पर्पल टीम अभ्यास चलाना

उद्देश्य को ठोस प्रक्रियाओं वाली तकनीकों की क्रमबद्ध सूची में बदलें। यही आपकी अनुकरण योजना है।

हर प्रविष्टि में तकनीक ID, प्रक्रिया, अपेक्षित गतिविधि डेटा और परखी जा रही परिकल्पना का उल्लेख होना चाहिए:

• तकनीक: T1003.001 LSASS स्मृति
• प्रक्रिया: अहानिकर परीक्षण उपकरण से LSASS की स्मृति निकालना
• अपेक्षित गतिविधि डेटा: सिस्मॉन घटना ID 10 (lsass.exe तक प्रक्रिया की पहुँच)
• परिकल्पना: EDR अनधिकृत LSASS हैंडल पहुँच पर चेतावनी देता है

कुछ भी चलाने से पहले लिखित प्राधिकरण प्राप्त करें और संलग्नता के नियम (ROE) दर्ज करें। इससे दल को कानूनी और परिचालन स्तर पर सुरक्षा मिलती है।

• निर्धारित दायरा: शामिल कंप्यूटर, नेटवर्क और खाते
• समय-सीमाएँ और रोकने की स्पष्ट शर्त
• अनुमोदित और निषिद्ध तकनीकें
• आपातकालीन संपर्क और रोकने का संकेत
• डेटा प्रबंधन: वास्तविक संवेदनशील डेटा कभी बाहर न निकालें

सहयोगात्मक परीक्षण भी चेतावनियाँ सक्रिय कर सकता है या सेवाओं में बाधा डाल सकता है, इसलिए संलग्नता के नियम स्पष्ट होने चाहिए और हितधारकों से उनका औपचारिक अनुमोदन लिया जाना चाहिए।

सजीव सत्र से पहले मूलभूत चीज़ों के काम करने की पुष्टि करें, वरना आपका समय लॉग दर्ज करने की समस्या सुलझाने में व्यर्थ हो जाएगा।

• पुष्टि करें कि अंतिम-बिंदु एजेंट और सिस्मॉन स्थापित हैं और डेटा भेज रहे हैं
• पुष्टि करें कि लॉग स्वीकार्य विलंब के साथ SIEM तक पहुँच रहे हैं
• अनुकरण उपकरण तैयार रखें (एटॉमिक रेड टीम, कैल्डेरा)
• हर अपेक्षित गतिविधि-साक्ष्य के लिए पहले से सहेजी गई SIEM खोजें तैयार रखें

एक त्वरित प्रारंभिक परीक्षण, जैसे यह जाँचना कि कोई ज्ञात घटना दिखाई देती है, वास्तविक तकनीकें शुरू होने से पहले डेटा-प्रवाह की पुष्टि करता है।

निष्पादन के दौरान नियंत्रित समयावधि में एक समय में एक तकनीक चलाएँ, ताकि कारण और परिणाम स्पष्ट रहें। आक्रामक दल कार्रवाई का वर्णन करता है और सटीक समय-मुहर दर्ज करता है।

उदाहरण के लिए, निर्धारित कार्य द्वारा स्थायित्व के लिए एटॉमिक परीक्षण चलाना:

निष्पादन के तुरंत बाद, ब्लू टीम तैयार की गई क्वेरी चलाती है और जो कुछ दिखाई देता है उसे दर्ज करती है। परिणाम को स्पष्ट रूप से वर्गीकृत करें:

• रोका गया — कार्रवाई को पूरी तरह अवरुद्ध कर दिया गया
• चेतावनी उत्पन्न हुई — पहचान व्यवस्था सक्रिय हुई
• केवल अभिलेखित — प्रमाण मौजूद है, लेकिन कोई चेतावनी नहीं
• कोई टेलीमेट्री नहीं — कुछ भी कैप्चर नहीं किया गया

कार्रवाई और चेतावनी, दोनों के समय-चिह्न दर्ज करें, ताकि बाद में पहचान तक का समय निकाला जा सके।

