🔥 🚒 रेड टीम अभ्यास की योजना बनाना

यह दस्तावेज़ Red Teams में वर्णित बहुत विशिष्ट रेड टीम शैली के विपरीत करके रेड टीम योजना को सूचित करने में मदद करता है। यह विधि ब्लू टीम के मूल्य और उत्साह को अनुकूलित करने के लिए कई पूर्वाग्रहों को व्यक्त करती है। यह विशेष रूप से रेड टीम की सजा से प्रेरित करने के प्रयासों से बचती है।

नीचे दिए गए प्रश्नों की समीक्षा करें, यह जाँचने के लिए कि क्या आपकी रेड टीम योजना आपकी ब्लू टीम के मूल्य के लिए पूरी तरह से सोची-समझी गई है।

❌ नकारात्मक प्रेरणाएँ

निम्नलिखित रेड टीम अभ्यास को चलाने के सामान्य कारण हैं। इनमें मनोबल या टीम सामंजस्य के लिए हानिकारक गुण हैं। कोई अभ्यास आपके लक्ष्यों के लिए गलत उपकरण हो सकता है।

• किसी अन्य संगठन की असुरक्षा साबित करना
• लोगों के एक समूह पर प्रभुत्व प्रदर्शित करना
• सदमे और विस्मय के माध्यम से कोई बात साबित करना या स्थापित करना
• जितनी संभव हो उतनी कमजोरियों को गिनना और खोजना
• परीक्षण करें कि क्या सरल पहचान तंत्र काम कर रहे हैं

👍 हितधारक

नेतृत्व या प्रभावशाली लोगों से किसी प्रायोजन या अनुवर्ती कार्रवाई के बिना किया गया अभ्यास इससे अधिक व्यर्थ कुछ नहीं हो सकता। सुनिश्चित करें कि किसी अभ्यास की सीख को उत्साही हितधारकों के एक समूह द्वारा समर्थित किया जाए। सुनिश्चित करें कि यह समूह सूचित है और गति उत्पन्न कर सकता है।

• अभ्यास के परिणामों को आगे बढ़ाने के लिए अपेक्षाएं और एक ज्ञात घर/मालिक निर्धारित करें
• सुनिश्चित करें कि परिवर्तन के लिए खुलापन है, और परिवर्तन को आगे बढ़ाने के लिए प्रायोजन तैयार है।
• क्या संगठन इस अभ्यास में एक इच्छुक भागीदार है?
• क्या प्रतिभागी जोखिम पर किसी भी अंशांकन या अपने वर्तमान रोडमैप की पुनरावलोकन के लिए खुले होंगे?
• क्या कोई महत्वपूर्ण ऋण (debt) है जो किसी भी रेड टीम के निष्कर्षों पर प्राथमिकता लेगा?
• क्या रेड टीम के निष्कर्ष इतने पूर्वानुमानित होंगे कि शुरू से ही किसी अभ्यास की आवश्यकता नहीं थी?

📅 समय अनुमान

आप इस योजना चरण से लेकर शमन चरण के अंत तक, या बीच में कुछ भी आवंटित करने के लिए समय की मात्रा का अनुमान लगा सकते हैं। समय की अपेक्षाएं प्रत्येक चरण के लिए किए गए निर्णयों पर अत्यधिक निर्भर होती हैं।

• योजना (सप्ताह/महीने): समग्र निष्पादन की योजना बनाना, इस दस्तावेज़ के अंतराल को भरना।
• हमला (मिनट/सप्ताह): रेड टीम का ऑनबोर्डिंग और घटना का सक्रिय निर्माण।
• प्रतिक्रिया (घंटे/सप्ताह): यदि घटना का पता चलता है, तो तत्काल प्रतिक्रिया की अवधि।
• टेबलटॉप (दिन/सप्ताह): यदि घटना का पता नहीं चलता है, तो बलपूर्वक प्रतिक्रिया या टेबलटॉप की अवधि।
• घटना प्रतिक्रिया (अल्पकालिक) (दिन/सप्ताह): रेड टीम की पहुंच हटाने, किसी भी खोजी गई कमजोरी को प्लग करने, प्रतिद्वंद्वी को खत्म करने का समय।
• रेड टीम रिवील (घंटे): IR वास्तविकताओं पर अंशांकन के लिए रेड टीम की कार्रवाइयों का प्रदर्शन।
• घटना प्रतिक्रिया (पोस्ट मार्टम) (घंटे/दिन): सीखे गए सबक का संगठन और व्यापक प्रस्तुति।
• दीर्घकालिक शमन (सप्ताह/महीने): कठिन सबक का पूरा होना, रिफैक्टरिंग, और अगली रेड टीम पर विचार करने से पहले विकास।

