🔥 🚒 التخطيط لتمرين الفريق الأحمر

يساعد هذا المستند في توجيه تخطيط الفريق الأحمر من خلال المقارنة مع أسلوب الفريق الأحمر المحدد للغاية الموضح في الفرق الحمراء. يعبّر هذا الأسلوب عن عدة تحيزات تهدف إلى تحقيق أقصى قيمة وحماس للفريق الأزرق. ويتجنب تحديدًا محاولات التحفيز عبر معاقبة الفريق الأحمر.

راجع الأسئلة أدناه لاختبار ما إذا كان تخطيط فريقك الأحمر مدروسًا بعناية لتحقيق قيمة لفريقك الأزرق.

❌ الدوافع السلبية

فيما يلي أسباب شائعة للقيام بتمرين فريق أحمر. تحمل هذه الأسباب صفات ضارة بالمعنويات أو تماسك الفريق. قد يكون التمرين أداة خاطئة لتحقيق أهدافك.

• إثبات عدم أمان منظمة أخرى
• إظهار السيطرة على مجموعة من الأشخاص
• إثبات أمر أو الإيحاء به عبر الصدمة والرهبة
• تعداد واكتشاف أكبر عدد ممكن من الثغرات
• اختبار ما إذا كانت آليات الكشف البسيطة تعمل

👍 أصحاب المصلحة

لا شيء أكثر إهدارًا من تمرين دون أي رعاية أو متابعة من القيادة أو المؤثرين. تأكد من أن الدروس المستفادة من التمرين يتبناها فريق متحمس من أصحاب المصلحة. تأكد من أن هذه المجموعة على اطلاع وقادرة على توليد الزخم.

• ضع توقعات واضحة وحدد جهة / مالكًا معروفًا لقيادة نتائج التمرين
• تأكد من وجود انفتاح على التغيير، وجهّز رعاية لقيادة هذا التغيير.
• هل المنظمة مشارك راغب في هذا التمرين؟
• هل سيكون المشاركون منفتحين على أي معايرة للمخاطر، أو إعادة النظر في خارطة الطريق الحالية؟
• هل هناك ديون تقنية كبيرة سيكون لها الأولوية على أي نتائج للفريق الأحمر؟
• هل ستكون نتائج الفريق الأحمر متوقعة إلى حد لا يستدعي تنفيذ تمرين من الأساس؟

📅 تقديرات الوقت

يمكنك توقع مقدار الوقت الذي ستخصصه بدءًا من مرحلة التخطيط هذه وصولًا إلى نهاية مرحلة المعالجة، أو أي نقطة بينهما. تعتمد توقعات الوقت بشكل كبير على القرارات المتخذة في كل مرحلة.

• التخطيط (أسابيع/أشهر): تخطيط التنفيذ الكلي، وسد الفجوات في هذا المستند.
• الهجوم (دقائق/أسابيع): تأهيل الفريق الأحمر والإنشاء الفعلي للحادث.
• الاستجابة (ساعات/أسابيع): إذا تم اكتشاف الحادث، فهي مدة الاستجابة الفورية.
• تمرين الطاولة (أيام/أسابيع): إذا لم يتم اكتشاف الحادث، فهي مدة الاستجابة المفروضة أو تمرين الطاولة.
• الاستجابة للحوادث (قصيرة المدى) (أيام/أسابيع): الوقت اللازم لإزالة وصول الفريق الأحمر، وسد أي ثغرة مكتشفة، والقضاء على الخصم.
• كشف الفريق الأحمر (ساعات): عرض تصرفات الفريق الأحمر لمعايرة واقع الاستجابة للحوادث.
• الاستجابة للحوادث (تحليل ما بعد الحادث) (ساعات/أيام): تنظيم الدروس المستفادة وعرضها على نطاق واسع.
• المعالجة طويلة المدى (أسابيع/أشهر): إتمام الدروس الأصعب المستفادة، وإعادة الهيكلة، والنمو قبل التفكير في تمرين الفريق الأحمر التالي.

👪 الأشخاص

حدد جميع الأشخاص الذين قد يحتاجون إلى معرفة خطط الفريق الأحمر وأسراره. وهنا سترغب في تخفيف أي خطر من مخاطر "كسر الزجاج" (Break Glass)، وأن تكون تفاصيل الاتصال جاهزة للتحول بعيدًا عن التمرين بسبب أي طوارئ.

• الشركات الاستشارية: هل ستوظف طرفًا خارجيًا ليكون الفريق الأحمر؟
• الموارد الداخلية: هل سيعمل موظفون داخليون كفريق أحمر؟
• من المسؤول عن (في هذه الحالة، حجب) الاتصال بالشرطة؟
• من المسؤول عن العلاقات العامة/الاتصالات الواردة؟
• من المسؤول عن تفاعلات العملاء؟
• من هو مصدر الإخطار بالاختراق؟ (داخليًا / مستشار خارجي)
• من هو "مدير اللعبة" العام الذي سيقود الأمور ويكون المصدر النهائي للحكم السليم؟

📉 الاستراتيجية

قرر من أين ستجني القيمة من هذه التجربة. هناك مقايضات في كل مكان قد لا تلبي ما تحاول تحقيقه من خلال التمرين.