कई अनुकरण उपकरण अवशेष बनाते हैं: निर्धारित कार्य, रजिस्ट्री कुंजियाँ, फ़ाइलें या खाते। वातावरण को व्यवस्थित रखने और भविष्य में गलत निष्कर्षों से बचने के लिए प्रत्येक तकनीक के बाद सफ़ाई करें।

एटॉमिक रेड टीम सफ़ाई के आदेश उपलब्ध कराता है:

पर्पल टीमिंग की परिभाषित करने वाली विशेषता उसी सत्र में कमियाँ दूर करना है। जब कोई तकनीक छूट जाती है, तो पहचान अभियंता एक नियम का प्रारूप तैयार करता है और टीम यह पुष्टि करने के लिए तकनीक फिर से चलाती है कि अब वह सक्रिय होती है।

• कमी मिली: निर्धारित कार्य का निर्माण होने पर चेतावनी नहीं आई
• संदिग्ध पैटर्न के साथ घटना ID 4698 (कार्य निर्माण) पर नियम का प्रारूप तैयार करें
• एटॉमिक परीक्षण फिर से चलाएँ
• पुष्टि करें कि नया नियम सक्रिय होता है, फिर सफलता दर्ज करें

यह तत्काल पुनरावृत्ति सुधारों को लंबित सूची में डालने की तुलना में कहीं अधिक प्रभावी है।

दर्ज करने में अनुशासन ही इस अभ्यास को बाद में उपयोगी बनाता है। प्रत्येक तकनीक के लिए एक संरचित परिणाम दर्ज करें:

• तकनीक ID और प्रक्रिया
• परिणाम (रोका गया / चेतावनी उत्पन्न हुई / अभिलेखित / दृश्यता-विहीन)
• देखे गए डेटा का स्रोत
• सक्रिय हुआ पहचान नियम (या बनाया गया नया नियम)
• पहचान तक का समय और कोई अनुवर्ती कार्रवाई

VECTR जैसे उपकरण इन परिणामों को संग्रहीत करते हैं और समय के साथ किए गए संचालनों की तुलना करके मापने योग्य सुधार दिखाने देते हैं।

विवरण ताज़ा रहते हुए समीक्षा के साथ अभ्यास समाप्त करें। इसका परिणाम प्राथमिकता के अनुसार बनाई गई कार्रवाई योग्य सूची होनी चाहिए, न कि बहुत लंबा पाठ।

• क्या पहचाना गया, क्या छूट गया और किन चीज़ों को पहली बार शामिल किया गया
• जोखिम और संभावना के आधार पर क्रमबद्ध पहचान की कमियाँ
• प्रत्येक सुधारात्मक कार्य के लिए ज़िम्मेदार व्यक्ति और अंतिम तिथि
• अगले चक्र में फिर से सत्यापित की जाने वाली तकनीकें

पहचान संबंधी लंबित कार्य इंजीनियरिंग टीम को सौंपें और अगला संचालन निर्धारित करें। अभ्यास तभी लाभ देता है जब कार्रवाइयाँ वास्तव में लागू की जाएँ।

अब आप शुरू से अंत तक पर्पल टीम अभ्यास चला सकते हैं:

• योजना बनाएँ, तैयारी करें, निष्पादित करें, विश्लेषण करें, सुधारें और रिपोर्ट करें वाले जीवनचक्र का पालन करें
• खतरे की जानकारी पर आधारित उद्देश्य और ठोस अनुकरण योजना तय करें
• प्राधिकरण और ROE सुरक्षित करें और पहले टेलीमेट्री की पुष्टि करें
• एक समय में एक तकनीक चलाएँ, वास्तविक समय में निरीक्षण करें और परिणामों को वर्गीकृत करें
• अवशेषों की सफ़ाई करें और सत्र के दौरान कमियाँ दूर करें
• संरचित परिणाम दर्ज करें और अंत में प्राथमिकता-निर्धारित हस्तांतरण करें

अब आप ऐसे मापदंडों से कवरेज मापना और पहचान की कमियाँ दूर करना सीखेंगे, जो सुधार को दिशा देते हैं।