Red team или purple team

Red team обичайно преследва договорена цел с ограничена осведоменост на защитниците и запазена комуникация за безопасност и координация. Purple teaming акцентира върху сътрудничество и бърза проверка със защитниците. И двата подхода могат да проверяват многостъпкови атаки; изберете според целта за независимо измерване, подобрение или комбинация.

Разликата е в сътрудничеството, не в техниката

И двете дисциплини използват едно и също майсторство: същата кражба на данни за достъп, същото хоризонтално придвижване и същата злоупотреба със законни административни инструменти. Онова, което ги разделя, е потокът на информацията, а тази единствена разлика променя всичко по-надолу — кой е в стаята, какво бива измерено, какво казва отчетът и какво можете да направите с него през следващата работна седмица.

Red team действа така, както би действал противник. Малка група вътре в организацията ви знае, че ангажиментът съществува; центърът за операции по сигурността — не. Операторите избират цели — господство над домейна, достъп до платежна система, извличане на конкретен набор от данни — и ги преследват, като умишлено остават под прага, при който наблюдението ви би реагирало. Всичко, което правят, произвежда запис, но този запис се сравнява с вашите откривания само след това.

Purple team обръща това. Операторите и защитниците седят заедно, често буквално. Техника на нападател се изпълнява, умишлено и изолирано; после двете страни гледат какво е достигнало SIEM, какво е записал агентът на крайното устройство, задействало ли се е правило, оценено и приоритизирано ли е известието и колко време е отнела всяка стъпка. Ако нищо не се е появило, пропускът се диагностицира и правило за откриване се написва или настройва на място. После техниката се изпълнява отново, за да се потвърди, че новото правило работи. Ангажиментът е последователност от такива цикли, а не една кампания.

Red team — една скрита кампания, измерена в края

  първоначален достъп → установяване на присъствие → повишаване на права
       → хоризонтално придвижване → достигане на целта → разговор по резултатите
  осведоменост на SOC:  никаква, до разговора
  въпрос:               уловиха ли ни и къде е можело да бъдем уловени?

Purple team — много открити цикли, измервани непрекъснато

  избор на техника → изпълнение → двете страни проверяват телеметрията
       → пропуск? написване или настройване на откриване → повторно изпълнение → потвърждение
       → следваща техника
  осведоменост на SOC:  пълна, през цялото време
  въпрос:               кои конкретни техники виждаме и колко бързо?

Едно до друго

Кога red teaming е подходящ

Red team отговаря на въпрос, на който нищо друго не отговаря: работи ли цялата машина, когато никой не знае, че е подлагана на тест? Контроли, телеметрия, правила, анализатори, пътища за ескалация, дежурства, решението да бъде изваден хост от мрежата в два часа сутринта — всичко това под натоварване, без никой да е подготвен.

Това има значение, защото провалите в сигурността рядко са провали само на инструментите. Известие се задейства, бива понижено по приоритет и никой не забелязва второто. Наръчник посочва екип, който е бил преструктуриран преди година. Анализаторът, който би го забелязал, е в отпуск. Нищо от това не се появява в матрица на покритието, защото нищо от това не е за покритие. То излиза наяве само когато упражнението е наистина необявено.

И двата формата могат да демонстрират път на атака: последователност от неправилна конфигурация, прекомерни права и доверие до определена цел. Purple упражненията могат открито да изпълняват и повтарят веригата; red упражненията обичайно ограничават осведомеността за реалистично измерване на реакцията. Стойността на доказателството зависи от проверените стъпки и описаната помощ, а не от етикета.

Честното ограничение е покритието. Оператор, който намери надежден път рано, има малка причина да опита другите дванадесет. Ако Kerberoasting проработи при третия опит, никой не научава дали вашите откривания щяха да уловят злоупотребата със сертификати, или кражбата на токени, или злонамерена планирана задача. Отчетът е дълбок и тесен по замисъл. Прочетен като твърдение за общата ви позиция по откриването, той ще ви подведе.

Кога purple teaming е подходящ

Purple teaming е по-ефективният инструмент, когато това, което ви е нужно, са данни за покритието. Тъй като нищо не е скрито, не се изразходва време за заобикаляне, инфраструктура или операционна сигурност — разходите, които консумират голям дял от часовете на всеки red team. Това време отива в изпълнение на повече техники вместо това.

Резултатът е директно приложим, което е действителното му предимство. Red team отчет казва, че не сте открили хоризонталното придвижване. Purple team сесия ви казва, че събитията за създаване на процеси са били налични, но шаблонът на правилото за командния ред е пропуснал използвания вариант, показва ви коригираната логика и демонстрира как се задейства. Едното произвежда констатация; другото произвежда работещо откриване и тестов случай, който можете да изпълните отново след всяко обновяване на агента.

То изгражда и умения там, където те трябва да живеят. Анализатори, които са гледали оператор да изпълнява техника, я разпознават по-бързо в продукционна среда и разбират защо правилото е написано така. Този пренос на знания носи постепенна и трайна полза и причината да структурираме purple teaming като работна сесия, а не като тест с публика.

Ограничението е също толкова действително. Техники, изпълнени изолирано, обявено и без заобикаляне, са лесният случай. Правило, което се задейства при чистия вариант, може да бъде тривиално заобиколено от оператор, който промени параметър, преименува двоичен файл или прекара същото действие през различно API. Purple teaming измерва дали можете да видите нещо — не дали бихте го видели срещу някой, който активно се опитва да не бъде видян, докато анализаторите ви обработват три други инцидента.