• هل يدرك المدافعون المحتملون أنه ينبغي توقع فريق أحمر في مرحلة ما؟
  • هل ينبغي أن يكونوا كذلك؟ هل تحتاج إلى وضع هذا التوقع؟
• هل ستعلن أيضًا نافذة زمنية يُتوقع خلالها فريق أحمر؟
  • هل سيؤدي ذلك إلى حماس صحي واندفاعة استعداد؟
• هل سيكون المهاجمون موجَّهين بشكل كبير باستخدام الغش، أم سيكون التمرين حرًّا؟
  • هذه المقايضة تتعلق بقيمة الاستجابة للحوادث واكتشاف الثغرات.
• هل تم إبلاغ الفريق بوجود قواعد صارمة بشأن التوبيخ؟
  • تريد تجنب أي شعور بأن هذا عقاب على ضعف الأمان.
• هل تم إبلاغ الفريق بأن هذا التمرين يُقصد به هدية للفريق الأزرق، وليس معاقبة على ضعف الأمان؟ أي، هذا ليس اختبارًا، بل هو تدريب تنافسي؟
  • نؤكد على هذه النقطة. تأكد من أنه معروف بأن هذه حلقة تغذية راجعة قيّمة، وليست دورة تقييم أداء للموظفين.
• هل تم اختيار أسلوب محدد أو "سلسلة قتل" واقعية لتأطير التمرين؟
• هل هدفك محاكاة حادث في خطر تمت معالجته بشكل كبير، أم خطر مع قدر أقل بكثير من التتبع/الإجراءات الوقائية؟
• خلال كل مرحلة، ما هو "كسر الزجاج"؟ كيف تعلن على نطاق واسع ما هي الحقيقة، وما الذي يجب أن يحدث بعد ذلك، في حال انحرف الفريق الأحمر عن المسار وتسبب في انقطاع الخدمة؟
• تحت أي ظروف تريد "إلغاء" الفريق الأحمر؟
  • ضع في الاعتبار عند اكتماله بشكل طبيعي، أو عندما يتطلب تدخل خارجي إيقافه، أو عندما لا يعود التمرين ذا قيمة للمشاركين.

🔧 تصميم الهجوم

يمثل الهجوم المخاطر التي تحاول معالجتها، أو الحادث الذي تحاول التعامل معه، أو الأفراد الذين تأمل إشراكهم في الاستجابة. تحمل هذه القرارات جميعها أعباء تخطيط من المفيد تحديدها في أقرب وقت ممكن.

• هل يتطلب الهجوم فعليًا الكثير من الخبرة والجهد، أم يمكنك إعادة تمثيل بسيطة لهجوم لاكتشاف الأمور؟ هل الأطراف الخارجية ضرورية حتى؟
• أين يجب أن يبدأ الهجوم في سلسلة القتل؟ (أي، مبكرًا: التصيد الموجه، أو متأخرًا: الحركة الجانبية بصلاحيات مدير المجال)
• ما هي بيانات الاعتماد/الوصول الفعلي/الوثائق المطلوبة لدعم بدء الهجوم؟ من سيقدمها؟ هل هناك آثار أمنية يجب متابعتها لاحقًا؟
• إذا نجح الفريق الأحمر مبكرًا، فهل ينبغي أن يبدأ اختبار الاختراق أو تقييم الثغرات؟ هل ينبغي أن يحاول أن يتم اكتشافه؟
• هل ينبغي أن ينتحل المهاجم صفة خصم محدد، أو أسلوب هجوم محدد؟
• إذا تم اكتشاف الفريق الأحمر، فهل ستكون هناك خطة بديلة أو هجوم ثانٍ؟ هل سيلجأ الفريق الأحمر إلى اختبار اختراق؟
• أين وكيف سيقوم الفريق الأحمر بتوثيق سلوكياته؟ يجب التقاط هذه السلوكيات لأي تمرين طاولة لاحق، ولتأكيد المعالجة والدروس المستفادة. هل يمكنك جمع سجل باش؟ أو التقاط حزم TCP؟ أو ملاحظات يدوية؟
• هل ستستند أساليب الفريق الأحمر إلى الواقع؟ هل يستخدمون أساليب غير متاحة لمهاجم واقعي؟

🚨 الاستجابة للحوادث

إذا كنت تستطيع توقع مدى نضج عملية الاستجابة لديك، يمكنك توجيه الاستجابة لتحقيق فائدة أكبر. يمكن لفريق استجابة غير ناضج أن يُوجَّه بشكل كبير من قبل مدير اللعبة، أما فريق الاستجابة الناضج فيمكن تركه ليعمل بمفرده لتحديد نقاط الاحتكاك في التنسيق والتواصل.