👪 लोग

उन सभी लोगों की पहचान करें जिन्हें रेड टीम की योजनाओं और रहस्यों को जानने की आवश्यकता हो सकती है। यह वह जगह है जहाँ आप किसी भी "ब्रेक ग्लास" जोखिम को कम करना चाहेंगे, और किसी भी आपात स्थिति के कारण किसी अभ्यास से हटने के लिए संपर्क विवरण तैयार रखें।

• परामर्श फर्म: क्या आप रेड टीम के रूप में किसी बाहरी पक्ष को काम पर रखेंगे?
• आंतरिक संसाधन: क्या आंतरिक कर्मचारी रेड टीम के रूप में कार्य करेंगे?
• पुलिस को कॉल करने (इस मामले में, रोकने) के लिए कौन जिम्मेदार है?
• इनबाउंड PR/संचार के लिए कौन जिम्मेदार है?
• ग्राहक संपर्कों के लिए कौन जिम्मेदार है?
• उल्लंघन अधिसूचना संसाधन कौन है? (इन-हाउस / बाहरी वकील)
• समग्र "गेम मास्टर" कौन है जो मुद्दों को संचालित करेगा और अच्छे निर्णय का अंतिम स्रोत होगा?

📉 रणनीति

तय करें कि आप इस अनुभव से अपना मूल्य कहाँ संचित करने जा रहे हैं। हर जगह व्यापार-बंद (tradeoffs) हैं जो आप किसी अभ्यास से जो खुजली मिटाने की कोशिश कर रहे हैं, उसे खरोंच नहीं सकते।

• क्या संभावित रक्षकों को पता है कि किसी बिंदु पर एक रेड टीम की उम्मीद की जानी चाहिए?
  • क्या उन्हें पता होना चाहिए? क्या आपको यह अपेक्षा निर्धारित करने की आवश्यकता है?
• क्या आप एक ऐसी समयावधि भी घोषित करेंगे जिसमें एक रेड टीम की उम्मीद की जानी चाहिए?
  • क्या इससे स्वस्थ उत्साह और तैयारी का एक स्प्रिंट होगा?
• क्या हमलावरों को धोखाधड़ी से भारी मार्गदर्शन दिया जाएगा, या यह फ्रीफॉर्म होगा?
  • यह व्यापार-बंद घटना प्रतिक्रिया मूल्य और कमजोरियों की खोज के बारे में है।
• क्या टीम को सूचित किया गया है कि शर्मिंदगी के बारे में सख्त नियम होंगे?
  • आप किसी भी भावना से बचना चाहते हैं कि यह खराब सुरक्षा के लिए सजा है।
• क्या टीम को सूचित किया गया है कि यह एक ब्लू टीम को उपहार देने के लिए है, न कि खराब सुरक्षा को दंडित करने के लिए? अर्थात, यह एक परीक्षा नहीं है, यह स्पैरिंग है?
  • इस बिंदु पर दोगुना जोर दें। सुनिश्चित करें कि यह ज्ञात है कि यह एक मूल्यवान फीडबैक लूप है, न कि कर्मचारी प्रदर्शन चक्र।
• क्या अभ्यास को फ्रेम करने के लिए एक विशिष्ट विधि या यथार्थवादी "किल चेन" चुनी गई है?
• क्या आपका लक्ष्य भारी शमन वाले जोखिम में एक घटना का अनुकरण करना है, या बहुत कम टेलीमेट्री/निवारक उपायों वाले जोखिम में?
• प्रत्येक चरण के दौरान, "ब्रेक ग्लास" क्या है? आप व्यापक रूप से कैसे घोषित करते हैं कि सच्चाई क्या है, और आगे क्या होने की आवश्यकता है, यदि कोई रेड टीम गलत हो जाती है और आउटेज का कारण बनती है?
• आप किन परिस्थितियों में रेड टीम को "रद्द" करना चाहते हैं?
  • उस समय पर विचार करें जब यह स्वाभाविक रूप से पूरा हो जाता है, बाहरी हस्तक्षेप के लिए शट डाउन की आवश्यकता होती है, या जब अनुभव प्रतिभागियों के लिए मूल्यवान नहीं रह जाता है।

🔧 हमले का डिज़ाइन

एक हमला उन जोखिमों का प्रतिनिधित्व करता है जिन्हें आप कम करने की कोशिश कर रहे हैं, वह घटना जिसे आप संभालने की कोशिश कर रहे हैं, या वे व्यक्ति जिन्हें आप प्रतिक्रिया में शामिल करने की उम्मीद कर रहे हैं। इन सभी निर्णयों की योजना बनाने की बोझ हैं जिन्हें यथाशीघ्र पहचानना सहायक है।

