Red team и Blue team (красная и синяя команды) — это больше, чем армейский тип соревнований двух команд. На самом деле эти команды играют важную роль в защите от современных кибератак, угрожающих деловым коммуникациям, конфиденциальным данным клиентов или коммерческим тайнам.
Red team — специалисты по безопасности, которые являются экспертами по атакам на системы и взлому их защиты. Blue team — это, напротив, специалисты, отвечающие за поддержание внутренней защиты сети от всех кибер-атак и угроз. Red team имитируют атаки на Blue team, чтобы проверить эффективность защиты сети. Эти учения обеспечивают целостное решение по безопасности, гарантирующее надежную защиту с учетом меняющихся угроз.
Что такое Red team
Red team состоит из специалистов по безопасности, которые выступают в роли противников в соревнованиях двух команд. Red team часто состоит из независимых этичных хакеров, которые объективно оценивают безопасность системы.
Они используют все доступные методы (о них написано ниже), чтобы найти слабые места у сотрудников, процессов и технологий для получения несанкционированного доступа к активам. В результате этих смоделированных атак Red team составляет рекомендации и планы по укреплению безопасности организации.
Как работает Red team
Вы можете удивиться, узнав, что Red team (красная команда) тратит больше времени на планирование атаки, чем на ее проведение. Специалисты красной команды используют несколько методов для получения доступа к сети.
Например, атаки с использованием социальной инженерии основаны на исследовании поведения и привычек сотрудников, это нужно для проведения целевых фишинговых кампаний. Перед проведением теста на проникновение используются снифферы пакетов и анализаторы протоколов для сканирования сети и сбора максимально возможной информации о системе.
Типичная информация, собираемая на этом этапе, включает в себя:
- Выявление используемых операционных систем (Windows, macOS или Linux).
- Определение марки и модели сетевого оборудования (серверы, брандмауэры, коммутаторы, маршрутизаторы, точки доступа, компьютеры и т. д.).
- Понимание физических средств контроля (двери, замки, камеры, персонал службы безопасности).
- Изучение того, какие порты открыты/закрыты на брандмауэре для разрешения/блокирования определенного трафика.
- Создание карты сети, чтобы определить, на каких узлах запущены те или иные службы, а также куда отправляется трафик.
После того как специалисты из Red team получат более полное представление о системе, они разрабатывают план действий, направленный на проведение атаки, которая поможет выявить уязвимости.
Методы Red team
Красная команда использует различные методы и инструменты для обнаружения слабых мест и уязвимостей в сети. Важно отметить, что Red team будет использовать любые средства, которые необходимы, согласно условиям участия, для проникновения в вашу систему. В зависимости от обнаруженной уязвимости они могут развернуть вредоносное ПО для заражения узлов или даже обойти физические средства контроля безопасности путем клонирования карт доступа.
Некоторые из методов атаки:
- Тестирование на проникновение, также известное как этический взлом, — это когда тестировщик (в данном случае специалист из Red team) пытается получить доступ к системе, используя программные инструменты.
Например, «John theRipper» — это программа для взлома паролей. Она может определить, какой тип шифрования используется, и попытаться обойти его.
- Социальная инженерия — это когда Red Team пытается убедить или обмануть сотрудников, чтобы они раскрыли свои учетные данные или предоставили доступ в закрытую зону.
Фишинг подразумевает отправку внешне аутентичных электронных писем, которые побуждают сотрудников предпринять определенные действия, например, войти на сайт хакера и ввести учетные данные.
- Перехват коммуникаций
Программные средства, такие как снифферы пакетов и анализаторы протоколов, могут быть использованы для составления карты сети или чтения сообщений, отправленных открытым текстом. Цель этих инструментов — получить информацию о системе. Например, если злоумышленник знает, что сервер работает на операционной системе Microsoft, то он направит свои атаки на использование уязвимостей Microsoft.
- Клонирование карты безопасности сотрудника для предоставления доступа в неограниченные зоны, например, в серверную комнату.
Что такое Blue Team
Blue Team (синяя команда) состоит из профессионалов в области безопасности, которые имеют представление об организации изнутри. Их задача — защитить критически важные активы организации от любого вида угроз. Они хорошо осведомлены о бизнес-целях и стратегии безопасности компании. Поэтому их задача — укрепить защиту, чтобы ни один злоумышленник не смог прорваться через нее.
Как работает Blue Team
Blue Team будут регулярно проверять систему (например, проводить аудит DNS, сканирование уязвимостей внутренней или внешней сети и перехват сетевого трафика для анализа).
Синяя команда должна установить меры безопасности вокруг ключевых активов организации. Она начинает свой план защиты с определения критически важных активов, документирует важность этих активов для бизнеса и то, какое влияние окажет их отсутствие.