• هل هناك أسلوب أو خطة تنسيق محددة ينبغي أن تتبعها الاستجابة للحوادث؟ على سبيل المثال، جدول الأعمال والأسلوب الموضح في أساسيات الاختراق الأمني 101 أو خطة الاستجابة للحوادث للشركات الناشئة
• هل ستحتاج الاستجابة للحوادث إلى التكوّن بشكل طبيعي، بحيث يمكنك استئصال الاحتكاك في عمليتها؟
• هل ستتجمع الاستجابة للحوادث بشكل مصطنع لفرض الاستجابة المقصودة كممارسة؟
• هل سترغب في تصعيد الحادث بشكل مصطنع حتى تتمكن من التحكم في الاستجابة للحوادث؟
• من سيجسر التواصل مع الفريق الأحمر إذا كانت هناك أسئلة صادقة من الفريق الأزرق؟ (على سبيل المثال: "نعتقد أننا وجدنا اختراقًا منفصلًا")
• من سيوثق نقاط الألم لدى الفريق الأحمر بينما يقوم الفريق الأزرق بالمعالجة؟ ("لقد واصلتم إزالة إشاراتنا وكان من الصعب العودة، ولم نتوقع أن تجدوا جميعها دفعة واحدة!")
• إذا لم تتقدم الاستجابة للحوادث في الوقت المناسب، فمن سيقوم بتسريب المؤشرات إلى الفريق الأزرق أو كيف سيتم ذلك؟
  • هل سيتم ذلك في صيغة تمرين طاولة؟
• هل يتم جمع المعالجات قصيرة المدى/الإجراءات الوقائية طويلة المدى كجزء من استجابتك للحوادث؟

🔍 كشف الفريق الأحمر

سيكون لدى الفريق الأزرق جميع أنواع الأسئلة للفريق الأحمر. هذه قد تكون لحظة حماسية إذا تم تنفيذها بشكل صحيح. الحفاظ على هذه العلاقة صحية أمر بالغ الأهمية. ينبغي النظر إلى الفريق الأحمر كشريك تدريب لا يُقدَّر بثمن. والأفضل من ذلك، كأرنب يُطارد.

• هل تصرفات الفريق الأحمر خلال مرحلة الهجوم موثقة ومفهومة بشكل جيد للغاية؟
• هل فاتت عملية الاستجابة للحوادث أي تصرفات جوهرية للفريق الأحمر؟
• هل هناك أي مؤشرات اختراق (IOC) أو آثار رقمية لا تزال تُرسل إشارات أو يمكن اكتشافها في المستقبل؟
• هل نجا أي باب خلفي أو أي تغييرات أخرى معرضة للخطر من الاستجابة للحوادث؟
• ما مدى شمولية تحقيق الفريق الأزرق واحتوائه للحادث؟

💀 تحليل ما بعد الحادث

سيغذي تحليل ما بعد الحادث عالي الجودة شهورًا من العمل الأمني المخطط له، وسيضبط توجه الجميع تجاه مهمة عبر تجربة مشتركة.

• هل تم تنفيذ عملية مقابلات شاملة أو استخلاص للمعلومات مع جميع المشاركين في التمرين؟
• هل تم جمع جميع عناصر المعالجة المتابعة مركزيًا وترتيب أولوياتها بناءً على انطباعات المشاركين حول القيمة؟
• هل يتم استخلاص هذه الانطباعات وعرضها مرة أخرى على المشاركين؟
• هل لديك اجتماع محجوز لعرضها؟
• من سيقدمها؟
• هل الفريق الأحمر متاح للتعليق على هذه الانطباعات، أو للإجابة على الأسئلة؟
• هل يتم مكافأة المشاركين على مشاركتهم؟
• هل يُمنحون وقتًا كافيًا لاستخلاص المعلومات والمناقشة؟
• هل هذه معايرة قيّمة تجاه المخاطر العملية؟

👶 تمارين صغيرة

يمكنك إبقاء التمرين صغيرًا وبتورط ضئيل من الآخرين. كن مبدعًا.

ببساطة اجعل أحد أعضاء الفريق يحاكي حادثًا تعتقد أنك قادر على الاستجابة له بنجاح. على سبيل المثال، يمكنك تثبيت برنامج يحتوي على ميزة التحديث التلقائي، والتظاهر بأنه برنامج ضار. ثم تقوم "بالبحث" عن "C&C" والتي ستكون مجرد إشارة التحديث الخاصة به. على سبيل المثال، هل يمكنك إثبات أنه معزول على هذا المضيف فقط، وليس على مضيفين آخرين؟

أو اجعل أحد أعضاء الفريق يقوم "بتغيير غير مصرح به"، ثم اجمَع جدولًا زمنيًا للحادث يوثق الحدث وما هي المتابعات المهمة.

فقط تأكد من توثيق نتائجك ودروسك ومتابعاتك لتقديمها للآخرين. الفرق الحمراء ليست ذات قيمة إذا كانت دروسها معزولة، ولا تحتاج إلى أن تكون معقدة.