после техниката се изпълнява отново, за да се докаже, че откриването работи.

Защо е ефективно

Чистият red team измерва защитите ви в един момент от времето. Purple teaming ги подобрява по време на ангажимента. Вместо отчет, който казва „заобиколихме откриването“, си тръгвате с матрица на покритието, набор от нови и настроени правила за откриване и доказателство, че пропуските, които са ви интересували, вече са затворени. Това е най-бързият път, който познаваме, от red team констатация до измеримо подобрение в blue team.

Правилата за откриване губят ефективност — проверявайте ги отново

Откриване, което се е задействало безупречно миналото тримесечие, може днес да е тихо счупено. Обновяване на инструмент е променило формата на журнала; шумно правило е било изключено по време на инцидент и никога не е включено отново; миграция към облака е преместила телеметрията някъде, където SIEM вече не я поглъща. Нищо от това не се обявява само. Затова най-ценната форма на purple teaming не е еднократна — тя е редовен ритъм, който проверява отново, че най-важните ви правила за откриване продължават да работят срещу техниките, които ви интересуват. Покритието на откриването е движеща се цел и единственият начин да разберете къде е днес е да го тествате днес.

От упражнение към инженерна дисциплина

Трайната стойност на purple teaming не е отчетът — тя е навикът. Разработването на механизми за откриване спира да бъде реакция на последния red team и се превръща в повторяема практика: всяко упражнение оставя след себе си тествани правила, по-ясна картина на покритието и екип, който знае как сам да изгради следващото правило за откриване. Упражнението е семето; дисциплината е смисълът.

Съотнасяне на покритието към ATT&CK и честно четене на матрицата

Едно purple team упражнение генерира естествена карта: всяка техника, която red team изпълнява, е клетка в матрицата на MITRE ATT&CK, а всяка от тях или е задействала известие, или е произвела журнали, по които е можело да бъде известено, или е преминала в тишина. Поставянето на тези резултати върху матрицата дава топлинна карта на покритието, която ръководителите обичат и която тихо лъже, ако ѝ позволите.

Нечестността се промъква чрез три навика. Първо, отчитане на техника като „покрита“, защото една от процедурите ѝ е била открита, когато техниката има дузина вариации, а вие сте тествали една, удобна. Второ, смесване на наличието на журнали с откриването: да имате телеметрията не е същото като да имате правило, което се задейства по нея. Трето, оценяване по брой техники, а не по риск, така че стена от зелено скрива факта, че малкото на брой техники, които е най-вероятно да се появят в действителна атака срещу вашата среда, са жълтите.

Четете матрицата с тези капани наум. Оценявайте всяка клетка по скала, която разграничава липса на телеметрия, телеметрия без откриване, откриване с пропуски и стабилно откриване, и наклонете картината към техниките, относими за вашия сектор и архитектура, а не към цялата енциклопедия.

Откриване като код и атомарно тестване на нивото на техниката

Констатации, които живеят в електронна таблица, се износват в момента, в който упражнението приключи. Констатации, които живеят в контрол на версиите, се превръщат в трайно инженерство. Третирайте всяко правило за откриване като код: определение на правилото, логиката зад него, препратка към техниката, която адресира, и тест, който доказва, че продължава да се задейства. Когато правило се промени, то минава през преглед, заявка за сливане и процес, точно както кодът на приложението.

Съчетайте това с атомарно тестване. Вместо само да изпълнявате отново пълния red team сценарий, разложете всяка техника до най-малкото действие, което трябва да задейства откриване, и го изпълнявайте изолирано, по график. Атомарните тестове улавят тихите регресии, които упражненията от край до край пропускат, и превръщат „поправихме ли го?“ от спор в преминаваща или провалена проверка.

• Съхранявайте логиката на правилата, обогатяването и тестовите случаи заедно, така че промяна в което и да е от тях да е видима наред с останалите.
• Обозначавайте всяко правило с неговата техника по ATT&CK и с упражнението, което го е произвело, така че отчитането на покритието да се генерира само.
• Изпълнявайте атомарните тестове непрекъснато, а не веднъж на тримесечие, и известявайте за правило за откриване, което е спряло да се задейства, също толкова силно, колкото за такова, което никога не е съществувало.

Намиране на пропуски в телеметрията през EDR, SIEM и журналите на облака и идентичността

Повечето тихи провали не са провали на правилата; те са провали на видимостта. Агентът на крайното устройство вижда изпълнението на процеси и никога не вижда доставчика на идентичност, който издава токен. SIEM съдържа месеци данни от защитната стена и нито един от одитните журнали на API на облачния контролен слой. Нападател, който се придвижва от открадната сесия към облачна роля и после към правило в пощенска кутия, прекосява три области на телеметрия, а пропуск на която и да е граница е коридор, по който може да премине незабелязан.

Търсете пропуските умишлено. За всяка техника попитайте кой източник на журнали трябва да я засвидетелства и потвърдете, че този източник действително се поглъща, разбира и съхранява — а не просто е наличен по принцип. Границите между EDR, мрежовата, SIEM и облачната телеметрия или тази на идентичността са мястото, където картите на покритието най-често са оптимистични.

Настройване на правилата без загуба на видимост и показатели за резултата

Всяко шумно правило е кандидат за потискане, а всяко потискане е малък акт на самоослепяване. Дисциплината е да намалите фалшивите положителни резултати, като направите логиката по-точна — стеснявайки по контекст, обогатявайки с данни за актива или идентичността, изключвайки известно добро поведение по точна характеристика — а не чрез широки изключения, в които нападателят може да се скрие. Филтър, който отхвърля цяло име на процес, е подарък за всеки, който може да се представи за него.

Съдете за резултата с показатели, които не могат лесно да бъдат манипулирани. Средното време до откриване ви казва дали настройването ви прави по-бързи или просто по-тихи. Покритието на откриването, оценено честно както по-горе, ви казва каква част от относимата матрица наистина се задейства. Достоверността на известията — дялът от известията, които се оказват истински положителни — ви казва дали анализаторите все още могат да се доверяват на опашката. Наблюдавайте ги заедно: достоверност, която се покачва, докато покритието спада, означава, че сте се настроили, като сте ослепели.

И накрая, фиксирайте ритъма. Purple teaming печели стойността си само като повтарящ се ритъм — постоянен график, в който се добавят нови техники, предишните констатации се тестват отново атомарно, а картата на покритието се оценява отново спрямо това, което се е променило в средата. Едно упражнение е моментна снимка; ритъмът е способност.