كتابة تقارير الفريق الأحمر

يوضح تقرير الفريق الأحمر مخاطر الثغرات المحددة على الأعمال للإدارة (في الملخص التنفيذي)، ويمكّن المدافعين من إعادة إنتاج النتائج وتحسين الاكتشاف (في التفاصيل التقنية)، ويوفر خطة عمل للمعالجة (في التوصيات).

الهيكل القياسي لتقرير الفريق الأحمر:

1. صفحة الغلاف وتحديد النطاق
2. الملخص التنفيذي
3. نظرة عامة على المنهجية
4. سرد الهجوم / سلسلة القتل
5. قائمة النتائج مع تصنيفات الخطورة
6. التفاصيل التقنية لكل نتيجة
7. التوصيات وخارطة الطريق
8. الملاحق: الأدلة وIOCs وقائمة الأدوات

اكتب الملخص التنفيذي أخيرًا. وينبغي أن يوضح ما يلي:

• أهداف المهمة ونطاقها
• النتائج الرئيسية بمصطلحات الأعمال («حصلنا على وصول مسؤول المجال خلال 4 ساعات»)
• تقييم الوضع العام للمخاطر
• أهم 3 أولويات للمعالجة

تجنب المصطلحات المتخصصة. افترض أن القارئ مسؤول تنفيذي غير تقني.

يروي سرد الهجوم قصة المهمة بترتيب زمني:

1. متجه الوصول الأولي (كيفية تحقيق موطئ القدم الأول)
2. الاستمرارية والاستطلاع
3. خطوات تصعيد الصلاحيات
4. مسار الحركة الجانبية
5. الأهداف المحققة (البيانات التي تم الوصول إليها، واختراق المجال)

اربط كل خطوة بمعرّفات تقنيات MITRE ATT&CK.

ينبغي أن تتضمن كل نتيجة ما يلي:

• العنوان: اسم واضح ومحدد
• الخطورة: حرجة/عالية/متوسطة/منخفضة/معلوماتية (مع درجة CVSS عند الانطباق)
• الوصف: ما تم اكتشافه
• الأثر: مخاطر الأعمال في حال استغلالها
• خطوات إعادة الإنتاج: إثبات تقني مفصل
• الأدلة: لقطات الشاشة والسجلات
• التوصية: إصلاح محدد

يوفر CVSS (نظام تسجيل نقاط الثغرات الشائعة) درجة خطورة موحدة من 0 إلى 10. وتشمل المكونات: متجه الهجوم، والتعقيد، والامتيازات المطلوبة، وتفاعل المستخدم، والنطاق، وأثر السرية والسلامة والتوافر. استخدم CVSS 3.1 للحصول على تصنيفات خطورة متسقة وقابلة للدفاع عنها.

اربط كل تقنية مستخدمة بـ ATT&CK لتزويد المدافعين ببيانات استخباراتية قابلة للتنفيذ:

• T1566.001 — Spearphishing Attachment (الوصول الأولي)
• T1059.001 — PowerShell (التنفيذ)
• T1003.001 — LSASS Memory (الوصول إلى بيانات الاعتماد)

يساعد الربط بـ ATT&CK فرق الدفاع على كتابة قواعد اكتشاف لـ TTPs المرصودة.

ينبغي أن تتضمن لقطات الشاشة ما يلي:

• التاريخ والوقت ظاهران في الطرفية
• اسم المضيف للنظام المخترق
• الأمر والمخرجات كاملة
• عدم اقتصاص الصورة بما يزيل السياق

أضف تعليقات توضيحية إلى لقطات الشاشة لإبراز العنصر المهم. وتثبت الأدلة صحة النتائج.

تتصف التوصيات الجيدة بما يلي:

• محددة: «تمكين PowerShell AMSI ووضع اللغة المقيدة» بدلًا من «تحسين الأمان»
• مرتبة حسب الأولوية: تحديد ما يجب معالجته أولًا بناءً على المخاطر
• قابلة للتنفيذ: يعرف القارئ بالضبط ما يجب فعله
• واقعية: تراعي القيود التشغيلية

يكمل عرض المراجعة المباشر التقرير المكتوب. اصطحب العميل خلال سرد الهجوم باستخدام لقطات شاشة مباشرة، ووضح كيف كان بإمكانه اكتشاف كل خطوة، وأجب عن أسئلته. وغالبًا ما يكون لهذا العرض أثر أكبر من التقرير المكتوب في دفع التغيير.

تحتوي تقارير الفريق الأحمر على معلومات حساسة عن الثغرات. لذا، يجب التعامل معها وفقًا لذلك:

• تشفير التقرير (باستخدام PGP أو ملف PDF محمي بكلمة مرور)
• إرساله عبر قناة آمنة
• حصر توزيعه على من يحتاجون إليه
• تحديد سياسة الاحتفاظ بالتقرير وإتلافه
• عدم إرسال التقارير غير المشفرة عبر البريد الإلكتروني مطلقًا

تخدم تقارير الفريق الأحمر جمهورًا من رجال الأعمال (الملخص التنفيذي)، والجمهور التقني (سرد الهجوم والنتائج)، والجمهور الدفاعي (الربط بـ ATT&CK). تتضمن كل نتيجة مستوى الخطورة، والتأثير، وخطوات إعادة الإنتاج، والأدلة، والتوصيات المحددة. يحوّل الربط بـ MITRE ATT&CK النتائج الهجومية إلى فرص لإنشاء وسائل كشف دفاعية. يجب تشفير التقارير والتعامل معها بوصفها مستندات حساسة.