Red Team Exercise: การดำเนินงานแบบควบคุมครอบคลุมอะไร

คืออะไร

Red Team Exercise คือการจำลองผู้โจมตีที่มุ่งเป้าหมาย ซึ่งดำเนินการภายในกรอบการกำกับดูแลที่เข้มงวด อาจรวมถึงการสำรวจข้อมูลที่ได้รับอนุญาต วัตถุประสงค์การเข้าถึงเบื้องต้นที่ตกลงกันไว้ การเคลื่อนที่ภายในระบบอย่างมีขอบเขต และการสังเกตการตรวจจับและการตอบสนอง แต่เฉพาะเมื่อกิจกรรมเหล่านั้นได้รับอนุญาตเป็นลายลักษณ์อักษรเท่านั้น ความสำเร็จไม่ได้นิยามเพียงแค่การได้มาซึ่งการเข้าถึง การฝึกที่มีประโยชน์สามารถแสดงให้เห็นว่าการสื่อสาร การยกระดับเรื่อง การควบคุมตัวตน การมองเห็น การตัดสินใจ หรือการประสานงานการตอบสนองต้องได้รับการดูแลตรงจุดใด แม้ในกรณีที่ไม่บรรลุวัตถุประสงค์ หลักฐานเป็นแบบพิสูจน์เท่านั้น (proof-only) และจัดการผ่านกระบวนการที่ตกลงกันไว้ วิศวกรรมสังคม (social engineering) ไม่รวมอยู่โดยค่าเริ่มต้น และต้องได้รับการอนุมัติที่ชัดเจน ถูกต้องตามกฎหมาย และกำหนดขอบเขตแยกต่างหาก กิจกรรมการปฏิเสธการให้บริการ (denial-of-service) การกระทำที่ก่อความเสียหาย OT/ICS สภาพแวดล้อมที่สำคัญต่อความปลอดภัย ระบบของผู้ให้บริการภายนอกที่ไม่ได้ให้ความยินยอม และการนำข้อมูลออกเกินกว่าหลักฐานพิสูจน์ที่ตกลงกันไว้ ยังคงไม่รวมอยู่โดยค่าเริ่มต้น

เหมาะสำหรับใคร

การดำเนินงานนี้เหมาะกับทีมที่:

• มีผู้บริหารให้การสนับสนุนการฝึกภายใต้การกำกับดูแล ซึ่งทดสอบสมมติฐานด้านการป้องกัน การตรวจจับ การสื่อสาร และการตอบสนองที่เลือกไว้
• ต้องการให้ผู้มีส่วนได้ส่วนเสียด้านความปลอดภัย การตรวจจับ วิศวกรรม และการตอบสนอง เรียนรู้จากหลักฐานที่ได้รับอนุญาตและการสรุปผลร่วมชุดเดียวกัน
• สามารถอนุมัติเป้าหมาย วัตถุประสงค์ วิธีการที่อนุญาต การกระทำต้องห้าม ผู้ติดต่อ ช่วงห้ามดำเนินการ และเงื่อนไขการหยุดได้อย่างชัดเจน
• ต้องการประเมินเส้นทางที่มุ่งเป้าหมาย ในการฝึกที่ควบคุมได้และได้รับอนุญาต

ช่วยให้เข้าใจเรื่องใด

การดำเนินงานนี้ช่วยให้เห็นชัดว่า:

• มาตรการป้องกัน ขอบเขตด้านตัวตน สัญญาณการตรวจจับ ช่องทางการสื่อสาร และการตัดสินใจด้านการตอบสนองที่ตกลงไว้ สนับสนุนวัตถุประสงค์ที่ระบุหรือไม่
• เส้นทางที่ได้รับอนุญาตดำเนินไปอย่างไรภายในกฎ และทีมพบช่องว่างด้านการส่งต่องาน การมองเห็น การยกระดับเรื่อง หรือการตัดสินใจที่จุดใด
• ข้อค้นพบใดได้รับการสนับสนุนด้วยหลักฐานแบบพิสูจน์เท่านั้น และข้อใดยังอยู่นอกขอบเขตเพราะเป้าหมาย วิธีการ ผู้ให้บริการภายนอก หรือสภาพแวดล้อมถูกยกเว้นไว้
• ลำดับความสำคัญของการแก้ไขหรือการประเมินติดตามผลใดที่เหมาะสม

สิ่งที่รวมอยู่

• การอนุมัติของผู้บริหารที่ลงนามแล้ว กฎการปฏิบัติงานที่เป็นลายลักษณ์อักษร เป้าหมายที่อนุมัติ วัตถุประสงค์ วิธีการที่อนุญาต การกระทำต้องห้าม ผู้ติดต่อ กฎการสื่อสาร และเงื่อนไขการหยุดทันที
• ช่วงห้ามดำเนินการ การจัดเตรียมการหยุดชั่วคราว และการแจ้งผู้ให้บริการเมื่อจำเป็น
• การสำรวจข้อมูลที่ได้รับอนุญาต วัตถุประสงค์การเข้าถึงเบื้องต้นที่ตกลงกันไว้ และการเคลื่อนที่ภายในระบบอย่างมีขอบเขตภายในกฎเท่านั้น
• การสังเกตการตรวจจับและการตอบสนอง หลักฐานแบบพิสูจน์เท่านั้น การจัดการอย่างปลอดภัย การรายงาน หลักฐานสำหรับการทบทวนเหตุการณ์ซ้ำ (replay artefacts) และการสรุปผลร่วมกัน
• ข้อค้นพบสำหรับผู้บริหารและด้านเทคนิค พร้อมข้อจำกัดและแนวทางการแก้ไขตามลำดับความสำคัญ

