Red Team Exercise：受控演練的涵蓋範圍

服務簡介

Red Team Exercise 是在嚴格治理架構內進行、以目標為導向的對手模擬。它可包含經授權的偵察、約定的初始存取目標、有限範圍的橫向移動，以及對偵測與應變的觀察，但僅限於書面允許的活動。成功並非只以取得存取權來定義。即使未達成目標，一次有用的演練仍能顯示溝通、升級通報、身分控制、可視性、決策或應變協調中需要關注之處。證據僅限於證明用途，並依約定流程處理。社交工程預設排除，若要納入，須取得明確、合法且另行界定範圍的核准。阻斷服務活動、破壞性行為、OT/ICS、安全攸關環境、未經同意的供應商系統，以及超出約定證明產出物的資料外洩，預設均排除在外。

適用對象

此委託適合下列團隊：

• 已取得高階主管贊助，可進行受治理的演練，以檢驗所選定的防禦、偵測、溝通與應變假設
• 需要資安、偵測、工程與應變相關人員從同一份經授權的證據及檢討會議中學習
• 能夠核准明確的目標、演練目的、允許的方法、禁止行為、聯絡窗口、禁止測試期間與停止條件
• 希望在受控且經授權的演練中評估以目標為導向的路徑

有助釐清的問題

此委託有助於釐清：

• 約定的預防性控制、身分邊界、偵測訊號、溝通管道與應變決策，是否能支援所述目標
• 經授權的路徑如何在規則內推進，以及團隊在何處觀察到交接、可視性、升級通報或決策上的缺口
• 哪些發現有僅供證明用途的產出物佐證，哪些因目標、方法、供應商或環境被排除而仍在範圍之外
• 哪些修補優先事項或後續評估是適當的

包含內容

• 經簽署的高階主管授權、書面交戰規則、核准目標、演練目的、允許的方法、禁止行為、聯絡窗口、溝通規則及立即停止條件
• 禁止測試期間、暫停安排，以及必要時對服務供應商的通知
• 僅在規則範圍內進行經授權的偵察、約定的初始存取目標及有限範圍的橫向移動
• 偵測與應變觀察、僅供證明用途的證據、安全處理、報告、重現產出物及聯合檢討會議
• 附有限制說明與優先排序修補建議的高階主管及技術發現

不包含內容

• 未經授權或不受限制的活動、阻斷服務、破壞性行為或營運中斷手法
• 預設不含社交工程、營運技術、工業控制系統、安全攸關環境、未經同意的供應商及第三方系統
• 超出約定證明產出物的資料外洩、認證、合規證明、持續監控、SOC、MDR 或即時事件應變
• 擔保找出所有弱點、成功入侵、偵測成功、取得資安核可或等同於真實攻擊者

適用時機

當領導階層已有明確目標，並希望了解所選定的組織控制在受治理的壓力下如何協同運作時，請選擇 Red Team Exercise。在基本資安實務、權責歸屬與應變聯絡窗口均已建立，且相關人員能投入書面交戰規則流程時，它非常合適。它適用於對約定目標進行經許可、不造成中斷的測試；社交工程僅在另行核准後才納入。若要聚焦檢視技術弱點，標準滲透測試可能更為合適。正在發生的事件則需要另行安排應變。只有在贊助人、技術負責人及相關服務供應商能支援約定的控制措施時，才應排定演練。

我們的方法

我們以組織目標及讓工作維持適度的保護措施來規劃演練。規劃階段會確認經簽署的授權、目標邊界、演練目的、允許的方法、禁止行為、證據處理、禁止測試期間、指定聯絡人、溝通方式及立即停止條件。經授權的團隊隨後僅依約定路徑進行，記錄僅供證明用途的證據，並在停止條件或禁止測試期間適用時立即暫停。偵測與應變觀察會被記錄為組織學習，並與演練實際觸及的控制措施相對應。演練結束後，高階主管與技術相關人員會收到清楚的敘述、技術發現、重現產出物、限制說明及優先排序的後續問題。聯合檢討會議將這些發現與客戶自行負責的修補規劃連結，同時將持續監控、即時應變及更廣泛的確信（assurance）排除在本委託之外。如此既能維持既定演練的紀律，也能為領導者的下一個決策提供有用的證據。

常見問題

相關文章