Menjalankan Latihan Pasukan Ungu

Terjemahkan objektif kepada senarai teknik yang tersusun berserta prosedur yang nyata. Inilah pelan emulasi anda.

Setiap entri hendaklah menyatakan ID teknik, prosedur, telemetri yang dijangka dan hipotesis yang sedang diuji:

• Teknik: T1003.001 Memori LSASS
• Prosedur: buang LSASS menggunakan alat ujian yang tidak berbahaya
• Telemetri dijangka: ID Peristiwa Sysmon 10 (akses proses kepada lsass.exe)
• Hipotesis: EDR memberi amaran apabila berlaku akses pemegang LSASS tanpa kebenaran

Sebelum apa-apa dijalankan, dapatkan kebenaran bertulis dan dokumentasikan peraturan penglibatan (ROE). Ini melindungi pasukan dari segi undang-undang dan operasi.

• Skop ditakrifkan: hos, rangkaian dan akaun yang terlibat
• Tempoh masa dan syarat henti yang jelas
• Teknik yang diluluskan berbanding teknik yang dilarang
• Kenalan kecemasan dan isyarat pembatalan
• Pengendalian data: jangan sekali-kali mengekstrak data sensitif sebenar

Ujian secara bekerjasama masih boleh mencetuskan amaran atau mengganggu perkhidmatan, jadi ROE mestilah jelas dan diluluskan oleh pihak berkepentingan.

Sahkan asas-asas berfungsi sebelum sesi langsung; jika tidak, masa sesi akan terbuang untuk menyahpepijat pengelogan.

• Sahkan ejen titik akhir dan Sysmon telah dipasang serta melaporkan data
• Pastikan rekod sampai ke SIEM dengan kependaman yang boleh diterima
• Sediakan alat emulasi (Atomic Red Team, Caldera)
• Sediakan pertanyaan SIEM yang disimpan untuk setiap artifak yang dijangka

Ujian asap yang ringkas, contohnya memeriksa sama ada peristiwa yang diketahui muncul, mengesahkan saluran paip sebelum teknik sebenar dimulakan.

Semasa pelaksanaan, jalankan satu teknik pada satu-satu masa dalam tempoh terkawal supaya sebab dan akibat tidak samar. Pihak merah menerangkan tindakan secara lisan dan mencatat cap masa yang tepat.

Contohnya, melaksanakan ujian Atomic untuk kegigihan tugas berjadual:

Sejurus selepas pelaksanaan, pasukan biru menjalankan pertanyaan yang disediakan dan merekodkan perkara yang diperhatikan. Klasifikasikan hasil secara jelas:

• Dihalang — tindakan itu disekat sepenuhnya
• Diberi amaran — pengesanan dicetuskan
• Direkodkan sahaja — bukti wujud, tiada amaran
• Tiada telemetri — tiada apa-apa yang ditangkap

Catat cap masa bagi tindakan dan amaran supaya anda boleh mengira masa untuk mengesan kemudian.

Banyak alat emulasi menghasilkan artifak: tugasan berjadual, kunci pendaftaran, fail atau akaun. Bersihkan selepas setiap teknik supaya persekitaran kekal teratur dan penemuan palsu pada masa hadapan dapat dielakkan.

Atomic Red Team menyediakan perintah pembersihan:

Ciri penentu kerja berpasukan ungu ialah membaiki jurang dalam sesi yang sama. Apabila teknik terlepas, jurutera pengesanan merangka peraturan dan pasukan menjalankan semula teknik itu untuk mengesahkan bahawa peraturan tersebut kini dicetuskan.

• Jurang ditemui: penciptaan tugasan berjadual tidak mencetuskan amaran
• Rangka peraturan berdasarkan ID Peristiwa 4698 (penciptaan tugasan) dengan corak mencurigakan
• Jalankan semula ujian Atomic Red Team
• Sahkan bahawa peraturan baharu dicetuskan, kemudian catat kejayaan

Pengulangan segera ini jauh lebih berkesan daripada menangguhkan pembaikan kepada senarai tunggakan.

Disiplin dalam merekodkan hasil menjadikan latihan ini bernilai pada masa hadapan. Bagi setiap teknik, catat hasil berstruktur:

• ID teknik dan prosedur
• Hasil (dihalang / diberi amaran / direkodkan / buta)
• Sumber data yang diperhatikan
• Peraturan pengesanan yang dicetuskan (atau peraturan baharu yang dicipta)
• Masa untuk mengesan dan sebarang tindakan susulan

Alat seperti VECTR menyimpan hasil ini dan membolehkan anda membandingkan pelaksanaan dari semasa ke semasa untuk menunjukkan peningkatan yang boleh diukur.

Akhiri latihan dengan sesi ulasan semasa butiran masih segar. Hasilnya ialah senarai tindakan mengikut keutamaan, bukannya blok teks yang panjang.

• Perkara yang dikesan, terlepas dan baharu diliputi
• Jurang pengesanan yang disusun mengikut risiko dan kemungkinan
• Pihak bertanggungjawab dan tarikh akhir bagi setiap tindakan pemulihan
• Teknik yang perlu disahkan semula dalam kitaran seterusnya

Serahkan perkara tunggakan pengesanan kepada pasukan kejuruteraan dan jadualkan pelaksanaan seterusnya. Latihan ini hanya berbaloi jika tindakan benar-benar dilaksanakan.

Anda kini boleh menjalankan latihan kerja berpasukan ungu dari awal hingga akhir:

• Ikuti kitar hayat merancang, menyediakan, melaksanakan, menganalisis, menambah baik, melaporkan
• Tetapkan objektif berasaskan ancaman dan pelan emulasi yang konkrit
• Dapatkan kebenaran dan ROE, serta sahkan telemetri terlebih dahulu
• Jalankan satu teknik pada satu masa, perhatikan secara langsung dan klasifikasikan hasil
• Bersihkan artifak dan tutup jurang dalam sesi
• Rekodkan hasil berstruktur dan akhiri dengan penyerahan mengikut keutamaan

Seterusnya, anda akan belajar mengukur liputan dan menutup jurang pengesanan menggunakan metrik yang mendorong penambahbaikan.