Затем Blue Team проводит оценку рисков, определяя угрозы для каждого актива и слабые места, которые могут стать отправной точкой для проникновения в систему. Оценив риски и расставив приоритеты, синяя команда разрабатывает план действий по внедрению средств контроля, которые могут снизить воздействие или вероятность осуществления угроз в отношении активов.
Участие высшего руководства имеет решающее значение на этом этапе, поскольку только оно может принять решение об оставлении риска без исправлений или внедрении мер по его устранению. Выбор средств контроля безопасности часто основывается на анализе затрат и выгод.
Например, Blue Team может определить, что сеть компании уязвима для атаки DDoS (распределенный отказ в обслуживании). Эта атака снижает доступность сети для легитимных пользователей путем отправки на сервер неполных запросов трафика. Каждый из этих запросов требует ресурсов для выполнения действия, поэтому атака серьезно нарушает работу сети.
Затем команда подсчитывает потери в случае возникновения угрозы. На основе анализа затрат и выгод и в соответствии с бизнес-целями Blue Team рассмотрит возможность установки системы обнаружения и предотвращения вторжений для минимизации риска DDoS-атак.
Методы Blue Team
Синие команды используют различные методы и инструменты в качестве контрмер для защиты сети от кибер-атак. В зависимости от ситуации синяя команда может решить, что необходимо установить дополнительные брандмауэры для блокирования доступа к внутренней сети. Или же риск атак с применением социальной инженерии настолько велик, что требует затрат на проведение тренингов по повышению осведомленности о безопасности в масштабах всей компании.
Некоторые из методов защиты:
- Проведение аудита DNS (сервера доменных имен) для предотвращения фишинговых атак, предотвращения проблем с устаревшими DNS, предотвращения простоев из-за удаления записей DNS, а также предотвращения/сокращения DNS- и веб-атак.
- Проведение анализа цифрового следа для отслеживания активности пользователей и выявления любых известных сигнатур, которые могут указывать на нарушение безопасности.
- Установка программного обеспечения для защиты конечных точек на внешних устройствах, таких как ноутбуки и смартфоны.
- Обеспечение надлежащей настройки контроля доступа к брандмауэру и обновление антивирусного программного обеспечения.
- Развертывание программного обеспечения IDS и IPS в качестве детективного и превентивного контроля безопасности.
- Внедрение решений SIEM для регистрации и ввода сетевой активности.
- Анализ журналов и памяти для выявления необычной активности в системе, а также идентификации и точного определения атаки.
- Разделение сетей и обеспечение их правильной конфигурации.
- Регулярное использование программного обеспечения для сканирования уязвимостей.
- Защита систем с помощью антивирусного программного обеспечения.
Для чего организациям нужны эти команды
Внедрение стратегии Red Team и Blue Team позволяет организации воспользоваться преимуществами двух совершенно разных подходов и навыков. Это также вносит определенную долю соревновательности в задачу, что стимулирует высокую производительность обеих команд.
Красная команда ценна тем, что выявляет уязвимые места, но она может только показать текущее состояние системы. Синяя команда ценна тем, что обеспечивает долгосрочную защиту и постоянный мониторинг системы.
Ключевым преимуществом является непрерывное улучшение состояния безопасности организации путем поиска пробелов и последующего заполнения этих пробелов соответствующими средствами контроля.
Как Red Team и Blue Team работают вместе
Общение между двумя командами является наиболее важным фактором успешного проведения учений.
Синяя команда должна быть в курсе новых технологий для повышения безопасности и делиться этими результатами с красной командой. Красная команда должна всегда быть в курсе новых угроз и методов проникновения, используемых хакерами, и консультировать синюю команду по методам предотвращения этих угроз.
От цели вашего тестирования будет зависеть то, должна ли красная команда информировать синюю о планируемом тестировании или нет. Например, если целью является имитация реального сценария реагирования на угрозу, то вам не нужно сообщать синей команде о тесте.
Кто-то из руководства должен знать о тесте, как правило, руководитель Blue Team. Это гарантирует, что сценарий реагирования все же будет протестирован, но с более жестким контролем при эскалации ситуации.
После завершения теста обе команды собирают информацию и сообщают о своих выводах. Red Team консультирует Blue Team, если им удалось проникнуть через защиту, и дает советы о том, как блокировать подобные попытки в реальном сценарии. Аналогичным образом Blue Team должна сообщить о том, обнаружили ли их процедуры мониторинга попытку атаки или нет.
Затем обе команды должны совместно планировать, разрабатывать и внедрять более эффективные средства контроля безопасности, если это необходимо.