• क्या हमले के लिए वास्तव में बहुत अधिक विशेषज्ञता और प्रयास की आवश्यकता है, या क्या आप खोजने के लिए एक हमले का सरल पुनर्निर्माण कर सकते हैं? क्या बाहरी पक्ष भी आवश्यक हैं?
• किल चेन में हमला कहाँ से शुरू होना चाहिए? (जैसे, शुरुआती: स्पीयर फिशिंग, या देर से: डोमेन एडमिन के साथ लेटरल मूवमेंट)
• हमले की शुरुआत का समर्थन करने के लिए किन क्रेडेंशियल्स/भौतिक पहुंच/दस्तावेज़ीकरण की आवश्यकता है? उन्हें कौन प्रदान करेगा? क्या कोई सुरक्षा निहितार्थ हैं जिन पर बाद में अनुवर्ती कार्रवाई करने की आवश्यकता है?
• यदि रेड टीम जल्दी सफल हो जाती है, तो क्या उन्हें पेनिट्रेशन टेस्टिंग या भेद्यता मूल्यांकन शुरू करना चाहिए? क्या उन्हें पकड़े जाने का प्रयास करना चाहिए?
• क्या हमलावर को किसी विशिष्ट प्रतिद्वंद्वी या हमले की विधि का प्रतिरूपण करना चाहिए?
• यदि रेड टीम का पता चल जाता है, तो क्या कोई बैकअप योजना या दूसरा हमला होगा? क्या रेड टीम पेनिट्रेशन टेस्ट का सहारा लेगी?
• रेड टीम अपने व्यवहारों का दस्तावेज़ीकरण कहाँ और कैसे करेगी? किसी भी अनुवर्ती टेबलटॉप और सुधार और सीखे गए सबक की पुष्टि करने के लिए इन्हें कैप्चर करने की आवश्यकता है। क्या आप bash इतिहास एकत्र कर सकते हैं? TCP डंप? मैनुअल नोट्स?
• क्या रेड टीम के तरीके वास्तविकता पर आधारित होंगे? क्या वे ऐसे तरीकों का उपयोग कर रहे हैं जो एक यथार्थवादी हमलावर के लिए उपलब्ध नहीं हैं?

🚨 घटना प्रतिक्रिया

यदि आप अनुमान लगा सकते हैं कि आपकी प्रतिक्रिया प्रक्रिया कितनी परिपक्व होगी, तो आप अधिक लाभ के लिए प्रतिक्रिया में हेरफेर कर सकते हैं। एक अपरिपक्व प्रतिक्रिया टीम को गेम मास्टर द्वारा भारी मार्गदर्शन दिया जा सकता है, या एक परिपक्व प्रतिक्रिया टीम को समन्वय और संचार में घर्षण बिंदुओं की पहचान करने के लिए अकेला छोड़ा जा सकता है।

• क्या कोई विशिष्ट समन्वय विधि या योजना है जिसका घटना प्रतिक्रिया को पालन करना चाहिए? उदाहरण के लिए, Security Breach 101 या An Incident Response Plan for Startups में वर्णित एजेंडा और विधि।
• क्या घटना प्रतिक्रिया को स्वाभाविक रूप से एक साथ आने की आवश्यकता होगी, ताकि आप इसकी प्रक्रिया में घर्षण को दूर कर सकें?
• क्या घटना प्रतिक्रिया कृत्रिम रूप से एक साथ आएगी ताकि अभ्यास के रूप में इच्छित प्रतिक्रिया को मजबूर किया जा सके?
• क्या आप घटना को कृत्रिम रूप से बढ़ाना चाहेंगे ताकि आप घटना प्रतिक्रिया को नियंत्रित कर सकें?
• यदि ब्लू टीम की ओर से ईमानदार प्रश्न हैं, तो रेड टीम के साथ संचार की कड़ी कौन होगा? (उदाहरण के लिए: "हमें लगता है कि हमें एक अलग उल्लंघन मिला है")
• ब्लू टीम द्वारा शमन करते समय रेड टीम के पीड़ा बिंदुओं का दस्तावेज़ीकरण कौन करेगा? ("आप हमारे बीकन को हटाते रहे और वापस आना मुश्किल था, हमें उम्मीद नहीं थी कि आप उन सभी को एक साथ ढूंढ लेंगे!")
• यदि घटना प्रतिक्रिया समय पर प्रगति नहीं कर रही है, तो ब्लू टीम को संकेतक कौन या कैसे लीक करेगा?
  • क्या यह टेबलटॉप प्रारूप में किया जाएगा?
• क्या अल्पकालिक शमन/दीर्घकालिक निवारक उपाय आपकी घटना प्रतिक्रिया के भाग के रूप में एकत्र किए जा रहे हैं?