สิ่งที่ไม่รวมอยู่

• กิจกรรมที่ไม่ได้รับอนุญาตหรือไร้ขอบเขต การปฏิเสธการให้บริการ (denial-of-service) การกระทำที่ก่อความเสียหาย หรือกลวิธีที่รบกวนการดำเนินงาน
• วิศวกรรมสังคมโดยค่าเริ่มต้น เทคโนโลยีการปฏิบัติการ (OT) ระบบควบคุมอุตสาหกรรม (ICS) สภาพแวดล้อมที่สำคัญต่อความปลอดภัย ผู้ให้บริการภายนอกที่ไม่ได้ให้ความยินยอม และระบบของบุคคลที่สาม
• การนำข้อมูลออกเกินกว่าหลักฐานพิสูจน์ที่ตกลงกันไว้ การรับรอง การยืนยันการปฏิบัติตามข้อกำหนด การเฝ้าระวังต่อเนื่อง SOC, MDR หรือการตอบสนองต่อเหตุการณ์ที่เกิดขึ้นจริง
• คำมั่นว่าจะค้นพบจุดอ่อนทุกจุด เจาะระบบได้สำเร็จ ตรวจจับได้สำเร็จ ได้รับการอนุมัติด้านความปลอดภัย หรือเทียบเท่าผู้โจมตีจริง

เมื่อใดควรเลือกใช้

เลือก Red Team Exercise เมื่อผู้บริหารมีวัตถุประสงค์ที่กำหนดไว้ และต้องการเข้าใจว่ามาตรการควบคุมขององค์กรที่เลือกไว้ทำงานร่วมกันอย่างไรภายใต้แรงกดดันที่มีการกำกับดูแล การฝึกนี้เหมาะอย่างยิ่งหลังจากวางแนวปฏิบัติด้านความปลอดภัยพื้นฐาน ความรับผิดชอบ และผู้ติดต่อด้านการตอบสนองไว้แล้ว และเมื่อผู้มีส่วนได้ส่วนเสียสามารถมุ่งมั่นต่อกระบวนการกฎการปฏิบัติงานที่เป็นลายลักษณ์อักษรได้ การฝึกนี้เหมาะกับการทดสอบวัตถุประสงค์ที่ตกลงกันโดยได้รับอนุญาตและไม่รบกวนบริการ โดยรวมวิศวกรรมสังคมเฉพาะเมื่อได้รับอนุมัติแยกต่างหาก การทดสอบเจาะระบบมาตรฐานอาจเหมาะสมกว่าสำหรับการตรวจสอบจุดอ่อนทางเทคนิคแบบเจาะจง เหตุการณ์ที่เกิดขึ้นจริงต้องใช้การจัดการตอบสนองแยกต่างหาก ควรกำหนดตารางการฝึกเฉพาะเมื่อผู้สนับสนุน เจ้าของระบบด้านเทคนิค และผู้ให้บริการที่เกี่ยวข้องสามารถสนับสนุนมาตรการควบคุมที่ตกลงกันไว้ได้

แนวทางของเรา

เราวางกรอบการฝึกรอบวัตถุประสงค์ขององค์กรและมาตรการป้องกันที่ทำให้งานอยู่ในระดับที่เหมาะสม ขั้นตอนการวางแผนยืนยันอำนาจอนุมัติที่ลงนามแล้ว ขอบเขตเป้าหมาย วัตถุประสงค์ วิธีการที่อนุญาต การกระทำต้องห้าม การจัดการหลักฐาน ช่วงห้ามดำเนินการ ผู้ติดต่อที่ระบุชื่อ การสื่อสาร และเงื่อนไขการหยุดทันที จากนั้นทีมที่ได้รับอนุญาตจะดำเนินการเฉพาะตามเส้นทางที่ตกลงกันไว้ บันทึกหลักฐานแบบพิสูจน์เท่านั้น และหยุดทันทีเมื่อเข้าเงื่อนไขการหยุดหรืออยู่ในช่วงห้ามดำเนินการ การสังเกตการตรวจจับและการตอบสนองถูกบันทึกเป็นการเรียนรู้ขององค์กร โดยเชื่อมโยงกับมาตรการควบคุมที่การฝึกได้สัมผัสจริง หลังการฝึก ผู้มีส่วนได้ส่วนเสียระดับผู้บริหารและด้านเทคนิคจะได้รับเรื่องราวที่ชัดเจน ข้อค้นพบด้านเทคนิค หลักฐานสำหรับการทบทวนเหตุการณ์ซ้ำ ข้อจำกัด และคำถามติดตามผลตามลำดับความสำคัญ การสรุปผลร่วมกันเชื่อมโยงข้อค้นพบเหล่านั้นเข้ากับการวางแผนแก้ไขที่ลูกค้าเป็นเจ้าของ โดยให้การเฝ้าระวังต่อเนื่อง การตอบสนองต่อเหตุการณ์จริง และการให้ความเชื่อมั่นในวงกว้างอยู่นอกการดำเนินงานนี้ แนวทางนี้รักษาวินัยของการฝึกที่กำหนดขอบเขตไว้ พร้อมให้หลักฐานที่เป็นประโยชน์แก่ผู้บริหารสำหรับการตัดสินใจครั้งถัดไป

คำถามที่พบบ่อย

บทความที่เกี่ยวข้อง