Red Team Exercise: Một đợt diễn tập có kiểm soát gồm những gì

Đây là gì

Red Team Exercise là một đợt mô phỏng đối thủ theo mục tiêu, được thực hiện trong một khuôn khổ quản trị chặt chẽ. Đợt diễn tập có thể bao gồm trinh sát được ủy quyền, các mục tiêu truy cập ban đầu đã thống nhất, di chuyển ngang (lateral movement) có giới hạn và quan sát về phát hiện và ứng phó, nhưng chỉ khi các hoạt động đó được cho phép bằng văn bản. Thành công không chỉ được định nghĩa là giành được quyền truy cập. Một đợt diễn tập hữu ích có thể chỉ ra những chỗ mà liên lạc, báo cáo lên cấp trên, kiểm soát danh tính, khả năng quan sát, ra quyết định hoặc điều phối ứng phó cần được chú ý, ngay cả khi mục tiêu không đạt được. Bằng chứng chỉ ở mức chứng minh (proof-only) và được xử lý theo quy trình đã thống nhất. Kỹ nghệ xã hội (social engineering) mặc định bị loại trừ và sẽ cần sự phê duyệt rõ ràng, hợp pháp, có phạm vi riêng. Hoạt động từ chối dịch vụ, hành động phá hoại, OT/ICS, môi trường có yếu tố an toàn then chốt, hệ thống của nhà cung cấp chưa đồng ý và việc trích xuất dữ liệu vượt quá các tạo phẩm chứng minh đã thống nhất vẫn mặc định bị loại trừ.

Dành cho ai

Đợt hợp tác này phù hợp với các đội ngũ:

• Có sự tài trợ của cấp điều hành cho một đợt diễn tập có quản trị nhằm kiểm thử các giả định được chọn về phòng thủ, phát hiện, liên lạc và ứng phó
• Cần các bên liên quan về bảo mật, phát hiện, kỹ thuật và ứng phó cùng học hỏi từ một bộ bằng chứng được ủy quyền và một buổi tổng kết chung
• Có thể phê duyệt rõ ràng các mục tiêu, mục đích, phương pháp được phép, hành động bị cấm, đầu mối liên hệ, khung thời gian cấm thực hiện và điều kiện dừng
• Muốn đánh giá các lộ trình theo mục tiêu trong một đợt diễn tập có kiểm soát và được ủy quyền

Giúp làm rõ điều gì

Đợt hợp tác giúp làm rõ:

• Các biện pháp kiểm soát phòng ngừa, ranh giới danh tính, tín hiệu phát hiện, kênh liên lạc và quyết định ứng phó đã thống nhất có hỗ trợ các mục tiêu đã nêu hay không
• Một lộ trình được ủy quyền đã tiến triển thế nào trong khuôn khổ quy tắc và đội ngũ đã quan sát thấy khoảng trống nào về bàn giao, khả năng quan sát, báo cáo lên cấp trên hoặc ra quyết định
• Những phát hiện nào được hỗ trợ bởi các tạo phẩm chứng minh và những phát hiện nào nằm ngoài phạm vi vì một mục tiêu, phương pháp, nhà cung cấp hoặc môi trường đã bị loại trừ
• Những ưu tiên khắc phục hoặc đánh giá tiếp theo nào là phù hợp

Những gì được bao gồm

• Sự ủy quyền có chữ ký của cấp điều hành, quy tắc tác chiến bằng văn bản, các mục tiêu được phê duyệt, mục đích, phương pháp được phép, hành động bị cấm, đầu mối liên hệ, quy tắc liên lạc và điều kiện dừng ngay lập tức
• Khung thời gian cấm thực hiện, cơ chế tạm dừng và thông báo cho nhà cung cấp khi cần thiết
• Trinh sát được ủy quyền, các mục tiêu truy cập ban đầu đã thống nhất và di chuyển ngang có giới hạn, chỉ trong khuôn khổ quy tắc
• Quan sát về phát hiện và ứng phó, bằng chứng ở mức chứng minh, xử lý an toàn, báo cáo, tạo phẩm tái hiện và buổi tổng kết chung
• Các phát hiện dành cho ban điều hành và đội kỹ thuật, kèm các giới hạn và hướng dẫn khắc phục được ưu tiên