🔍 रेड टीम रिवील

ब्लू टीम के पास रेड टीम के लिए सभी प्रकार के प्रश्न होंगे। यदि सही ढंग से किया जाए तो यह उत्साह का क्षण हो सकता है। इस रिश्ते को स्वस्थ रखना महत्वपूर्ण है। रेड टीम को एक अमूल्य स्पैरिंग पार्टनर के रूप में देखा जाना चाहिए। बेहतर अभी भी, एक खरगोश जिसका पीछा किया जाए।

• क्या हमले के चरण के दौरान रेड टीम की कार्रवाइयां बहुत अच्छी तरह से प्रलेखित और समझी गई हैं?
• क्या घटना प्रतिक्रिया प्रक्रिया ने कोई महत्वपूर्ण रेड टीम कार्रवाई छोड़ दी है?
• क्या कोई IOC या कलाकृतियाँ हैं जो अभी भी बीकनिंग कर रही हैं या भविष्य में खोजी जा सकती हैं?
• क्या कोई बैकडोर या अन्य जोखिम भरे परिवर्तन घटना प्रतिक्रिया से बच गए हैं?
• ब्लू टीम की जांच और रोकथाम कितनी गहन थी?

💀 पोस्ट मार्टम

एक उच्च गुणवत्ता वाला पोस्ट मार्टम महीनों के रोडमैप वाले सुरक्षा कार्य को सूचित करेगा, और एक साझा अनुभव के माध्यम से सभी को एक मिशन पर कैलिब्रेट करेगा।

• क्या अभ्यास में सभी प्रतिभागियों के साथ एक गहन साक्षात्कार प्रक्रिया या डीब्रीफ हुआ है?
• क्या सभी अनुवर्ती शमन मदों को केंद्रीय रूप से एकत्र किया गया है और प्रतिभागियों के मूल्य भावना के आधार पर प्राथमिकता दी गई है?
• क्या इन भावनाओं को समाप्त किया जा रहा है और प्रतिभागियों को वापस प्रस्तुत किया जा रहा है?
• क्या आपके पास उन्हें प्रस्तुत करने के लिए एक मीटिंग ब्लॉक की गई है?
• उन्हें कौन प्रस्तुत कर रहा है?
• क्या रेड टीम इन भावनाओं पर टिप्पणी करने या प्रश्नों का उत्तर देने के लिए उपलब्ध है?
• क्या प्रतिभागियों को भाग लेने के लिए पुरस्कृत किया जा रहा है?
• क्या उन्हें डीब्रीफ और चर्चा करने के लिए पर्याप्त समय दिया जा रहा है?
• क्या यह व्यावहारिक जोखिमों की ओर एक मूल्यवान अंशांकन है?

👶 छोटे अभ्यास

आप एक अभ्यास को छोटा और दूसरों की न्यूनतम भागीदारी के साथ रख सकते हैं। रचनात्मक बनें।

बस एक टीम सदस्य को एक ऐसी घटना का अनुकरण करने दें जिसके बारे में आप सोचते हैं कि आप सफलतापूर्वक प्रतिक्रिया दे सकते हैं। उदाहरण के लिए, आप ऑटो-अपडेट कार्यक्षमता वाला एक सॉफ़्टवेयर स्थापित कर सकते हैं, और इसे मैलवेयर होने का दिखावा कर सकते हैं। फिर आप "C&C" की "खोज" करेंगे जो केवल इसका अपडेट बीकन होगा। उदाहरण के लिए, क्या आप साबित कर सकते हैं कि यह इस होस्ट तक सीमित है, और दूसरों तक नहीं?

या, एक टीम सदस्य को एक "अनधिकृत परिवर्तन" करने दें, और एक घटना समयरेखा तैयार करें जो घटना और किन अनुवर्ती कार्रवाइयों से फर्क पड़ेगा, का दस्तावेज़ीकरण करती है।

बस अपने निष्कर्षों, अपने सबक और अपने अनुवर्ती कार्यों का दस्तावेज़ीकरण करना सुनिश्चित करें ताकि दूसरों को प्रस्तुत किया जा सके। रेड टीमें मूल्यवान नहीं हैं यदि उनके सबक अलग-थलग हैं, और उन्हें जटिल होने की आवश्यकता नहीं है।