Кое от двете всъщност ви трябва

Решението обикновено се урежда от няколко конкретни повода, а не от стратегия.

Изберете purple teaming, ако нещо от следното е вярно. Внедрили сте EDR или SIEM през последните осемнадесет месеца и никога не сте проверили покритието му чрез живо изпълнение на техники. Мигрирали сте платформи, сменили сте доставчик или сте консолидирали инструменти и сте наследили правила, чийто произход никой не може да обясни. Предходен red team или тест за проникване е отчел, че нищо не е било открито, и трябва да знаете кои конкретни техники да покриете първо. Правилата ви за откриване са написани по шаблони на доставчика и никога не са били тествани срещу действията, които твърдят, че улавят. Имате анализатори, които никога не са виждали техниките, които трябва да разпознават. Средата ви с идентичности е основната грижа — в който случай съчетайте сесията с оценка на Active Directory, така че слабостите в конфигурацията и пропуските в откриването да бъдат картографирани заедно, а не отделно.

Изберете red teaming, ако нещо от следното е вярно. Вече сте подложили покритието на откриването на упражнение и искате да знаете дали процесът на реакция издържа необявено. Борд, регулатор или застраховател е поискал демонстрация от край до край, а не отчет за покритието. Трябва да обосновете инвестиция в конкретен контрол и изисквате демонстриран път, за да изложите довода. Уверени сте в предотвратяването и откриването и искате тази увереност да бъде тествана състезателно. Имате конкретен модел на заплахите — назован тип участник, конкретен набор от данни, конкретна ключова система — и искате да знаете дали тази цел е достижима.

Засега не избирайте нито едното, ако имате необновени системи, достъпни от интернет, няма опис на активите, плоски вътрешни мрежи или широко разпространени права на локален администратор. И двете упражнения ще намерят това незабавно, а вие ще сте платили цена за симулация на противник за сканиране на уязвимости. Обхватен тест за проникване първо е по-евтин и по-бърз в установяването на това базово ниво.

Честата грешка на купувача

Грешката, специфична за тази двойка, е да бъде купен red team като първи тест на откриването, а после резултатът да бъде третиран като присъда за екипа по сигурността.

Това се случва по разбираеми причини. Red teaming е по-четимата покупка: разказ с ясен резултат — успешно или неуспешно преминаване, и се представя добре нагоре по йерархията. Затова организация, която току-що е внедрила наблюдение, поръчва такъв, за да потвърди инвестицията. Операторите достигат целите си предимно незабелязани, защото никой още не е проверил кои техники новите инструменти действително извеждат наяве. Отчетът е точен и почти напълно предвидим — време на старши оператор, изразходвано за установяване на нещо, което purple teaming би показал по-подробно, с прикачени поправки.

Вредата обикновено е организационна, а не техническа. Констатацията се превръща в доказателство, че SOC се е провалил, когато действителният провал е бил в подредбата — измерване на нетествана способност по най-лошия ѝ възможен изход. Защитниците стават неохотни да подкрепят бъдещи упражнения, което е точно обратното на това, за което съществува всяка от двете дисциплини.

Обратната грешка също съществува и е по-малко скъпа, но все пак действителна: безсрочно провеждане на purple team сесии, натрупване на впечатляваща матрица на покритието и никога тестване дали това покритие надживява срещата с противник, който активно го заобикаля. Покритието е заместител на откриването. То е добър заместител и не е самото нещо.

Как се съчетават в рамките на една програма

В хоризонт от две или три години двете дисциплини образуват цикъл, а редът има по-голямо значение от съотношението.

Първо изградете покритие, чрез purple team сесии срещу техниките, най-подходящи за вашата среда — злоупотреба с идентичности, ако сте съсредоточени около Active Directory, злоупотреба с контролния слой, ако сте изградени в облака, а на практика и двете. Всяка сесия оставя след себе си тествани правила и повторяеми тестови случаи. Изпълнявайте ги отново след всяка промяна в инструментите; откриването се износва безшумно, а запазеният тестов случай е евтин.

След проверка на съответната телеметрия и реакция независим red team може да добави доказателства за адаптация, избягване и оперативен отговор. Резултатът е несигурен: операторите могат да успеят, да бъдат спрени или да срещнат ограничение в покритието. Отчитайте резултата, без предварително да приемате, че част от контролите ще бъдат заобиколени.

Върнете резултата обратно. Всяко заобиколено откриване от red team се превръща в дневния ред на следващата purple сесия, вече с точна цел. Тази сесия закалява конкретния вариант, тестовите случаи се добавят към регресионния набор, а цикълът се повтаря на по-високо ниво всеки път. Хронологията на откриването от red team е входът; правилата на purple team са изходът; следващият red team тества дали изходът е издържал.

Под двете стои обикновената работа по увереност, която държи повърхността, достъпна за атака малка, така че симулацията на противник да прекарва времето си в майсторство, а не в необновени гранични устройства. Прескочете тази основа и двете упражнения просто преоткриват хигиенни проблеми, които по-евтин инструмент би уловил.

Ако искате да видите как документираме хронология на откриването и матрица на покритието, преди да се обвържете с което и да е от двете, вземете отчета — той показва самите документи, а не описание на тях.