Những gì không được bao gồm

• Hoạt động trái phép hoặc không giới hạn, từ chối dịch vụ, hành động phá hoại hoặc các chiến thuật gây gián đoạn vận hành
• Kỹ nghệ xã hội theo mặc định, công nghệ vận hành (OT), hệ thống điều khiển công nghiệp (ICS), môi trường có yếu tố an toàn then chốt, nhà cung cấp chưa đồng ý và hệ thống bên thứ ba
• Trích xuất dữ liệu vượt quá các tạo phẩm chứng minh đã thống nhất, chứng nhận, xác nhận tuân thủ, giám sát liên tục, SOC, MDR hoặc ứng phó sự cố trực tiếp
• Sự đảm bảo về việc phát hiện mọi điểm yếu, xâm nhập thành công, phát hiện thành công, phê duyệt bảo mật hoặc tương đương với kẻ tấn công thực tế

Khi nào nên chọn

Hãy chọn Red Team Exercise khi ban lãnh đạo có một mục tiêu được xác định và muốn hiểu các biện pháp kiểm soát được chọn của tổ chức phối hợp với nhau thế nào dưới áp lực có quản trị. Đây là lựa chọn rất phù hợp sau khi các thực hành bảo mật cơ bản, quyền sở hữu và đầu mối ứng phó đã được thiết lập, và khi các bên liên quan có thể cam kết với một quy trình quy tắc tác chiến bằng văn bản. Dịch vụ phù hợp với việc kiểm thử được phép, không gây gián đoạn đối với các mục tiêu đã thống nhất, và kỹ nghệ xã hội chỉ được đưa vào khi có phê duyệt riêng. Một đợt kiểm thử xâm nhập tiêu chuẩn có thể phù hợp hơn cho việc rà soát tập trung vào điểm yếu kỹ thuật. Một sự cố đang diễn ra cần một thỏa thuận ứng phó riêng biệt. Đợt diễn tập chỉ nên được lên lịch khi các nhà tài trợ, người phụ trách kỹ thuật và các nhà cung cấp liên quan có thể hỗ trợ các biện pháp kiểm soát đã thống nhất.

Phương pháp của chúng tôi

Chúng tôi định hình đợt diễn tập xoay quanh một mục tiêu của tổ chức và các biện pháp bảo vệ giúp công việc luôn tương xứng. Giai đoạn lập kế hoạch xác nhận sự ủy quyền có chữ ký, ranh giới mục tiêu, mục đích, phương pháp được phép, hành động bị cấm, cách xử lý bằng chứng, khung thời gian cấm thực hiện, đầu mối liên hệ được nêu tên, liên lạc và điều kiện dừng ngay lập tức. Sau đó, đội được ủy quyền chỉ đi theo các lộ trình đã thống nhất, ghi lại bằng chứng ở mức chứng minh và tạm dừng ngay khi một điều kiện dừng hoặc khung thời gian cấm thực hiện được áp dụng. Các quan sát về phát hiện và ứng phó được ghi nhận như bài học cho tổ chức, gắn với các biện pháp kiểm soát mà đợt diễn tập thực sự chạm đến. Sau đợt diễn tập, các bên liên quan cấp điều hành và kỹ thuật nhận được một bản tường thuật rõ ràng, các phát hiện kỹ thuật, tạo phẩm tái hiện, các giới hạn và những câu hỏi tiếp theo được ưu tiên. Buổi tổng kết chung kết nối các phát hiện đó với việc lập kế hoạch khắc phục do khách hàng chịu trách nhiệm, đồng thời giữ giám sát liên tục, ứng phó trực tiếp và bảo đảm rộng hơn nằm ngoài đợt hợp tác. Cách làm này giữ được tính kỷ luật của một đợt diễn tập được xác định, đồng thời cung cấp cho lãnh đạo bằng chứng hữu ích cho quyết định tiếp theo.

Câu hỏi thường gặp

Bài viết liên quan